Loi sur la protection des données au Rwanda : ce que les entreprises doivent faire pour se conformer à la loi Nº 058/2021

Le droit de la protection des données au Rwanda n'est plus un projet de conformité pour l'avenir : la période transitoire de deux ans accordée aux entreprises existantes a pris fin, et le régulateur enregistre désormais les organisations, autorise les transferts internationaux et reçoit les notifications de violations. Ce guide présente ce qu'exige la loi, à qui elle s'applique, ce que peut coûter la non-conformité et les mesures à prendre dès maintenant. Pour un accompagnement concret, notre équipe protection des données et cybersécurité conseille des organisations de tous les secteurs.

Qu'est-ce que la loi sur la protection des données au Rwanda ?

Le texte applicable est la loi Nº 058/2021 du 13/10/2021 relative à la protection des données à caractère personnel et de la vie privée, publiée au Journal officiel, numéro spécial du 15 octobre 2021. Elle est entrée en vigueur à la date de sa publication. Les entreprises déjà en activité disposaient d'un délai n'excédant pas deux ans à compter de la publication pour mettre leurs activités en conformité ; ce délai de grâce est donc désormais expiré.

La loi désigne comme « autorité de contrôle » l'autorité publique chargée de la cybersécurité. En pratique, il s'agit de l’Autorité nationale de cybersécurité (NCSA), qui contrôle l'application de la loi par l'intermédiaire de son Bureau de la protection des données et de la vie privée (DPO).

À qui la loi s'applique-t-elle ?

La loi s'applique à tout traitement de données personnelles, automatisé ou non, effectué par un responsable du traitement, un sous-traitant ou un tiers qui :

• est établi ou réside au Rwanda et traite des données personnelles au Rwanda ; ou
• n'est ni établi ni résident au Rwanda mais traite des données personnelles de personnes concernées se trouvant au Rwanda.

Une société sans bureau au Rwanda peut donc être soumise à la loi si elle sert des clients au Rwanda, et doit alors désigner par écrit un représentant au Rwanda.

Données personnelles et données personnelles sensibles

On entend par données personnelles toute information se rapportant à une personne physique identifiée ou identifiable, telle qu'un nom, un numéro d'identification, des données de localisation ou un identifiant en ligne. Les données personnelles sensibles, qui comprennent les informations révélant l'état de santé, les antécédents judiciaires, les convictions religieuses, les opinions politiques ou les données génétiques, sont soumises à des conditions plus strictes et aux sanctions pénales les plus lourdes.

Obligations essentielles des responsables du traitement et des sous-traitants

Enregistrement auprès de la NCSA

Toute personne qui entend agir en qualité de responsable du traitement ou de sous-traitant doit s'enregistrer auprès de l'autorité de contrôle. La demande doit notamment décrire les données personnelles à traiter, les catégories de personnes concernées, les finalités du traitement, les destinataires, tout pays vers lequel les données seront transférées, ainsi que les risques encourus et les mesures prévues pour y faire face. L'autorité délivre un certificat au demandeur remplissant les conditions dans un délai de 30 jours ouvrables à compter de la réception de la demande. Le guide d'enregistrement du DPO et les formulaires de demande sont publiés en ligne.

L'enregistrement n'est pas une démarche ponctuelle : toute modification doit être notifiée dans un délai de 15 jours ouvrables, et le renouvellement peut être demandé dans les 45 jours ouvrables précédant l'expiration.

Base légale, transparence et registres

Le traitement n'est licite que s'il repose sur l'un des fondements prévus par la loi, notamment le consentement, l'exécution d'un contrat, une obligation légale, les intérêts vitaux, une mission d'intérêt public, les intérêts légitimes et la recherche autorisée. Lors de la collecte, le responsable du traitement doit notamment informer les personnes de la finalité de la collecte, des destinataires des données, de leur durée de conservation et des droits dont elles disposent.

Les responsables du traitement et les sous-traitants doivent également tenir un registre de toutes les activités de traitement, mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées et réaliser une analyse d'impact relative à la protection des données (DPIA) lorsque le traitement est susceptible d'engendrer un risque élevé. Les éléments déclencheurs comprennent le traitement à grande échelle de données sensibles, le profilage automatisé et les nouvelles technologies, ce qui concerne directement les entreprises qui déploient des outils d'analyse ou des infrastructures d'IA et de centres de données.

Délégué à la protection des données

Un délégué à la protection des données doit être désigné dans plusieurs cas, notamment lorsque le traitement est effectué par une personne morale ou une entité juridique publique ou privée (à l'exception des juridictions). Selon une lecture littérale, cela vise la plupart des sociétés. Le délégué peut être un salarié ou un prestataire externe, et ses coordonnées doivent être publiées et communiquées à l'autorité. Le DPO publie un guide de désignation pour accompagner cette démarche.

Les droits des personnes concernées que les entreprises doivent respecter

La loi confère aux personnes un ensemble défini de droits, qui peuvent être exercés par écrit ou par voie électronique :

• Accès : informations sur les finalités du traitement, copie de leurs données, leur origine et l'indication d'un éventuel transfert à l'étranger.
• Opposition : y compris un droit inconditionnel de faire cesser le traitement à des fins de prospection directe.
• Portabilité : recevoir leurs données dans un format structuré et lisible, ou les faire transmettre à un autre responsable du traitement.
• Limitation, rectification et effacement, sous réserve des exceptions prévues.
• Droit de ne pas faire l'objet de décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, sous réserve d'exceptions limitées.
• Désignation d'un héritier de leurs données personnelles et représentation, par exemple pour les enfants de moins de 16 ans.

Pour la plupart des droits, le responsable du traitement doit répondre dans un délai de 30 jours à compter de la demande. La personne insatisfaite peut saisir l'autorité de contrôle dans un délai de 30 jours, et l'autorité répond dans un délai de 60 jours. Les équipes RH, service client et marketing ont donc besoin d'une procédure documentée. Les employeurs devraient l'harmoniser avec leurs contrats de travail et politiques internes, les dossiers du personnel étant également des données personnelles.

Transferts transfrontaliers, stockage et notification des violations

Transferts et stockage hors du Rwanda

Par principe, les données personnelles sont stockées au Rwanda. Le stockage hors du Rwanda n'est autorisé que si le responsable du traitement ou le sous-traitant détient un certificat d'enregistrement valide l'autorisant. Les transferts vers un tiers à l'étranger sont permis pour des motifs déterminés, notamment l'autorisation de l'autorité de contrôle après justification de garanties appropriées, le consentement de la personne concernée, ou la nécessité pour l'exécution d'un contrat ou l'exercice d'un droit en justice. Un contrat écrit doit préciser les responsabilités de chaque partie, et l'autorité peut suspendre ou interdire les transferts.

Les entreprises qui recourent à un hébergement cloud à l'étranger ou à des systèmes RH de groupe devraient consulter le service d'autorisation des transferts du DPO et intégrer ces clauses dans leurs contrats commerciaux. Pour le contexte politique plus large, consultez notre analyse des flux de données transfrontaliers en Afrique.

Violations de données personnelles

Le calendrier de notification des violations est serré et souvent mal présenté :

• Le responsable du traitement doit notifier toute violation de données personnelles à l'autorité de contrôle dans un délai de 48 heures après en avoir pris connaissance.
• A sous-traitant doit notifier le responsable du traitement dans un délai de 48 heures après en avoir pris connaissance.
• Le responsable du traitement doit ensuite soumettre un rapport de violation à l'autorité au plus tard dans un délai de 72 heures, précisant la nature de la violation, les personnes et les enregistrements concernés, les mesures prises et une proposition relative à l'information des personnes concernées.
• Lorsqu'une violation est susceptible d'engendrer un risque élevé pour les personnes, le responsable du traitement doit également les en informer, sauf exception légale.

Le DPO met à disposition un canal permettant de signaler une violation de données. Un plan désignant à l'avance les décideurs est indispensable pour respecter ces délais.

Sanctions prévues par la loi rwandaise sur la protection des données

Manquements administratifs. Les manquements tels que l'absence de registre des traitements, l'exercice d'une activité sans certificat d'enregistrement, l'utilisation d'un certificat expiré, le défaut de désignation d'un délégué à la protection des données ou le défaut de notification ou de rapport d'une violation sont passibles d'une amende administrative d'au moins RWF 2,000,000 et d'au plus RWF 5,000,000, ou de 1% du chiffre d'affaires mondial de l'exercice précédent. Pour une personne morale ou une entité juridique, la loi prévoit 1% du chiffre d'affaires mondial de l'exercice précédent.

Infractions pénales. L'accès, la collecte, l'utilisation, le partage ou la divulgation illicites de données personnelles sont punis d'une peine d'emprisonnement d'un à trois ans et d'une amende de RWF 7,000,000 à RWF 10,000,000, ou de l'une de ces deux peines seulement. La vente illicite de données et le traitement illicite de données sensibles sont plus lourdement sanctionnés. Une personne morale condamnée encourt une amende de 5% de son chiffre d'affaires annuel de l'exercice précédent, et les personnes ayant subi un préjudice grave peuvent demander réparation en justice.

Liste de contrôle pratique de conformité

• Cartographiez vos données : ce que vous détenez, où ces données se trouvent et où elles circulent.
• Confirmez votre rôle et enregistrez-vous en tant que responsable du traitement, sous-traitant ou les deux, et notez l'échéance de renouvellement.
• Désignez un délégué à la protection des données et communiquez ses coordonnées à l'autorité.
• Mettez à jour les mentions d'information et les consentements sur les sites web, les applications, les formulaires et les documents destinés au personnel.
• Mettez en place un registre des traitements et une procédure de DPIA pour les projets à haut risque.
• Obtenez les autorisations de transfert et de stockage et signez des contrats de transfert écrits avec vos prestataires.
• Testez un plan de réponse aux violations au regard des délais de 48 heures et de 72 heures.
• Protégez les actifs connexes : les bases de données clients et les logiciels nécessitent souvent aussi une protection au titre du droit de la propriété intellectuelle au Rwanda.
• Mettez en place une gouvernance : rendez compte des risques liés aux données au conseil d'administration dans le cadre d'une saine gouvernance d'entreprise, et intégrez la protection des données dans la diligence raisonnable relative aux acquisitions et aux investissements internationaux.

Foire aux questions

Comment s'appelle la loi sur la protection des données au Rwanda ?

Il s'agit de la loi Nº 058/2021 du 13/10/2021 relative à la protection des données à caractère personnel et de la vie privée. Elle est entrée en vigueur lors de sa publication au Journal officiel le 15 octobre 2021, et la période transitoire de deux ans accordée aux entreprises existantes a pris fin.

Qui réglemente la protection des données au Rwanda ?

L'Autorité nationale de cybersécurité (NCSA) contrôle l'application de la loi par l'intermédiaire de son Bureau de la protection des données et de la vie privée. Elle enregistre les responsables du traitement et les sous-traitants, autorise les transferts à l'étranger, traite les plaintes et prononce des sanctions administratives.

Les sociétés étrangères doivent-elles s'enregistrer auprès de la NCSA ?

La loi s'applique aux responsables du traitement et aux sous-traitants établis hors du Rwanda qui traitent des données personnelles de personnes se trouvant au Rwanda. Ces entreprises doivent également désigner par écrit un représentant au Rwanda. Les sociétés étrangères servant des clients rwandais doivent donc déterminer si elles sont tenues de s'enregistrer.

Dans quel délai une violation de données doit-elle être signalée au Rwanda ?

Le responsable du traitement doit notifier l'autorité de contrôle dans les 48 heures après avoir pris connaissance d'une violation, et le sous-traitant doit notifier le responsable du traitement dans le même délai. Un rapport complet doit suivre au plus tard dans les 72 heures. Les violations à haut risque doivent également être communiquées aux personnes concernées.

Les données personnelles peuvent-elles être stockées hors du Rwanda ?

Oui, mais uniquement si le responsable du traitement ou le sous-traitant détient un certificat d'enregistrement valide autorisant le stockage hors du Rwanda. Les transferts vers des tiers à l'étranger doivent en outre reposer sur l'un des fondements prévus par la loi et être encadrés par un contrat écrit.

Conclusion

La conformité à la loi rwandaise sur la protection des données est désormais une exigence opérationnelle, assortie d'un risque administratif et pénal réel pour les entreprises qui tardent à agir. Les organisations les mieux préparées s'enregistrent, désignent un délégué à la protection des données, documentent leurs traitements et s'exercent à la gestion des violations avant qu'un incident ne survienne.

Chez WAYAN, nos avocats en protection des données et cybersécurité au Rwanda peuvent évaluer votre situation, gérer votre enregistrement et vos autorisations auprès de la NCSA, et bâtir un programme de conformité adapté à votre activité. Prenez rendez-vous avec WAYAN pour commencer.