L’essentiel
- Autorité de contrôle
- Office of the Data Protection Commissioner (ODPC)
- Formalités
- Certificat d’enregistrement obligatoire, valable 1 an et renouvelable.
- Délégué à la protection des données
- Obligatoire.
- Violation de données
- 24 heures au Commissaire ; information des personnes « dès que possible ».
- Transferts hors du pays
- Traitement et stockage en Zambie ; transfert avec consentement et contrat approuvé ou autorisation.
- À savoir
- Site de l’autorité non ouvert (erreur de certificat) lors de la vérification.
Sources : https://www.dlapiperdataprotection.com/index.html?t=law&c=ZM
La checklist des données personnelles pour un projet en Zambie
Contrôles retenus pour un site web qui traite des données personnelles et les héberge hors du pays.
DP-01
PrioritaireValidation juridique
Ne demandez que les informations dont le service a vraiment besoin.
- Action
- Relier chaque donnée collectée à une finalité précise et supprimer les champs sans justification.
- Preuve à réunir
- Un registre : donnée, finalité, base légale, destinataires, durée de conservation.
Droit national : Act No. 3 of 2021, Zambie, autorité ODPC. Articles à vérifier dans le texte national.
DP-02
PrioritaireValidation juridique
- Action
- Pour chaque traitement, identifier la base légale ; si c’est le consentement, le recueillir avant la collecte, de façon libre et documentée.
- Preuve à réunir
- La preuve du consentement (date, version du texte) ou la base légale écrite dans le registre.
Droit national : Act No. 3 of 2021, Zambie, autorité ODPC. Articles à vérifier dans le texte national.
DP-04
PrioritaireValidation juridique
Dans la plupart des pays africains, un traitement de données doit être déclaré ou autorisé avant de démarrer.
- Action
- Déterminer le régime applicable (déclaration, déclaration simplifiée, autorisation ou avis) et le déposer avant la mise en œuvre du traitement.
- Preuve à réunir
- Récépissé ou décision de l’autorité de protection des données.
Droit national : Act No. 3 of 2021, Zambie, autorité ODPC. Articles à vérifier dans le texte national.
DP-05
PrioritaireValidation juridique
- Action
- Publier une information compréhensible : identité du responsable, finalités, catégories de données, destinataires, durée de conservation, droits et moyen de les exercer.
- Preuve à réunir
- La politique de confidentialité, visible au moment de la collecte.
Droit national : Act No. 3 of 2021, Zambie, autorité ODPC. Articles à vérifier dans le texte national.
DP-06
PrioritaireValidation juridique
- Action
- Prévoir un canal (adresse, formulaire) et une procédure pour l’accès, la rectification, l’opposition et la suppression, avec un délai de réponse suivi.
- Preuve à réunir
- La procédure écrite et le journal des demandes traitées avec leurs dates.
Droit national : Act No. 3 of 2021, Zambie, autorité ODPC. Articles à vérifier dans le texte national.
DP-08
PrioritaireValidation juridique
Héberger chez un fournisseur étranger est souvent un transfert de données qui demande une autorisation.
- Action
- Lister les pays où les données sont hébergées ou consultées (nuage, support, outils SaaS, IA) et obtenir l’autorisation ou les garanties exigées avant tout transfert.
- Preuve à réunir
- Carte des flux de données et autorisations ou garanties obtenues.
Droit national : Act No. 3 of 2021, Zambie, autorité ODPC. Articles à vérifier dans le texte national.
DP-12
PrioritaireValidation juridique
Les délais varient : 72 h au Nigeria et au Kenya, 48 h au Rwanda, 24 h en Zambie, « sans délai » au Niger ou au Gabon.
- Action
- Prévoir comment détecter, qualifier et documenter une fuite, et vérifier dans le droit du pays s’il faut notifier l’autorité et les personnes, et dans quel délai.
- Preuve à réunir
- Registre des violations et modèle de notification prêt.
Droit national : Act No. 3 of 2021, Zambie, autorité ODPC. Articles à vérifier dans le texte national.
DP-07
ImportantValidation juridique
- Action
- Définir une durée par catégorie de données et automatiser la suppression ou l’anonymisation à l’échéance, sauvegardes comprises.
- Preuve à réunir
- Tableau des durées et preuve d’exécution de la purge (tâche planifiée, journal).
Droit national : Act No. 3 of 2021, Zambie, autorité ODPC. Articles à vérifier dans le texte national.
- Action
- Choisir les réglages les plus protecteurs par défaut (profil privé, partage désactivé), pseudonymiser quand c’est possible, limiter les accès internes.
- Preuve à réunir
- Revue de conception datée et captures des réglages par défaut.
DP-10
RecommandéValidation juridique
Au Burkina Faso le délégué est facultatif ; dans d’autres pays (Algérie, Rwanda, Maurice…) il est obligatoire.
- Action
- Nommer une personne joignable pour les questions de données ; vérifier si un délégué (DPO) est obligatoire dans le pays.
- Preuve à réunir
- Lettre de désignation et contact publié.
Droit national : Act No. 3 of 2021, Zambie, autorité ODPC. Articles à vérifier dans le texte national.