Décret n° 2019-2280 du 31 décembre 2019 portant autorisation de la mise en œuvre d’un traitement automatisé de données à caractère personnel pour l’intégration des grands facturiers à la plateforme électronique de partage des informations sur le crédit

Le présent décret fixe le cadre de communication de certaines données à caractère personnel des clients des grands facturiers au Bureau d’Information sur le Crédit (BIC) pour leur traitement dans le cadre de l’exécution d’une mission relevant de l’exercice de l’autorité publique.

Au sens du présent décret, on entend par grands facturiers, les opérateurs de communications électroniques, les sociétés de fourniture d’eau et d’électricité.

Par dérogation à l’article 33 de loi n° 2008-12 du 25 janvier 2008 portant sur la protection des données à caractère personnel, les grands facturiers communiquent, par le biais de la plateforme électronique de partage des informations sur le crédit, les données à caractère personnel de leurs clients, en vue de leur traitement.

Les finalités du traitement prévu à l’article 3 sont :

• l’exploitation d’une plateforme électronique de partage des informations sur le crédit au Sénégal ;
• la production de rapports sur le crédit ou de solvabilité contenant différentes sections de données et d’informations détaillées sur l’historique de crédit de l’emprunteur ;
• l’établissement d’un modèle de scoring pour l’attribution de notes aux emprunteurs ou de scores spécifiques attribués aux clients par le BIC sur la base d’un périmètre d’informations plus large ;
• l’amélioration de l’accès au financement, à moindre coût des agents économiques ;
• le renforcement de l’efficacité de la supervision de l’activité de crédit et la réduction du risque systémique ;
• le renforcement du système financier du Sénégal ;
• l’amélioration du climat des affaires.

Le traitement des données à caractère personnel autorisé par le présent décret porte sur :

• les données de l’état civil permettant d’identifier les clients des grands facturiers ;
• les informations concernant les antécédents de crédit ;
• l’historique des paiements d’une personne physique ou morale, y compris sa capacité d’emprunt ou de remboursement et son comportement ;
• l’ensemble des risques de crédit, le volume des prêts, la maturité, les modalités et conditions, les remboursements, les garanties et tous autres engagements financiers, qui permettent de déterminer, à tout moment, la situation financière et l’exposition de la personne physique ou morale concernée.

Dans la limite de leurs attributions respectives et pour l’exercice des finalités mentionnées à l’article 4 du présent décret, seuls peuvent être destinataires des données à caractère personnel, dont le traitement est autorisé par le présent décret :

• les agents habilités de la société gestionnaire de la plateforme dont le traitement est autorisé par le présent décret ;
• les officiers judiciaires compétents, munis d’une autorisation du Président du Tribunal, d’une réquisition du Procureur de la République ou d’une ordonnance du Juge d’instruction.

Peuvent accéder aux données à caractère personnel dont le traitement est autorisé par le présent décret, dans la limite de leurs attributions respectives :

• les officiers de police judiciaire compétents, munis d’une autorisation du Président du Tribunal, d’une réquisition du Procureur de la République ou d’une ordonnance du Juge d’instruction ;
• les Autorités publiques sénégalaises, dans l’exercice de leurs missions ;
• les agents assermentés de l’Autorité de protection des données personnelles ;
• les prestataires techniques, les agents chargés du fonctionnement de la maintenance et de l’entretien du dispositif, individuellement désignés pour une durée limitée.

Les données à caractère personnel dont le traitement est autorisé par le présent décret ne peuvent être conservées dans la plateforme au-delà de la durée nécessaire pour la réalisation de la finalité poursuivie.

La société gestionnaire de la plateforme électronique de partage des informations sur les crédits conserve les données pour une durée de dix ans maximum à compter de la collecte.

Au-delà de la période de conservation, les données doivent faire l’objet d’un archivage électronique.

La société gestionnaire de la plateforme électronique de partage des informations sur le crédit et les grands facturiers sont tenus de désigner chacun un correspondant à la protection qui sera l’interface entre ces entités et l’Autorité de protection des données.

Les droits d’accès, de rectification et d’opposition prévus dans la loi n° 2008-12 du 25 janvier 2008 susvisée s’exercent directement auprès du correspondant à la protection désigné.

La société gestionnaire de la plateforme électronique de partage des informations sur le crédit à l’obligation de communiquer aux personnes concernées, les informations suivantes :

• l’identité du responsable du traitement et, le cas échéant, de son représentant légal ;
• les finalités du traitement ;
• les catégories de données concernées ;
• les destinataires ou les catégories des destinataires auxquelles les données traitées sont susceptibles d’être communiquées ;
• le caractère obligatoire ou facultatif des moyens utilisés pour la collecte des données ;
• l’existence des droits d’accès, de rectification et d’opposition pour les personnes concernées et les coordonnées du service où l’on peut faire valoir lesdits droits ;
• la durée de conservation des données traitées ;
• l’éventualité de tout transfert des données traitées à destination de pays tiers.

Les informations mentionnées à l’article 10 du présent décret sont communiquées par la société gestionnaire de la plateforme de partage des informations sur le crédit, par le biais :

• d’affiches dans les lieux où s’effectue le traitement autorisé ;
• de mentions légales sur ses formulaires et sur son site internet ;
• de la presse.

La société gestionnaire de la plateforme électronique de partage des informations sur le crédit et les grands facturiers prennent toutes les précautions utiles pour préserver la sécurité et la confidentialité des données traitées et notamment pour empêcher qu’elles soient détruites, déformées, endommagées ou que des tiers non autorisées puissent en prendre connaissance.

La société gestionnaire de la plateforme électronique de partage des informations sur le crédit et les grands facturiers doivent établir un rapport annuel communiqué à l’Autorité de protection de données, au plus tard le 31 janvier de l’année suivant l’exercice écoulé.

Un délai transitoire d’un mois est accordé aux grands facturiers pour se conformer aux dispositions du présent décret.

Le Ministre des Finances et du Budget, le Ministre du Pétrole et des Energies, le Ministre de l’Eau et de l’Assainissement et le Ministre de l’Economie numérique et des Télécommunications sont chargés, chacun en ce qui le concerne, de l’application du présent décret qui sera publié au Journal officiel de la République du Sénégal.