L’essentiel
- Autorité de contrôle
- Information and Data Protection Commission (IDPC)
- Formalités
- Enregistrement des coordonnées du délégué auprès de la Commission ; modalités d’enregistrement non publiées lors de la vérification.
- Délégué à la protection des données
- Obligatoire en cas de surveillance à grande échelle ou de données sensibles.
- Violation de données
- 72 heures à la Commission ; information des personnes sans retard injustifié si leurs droits sont en jeu.
- Transferts hors du pays
- Interdits sauf conditions (pays adéquat, contrat, intérêt public…) (section 74) ; liste officielle de pays agréés.
- À savoir
- La loi de 2024 remplace celle de 2018 ; la date indiquée est son entrée en vigueur.
Sources : https://www.michalsons.com/blog/botswanas-data-protection-act-g… ; https://www.dlapiperdataprotection.com/index.html?t=law&c=BW
La checklist des données personnelles pour un projet au Botswana
Contrôles retenus pour un site web qui traite des données personnelles et les héberge hors du pays.
DP-01
PrioritaireValidation juridique
Ne demandez que les informations dont le service a vraiment besoin.
- Action
- Relier chaque donnée collectée à une finalité précise et supprimer les champs sans justification.
- Preuve à réunir
- Un registre : donnée, finalité, base légale, destinataires, durée de conservation.
Droit national : Act No. 18 of 2024, Botswana, autorité IDPC. Articles à vérifier dans le texte national.
DP-02
PrioritaireValidation juridique
- Action
- Pour chaque traitement, identifier la base légale ; si c’est le consentement, le recueillir avant la collecte, de façon libre et documentée.
- Preuve à réunir
- La preuve du consentement (date, version du texte) ou la base légale écrite dans le registre.
Droit national : Act No. 18 of 2024, Botswana, autorité IDPC. Articles à vérifier dans le texte national.
DP-04
PrioritaireValidation juridique
Dans la plupart des pays africains, un traitement de données doit être déclaré ou autorisé avant de démarrer.
- Action
- Déterminer le régime applicable (déclaration, déclaration simplifiée, autorisation ou avis) et le déposer avant la mise en œuvre du traitement.
- Preuve à réunir
- Récépissé ou décision de l’autorité de protection des données.
Formalités · BotswanaEnregistrement des coordonnées du délégué auprès de la Commission ; modalités d’enregistrement non publiées lors de la vérification.
Droit national : Act No. 18 of 2024, Botswana, autorité IDPC. Articles à vérifier dans le texte national.
DP-05
PrioritaireValidation juridique
- Action
- Publier une information compréhensible : identité du responsable, finalités, catégories de données, destinataires, durée de conservation, droits et moyen de les exercer.
- Preuve à réunir
- La politique de confidentialité, visible au moment de la collecte.
Droit national : Act No. 18 of 2024, Botswana, autorité IDPC. Articles à vérifier dans le texte national.
DP-06
PrioritaireValidation juridique
- Action
- Prévoir un canal (adresse, formulaire) et une procédure pour l’accès, la rectification, l’opposition et la suppression, avec un délai de réponse suivi.
- Preuve à réunir
- La procédure écrite et le journal des demandes traitées avec leurs dates.
Droit national : Act No. 18 of 2024, Botswana, autorité IDPC. Articles à vérifier dans le texte national.
DP-08
PrioritaireValidation juridique
Héberger chez un fournisseur étranger est souvent un transfert de données qui demande une autorisation.
- Action
- Lister les pays où les données sont hébergées ou consultées (nuage, support, outils SaaS, IA) et obtenir l’autorisation ou les garanties exigées avant tout transfert.
- Preuve à réunir
- Carte des flux de données et autorisations ou garanties obtenues.
Transferts hors du pays · BotswanaInterdits sauf conditions (pays adéquat, contrat, intérêt public…) (section 74) ; liste officielle de pays agréés.
Droit national : Act No. 18 of 2024, Botswana, autorité IDPC. Articles à vérifier dans le texte national.
DP-12
PrioritaireValidation juridique
Les délais varient : 72 h au Nigeria, au Kenya ou au Botswana, 48 h au Rwanda, 24 h en Zambie et au Zimbabwe, « sans délai » au Niger ou au Gabon.
- Action
- Prévoir comment détecter, qualifier et documenter une fuite, et vérifier dans le droit du pays s’il faut notifier l’autorité et les personnes, et dans quel délai.
- Preuve à réunir
- Registre des violations et modèle de notification prêt.
Notification des violations · Botswana72 heures à la Commission ; information des personnes sans retard injustifié si leurs droits sont en jeu.
Droit national : Act No. 18 of 2024, Botswana, autorité IDPC. Articles à vérifier dans le texte national.
DP-07
ImportantValidation juridique
- Action
- Définir une durée par catégorie de données et automatiser la suppression ou l’anonymisation à l’échéance, sauvegardes comprises.
- Preuve à réunir
- Tableau des durées et preuve d’exécution de la purge (tâche planifiée, journal).
Droit national : Act No. 18 of 2024, Botswana, autorité IDPC. Articles à vérifier dans le texte national.
- Action
- Choisir les réglages les plus protecteurs par défaut (profil privé, partage désactivé), pseudonymiser quand c’est possible, limiter les accès internes.
- Preuve à réunir
- Revue de conception datée et captures des réglages par défaut.
DP-10
RecommandéValidation juridique
Au Burkina Faso le délégué est facultatif ; dans d’autres pays (Algérie, Maurice, Zimbabwe…) il est obligatoire.
- Action
- Nommer au moins un point de contact joignable pour les questions de données ; vérifier si un délégué (DPO) est obligatoire dans le pays et, si oui, le désigner et le déclarer.
- Preuve à réunir
- Lettre de désignation et contact publié.
Délégué à la protection des données · BotswanaObligatoire en cas de surveillance à grande échelle ou de données sensibles.
Droit national : Act No. 18 of 2024, Botswana, autorité IDPC. Articles à vérifier dans le texte national.
En brefQuestions fréquentes
Quelle loi protège les données personnelles au Botswana ?
Data Protection Act, 2024 (Act No. 18 of 2024 du 14 janvier 2025). Statut : en vigueur.
Quelle est l’autorité de protection des données au Botswana ?
Information and Data Protection Commission (IDPC)
Faut-il déclarer un traitement de données au Botswana ?
Enregistrement des coordonnées du délégué auprès de la Commission ; modalités d’enregistrement non publiées lors de la vérification.
Un délégué à la protection des données (DPO) est-il obligatoire au Botswana ?
Obligatoire en cas de surveillance à grande échelle ou de données sensibles.
Faut-il notifier une violation de données au Botswana ?
72 heures à la Commission ; information des personnes sans retard injustifié si leurs droits sont en jeu.
Peut-on héberger ou transférer des données hors du pays au Botswana ?
Interdits sauf conditions (pays adéquat, contrat, intérêt public…) (section 74) ; liste officielle de pays agréés.