La présente Politique s’inscrit dans le cadre de l’application des dispositions de l’acte additionnel A/SA. du 01/01/2010 relatif à la protection des données à caractère personnel dans l’espace de la CEDEAO. Elle s’inspire également de la loi 2013-450 du 19 juin 2013 relative à la protection des données à caractère personnel, de l’arrêté N° 511/MPTIC/CAB du 11 novembre 2014 du Ministère de la poste et des technologies de l’information et de la communication, portant définition du profil et fixant les conditions s’emploi du correspondant à la protection des données à caractère personnel et de la politique de protection des données à caractère personnel du Groupe BMCE BANK OF AFRICA.
La présente politique s’applique à tous les collaborateurs et entités de BOA-MALI sans restriction. Le suivi du respect des principes qui y figurent incombe en premier lieu aux fonctions opérationnelles dans le cadre du contrôle de premier niveau, puis aux fonctions dédiées au contrôle notamment la fonction Conformité.
La présente politique générale énonce les principes et lignes directrices applicables à BOA-MALI en matière de traitement des données à caractère personnel. Il a pour objet de définir les conditions de traitement de données à caractère personnel et de mettre l’accent sur les obligations qui régissent BOA-MALI en matière de respect des droits des personnes concernées (clients, membres du personnel, prospect…) lors du traitement et transfert de leurs données.
La présente politique générale puise ses sources dans le corpus légal et réglementaire ci-après :
BOA-MALI adhère aux 4 principes directeurs, ci-après :
Une donnée à caractère personnel est une information relative à une personne physique identifiée ou identifiable, de quelque nature qu'elle soit et indépendamment de son support y compris le son et l'image.
Est réputée « identifiable », une personne qui peut être identifiée directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments, propres à son identité physique, physiologique, génétique, psychique, culturelle, sociale ou économique.
Exemples :
Les données bancaires (transactions, opérations sur titres, virements…) sont des données à caractère personnel dès lors que les émetteurs, les bénéficiaires, les contreparties ou le personnel chargé des opérations peuvent être identifiés.
De même, les fichiers de personnes morales peuvent contenir des données à caractère personnel dans la mesure où peuvent être enregistrées l’identité des dirigeants, des bénéficiaires effectifs et/ou des contacts ou au moins leurs coordonnées.
Toute opération ou ensemble d’opérations , effectuées à l’aide de procédés automatisés ou non, et appliquées à des données, telles que la collecte, l’exploitation, l'enregistrement, l'organisation, la conservation, l’adaptation, la modification, l'extraction, la sauvegarde, la copie, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, le cryptage, l'effacement ou la destruction des données à caractère personnel.
Exemple :
La collecte manuelle ou informatique des nom et prénoms du client constitue un traitement de données à caractère personnel.
Constitue un fichier de données à caractère personnel, tout ensemble structuré et stable de données à caractère personnel accessible selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique.
Les fichiers de données à caractère personnel concernent aussi bien les clients, les salariés, les prestataires, les fournisseurs, les dirigeants sociaux, …, quel que soit leur lieu de résidence et leur nationalité.
Exemple :
Un ensemble structuré de fiches cartonnées classées par ordre alphabétique peut être qualifié de fichier de données à caractère personnel. Il en est de même pour un dossier papier avec un numéro.
Le responsable d'un traitement de données à caractère personnel est la personne physique ou morale, publique ou privée, tout autre organisme ou association qui, seul ou conjointement avec d'autres, prend la décision de collecter et de traiter des données à caractère personnel et en détermine les finalités. BOA-MALI est le responsable du traitement.
Toute personne physique ou morale, publique ou privée, tout autre organisme ou association qui traite des données pour le compte du responsable du traitement.
Constitue un transfert international de données à caractère personnel vers un pays tiers, toute communication, copie ou déplacement de données par l’intermédiaire d’un réseau, ou toute communication, copie ou déplacement de ces données d’un support à un autre, quel que soit le type de ce support, dans la mesure où ces données ont vocation à faire l’objet d’un traitement dans le pays destinataire.
Une donnée sensible est une donnée à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, la vie sexuelle, de la personne concernée ou qui est relative à sa santé y compris ses données génétiques.
Les traitements de données à caractère personnel font l’objet au préalable d’une déclaration auprès de l’Autorité APDP (Autorité de la Protection des Données à caractère Personnel) qui délivre obligatoirement un accusé de réception pour attester de l’effectivité de la déclaration à l’Autorité APDP dispose d’un délai d’un (1) mois pour délivrer un récépissé au demandeur afin de lui permettre de mettre en œuvre le traitement sans toutefois ne l’exonérer d’aucune de ses responsabilités. Ce délai peut être prorogé une fois sur décision motivée de la Commission.
BOA-MALI a mis en place un ensemble de principes permettant un traitement loyal et licite des données clients en respectant les orientations réglementaires nationales et internationales dans le domaine.
BOA-MALI est tenue de procéder au traitement des données à caractère personnel suivant les règles suivantes :
BOA-MALI ne peut transférer des données à caractère personnel vers un pays tiers que si cet Etat assure un niveau de protection suffisant de la vie privée, des libertés et droits fondamentaux des personnes à l'égard du traitement dont ces données font ou peuvent faire l'objet.
Avant tout transfert des données à caractère personnel vers un pays tiers, BOA-MALI doit préalablement informer l’Autorité BOA-MALI, aux fins d’autorisation.
Avant tout traitement des données à caractère personnel provenant de l’étranger, BOA-MALI doit préalablement, vérifier que le responsable du traitement assure un niveau de protection suffisant de la vie privée, des libertés et droits fondamentaux des personnes à l’égard du traitement en vertu de la loi sur la protection des données à caractère personnel.
Le caractère suffisant du niveau de protection assuré par BOA-MALI s’apprécie en fonction notamment des mesures de sécurité qui y sont appliquées conformément à la loi sur la protection des données à caractère personnel, des caractéristiques propres du traitement, telles que ses finalités, sa durée ainsi que de la nature, de l’origine et de la destination des données traitées.
Il s'agit d'informations qui ne sont pas recueillies directement auprès de la personne concernée. Dans ce cas, il est nécessaire de demander à la personne qui fournit les informations (le client ou autre) d’informer la personne concernée des informations qu'elle a transmises à la banque. A défaut, c’est la banque qui doit informer la personne dont les données sont collectées indirectement.
Il est interdit de procéder à la collecte et à tout traitement des données sensibles sauf dans les cas ci-après :
Le consentement des personnes concernées n’est pas exigé dans les cas suivants :
Le traitement des données à caractère personnel est confidentiel. Il est effectué exclusivement par des personnes qui agissent sous l’autorité de BOA-MALI et seulement sur ses instructions.
Pour la réalisation du traitement, BOA-MALI doit choisir des personnes présentant, au regard de la préservation de la confidentialité des données, toutes les garanties tant de connaissances techniques et juridiques que d’intégrité personnelle.
Tous les employés de BOA-MALI ainsi que les prestataires ayant accès aux données à caractère personnel (sous-traitants) doivent signer un engagement écrit à traiter les données à caractère personnel conformément aux dispositions de la loi sur le traitement des données à caractère personnel.
Le contrat liant chaque sous-traitant à BOA-MALI doit comporter l’indication des obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données et doit prévoir que le sous-traitant ne peut agir que sur instruction du responsable du traitement.
BOA-MALI est tenu de prendre toute précaution utile au regard de la nature des données et, notamment, pour empêcher qu’elles soient déformées, endommagées, ou que des personnes non autorisées y aient accès. La banque devra en particulier prendre les mesures visant à :
Les données à caractère personnel ne peuvent être conservées au-delà de la durée nécessaire qu’en vue d’être traitées à des fins historiques, statistiques ou scientifiques.
BOA-MALI est tenue de prendre toute mesure utile pour s’assurer que les données à caractère personnel traitées pourront être exploitées quel que soit le support technique utilisé. Elle doit particulièrement s’assurer que l’évolution de la technologie ne sera pas un obstacle à cette exploitation.
La personne concernée par le traitement des données doit être informée de(s) :
Toute personne physique, justifiant de son identité, a le droit d'interroger par écrit le responsable d'un traitement automatisé de données à caractère personnel en vue d'obtenir :
Toute personne physique justifiant de son identité peut exiger, par écrit, de BOA MALI que soit, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel le concernant, qui sont inexactes, incomplètes, équivoques, périmées ou dont la collecte, l'utilisation, la communication ou la conservation est interdite.
Remarque : un prospect peut demander à tout moment à être supprimé des fichiers de prospection commerciale de la banque. BOA-MALI doit justifier dans un délai de 1 mois après l’enregistrement de la demande, la mise en œuvre effective de la requête du client.
Le droit d’opposition permet à un client personne physique de s’opposer, pour des motifs légitimes, à ce que ses données soient utilisées à des fins de prospection, notamment commerciale.
Un client ou prospect doit pouvoir manifester son accord ou son désaccord à recevoir des sollicitations commerciales avant toute signature de contrat ou de convention. Et même en cas d’accord initial de sa part pour être sollicité, il peut à tout moment revenir sur cet accord et demander à être supprimé des fichiers de prospection commerciale de la banque.
Ainsi, lors de toute nouvelle entrée en relation : la manifestation de l’accord ou de l’opposition du client est recueillie sur un formulaire papier ou sur une case à cocher si le service est hébergé en ligne.
Ce formulaire sera édité en agence par le conseiller clientèle qui est chargé de le faire remplir et signer par le client au même titre que les autres documents demandés lors de l’entrée en relation ou sur le site internet de BOA MALI en cas d’entrée en relation virtuelle à travers internet. Ainsi, cette autorisation devient une donnée obligatoire dans l’entrée en relation au même titre notamment que la carte d’identité.
La fonction Conformité est l’interlocuteur compétent pour toutes les questions relatives à l’application et à la mise en œuvre des formalités relatives à la protection des données à caractère personnel auprès des autorités compétentes du pays.
Elle assure les missions suivantes :
Le traitement des données à caractère personnel s'articule autour de 2 processus :
Le processus de déclaration, ou de demande d’autorisation préalablement à la mise en œuvre de traitements de données à caractère personnel : les modalités de ce processus sont décrites par la Commission Nationale de Protection des Données Personnelles. BOA-MALI doit désigner et déclarer un correspondant à ces autorités et détailler à travers des procédures la démarche à suivre pour être conforme à la législation.
Le processus de traitement des droits d’accès aux données, de communication et de rectification, pour répondre aux demandes d’information sur le contenu des fichiers ou de rectification de ces données nominatives. Le client peut effectuer une demande d’exercice de ses droits d’accès, de rectification, de suppression ou d’opposition :
Une fois la demande reçue, l’information est remontée à l’entité Conformité qui traite le sujet de la demande et adresse une réponse écrite au client.
Le reporting interne : à destination des entités Conformité de BOA GROUP et de la Direction Générale de BOA-MALI, ce reporting récapitule les déclarations effectuées, les demandes traitées, les réclamations clients, les rapports avec les autorités compétentes, …
Le reporting réglementaire : Outre l’obligation de notifier l’identité du correspondant de l’Autorité APDP au niveau de BOA-MALI, aucune obligation de reporting périodique ne pèse sur cette dernière. Toutefois elle est tenue, afin d’éviter toute sanction, de répondre dans les plus brefs délais à toute requête ponctuelle de l’Autorité APDP (Autorité de Protection des données à caractère personnel).