Arrêté n° 007/24/MENTD/CAB du 10 septembre 2024 relatif aux conditions d’accès et de partage de données du Registre social des personnes et des ménages

Le présent arrêté, pris en application de l’article 13 du décret n° 2023-043/PR du 24 avril 2023 portant création et fonctionnement du Registre Social des Personnes et des Ménages (RSPM), a pour objet de définir les conditions d’accès et de partage des données du RSPM avec les différentes administrations pour la définition et la mise en œuvre des programmes d’aide.

Au sens du présent arrêté, on entend par :

• entité requérante : toute administration ou toute autre personne morale de droit public justifiant de l’exercice d’une mission d’intérêt public, souhaitant avoir accès aux données du RSPM ;
• partage de données : mécanisme par lequel les différentes bases de données peuvent se partager leurs accès mutuels selon les finalités exprimées et la possibilité pour tous les acteurs de la protection sociale d’accéder à certaines informations pour exploitation dans le cadre de leurs projets et programmes conformément aux conditions et modalités prévues par les textes.

Les autres termes et expressions ont la signification que leur confèrent la loi sur la protection des données à caractère personnel, la loi relative à l’identification biométrique des personnes physiques au Togo et le décret n° 2023-043/PR du 24 avril 2023 portant création et fonctionnement du Registre Social des Personnes et des Ménages (RSPM).

Sans préjudice des principes contenus dans la loi n° 2019-014 du 29 octobre 2019 relative à la protection des données à caractère personnel, le traitement des données contenues dans le RSPM obéit aux principes suivants :

• intégrité : les données du RSPM sont traitées, conservées et transmises dans des conditions de nature à ne pas les altérer ni volontairement, ni accidentellement et à les conserver dans un format qui permet leur utilisation ;
• disponibilité : tous les équipements et logiciels qui composent l’infrastructure informatique qui abrite les données du RSPM sont maintenus en condition opérationnelle ;
• confidentialité : toutes les mesures techniques, juridiques et matérielles sont prises pour garantir que seules les personnes dûment habilitées ont accès aux données du RSPM ;
• traçabilité : tout accès et toute opération touchant à la base de données du RSPM ou aux données elles-mêmes sont systématiquement enregistrés et documentés.

Toute personne morale de droit public peut accéder à une partie des données du RSPM. Cet accès est limité aux données strictement nécessaires à l’exercice de sa mission d’intérêt public.

Conformément à l’article 13 du décret n° 2023-043/PR du 24 avril 2023 portant création et fonctionnement du Registre Social des Personnes et des Ménages (RSPM), l’Agence Nationale d’Identification (ANID) est chargée de fournir les informations demandées aux personnes autorisées à accéder aux données du RSPM, lorsque les conditions fixées à l’article 5 du présent arrêté sont respectées.

Toute entité requérante désireuse d’avoir accès aux données du RSPM adresse une demande à l’ANID, conformément au dossier de demande disponible sur la plateforme du RSPM, en précisant la mission d’intérêt public dont elle est investie, les catégories de personnes ou de ménages pour lesquelles elle souhaite avoir accès aux données, les informations relatives au responsable du traitement ainsi que les coordonnées de la personne désignée pour avoir accès aux données du RSPM au nom et pour le compte de l’entité requérante ainsi que le cas échéant le nom de la personne morale pour le compte de laquelle elle effectue la demande.

L’ANID informe le ministère de tutelle ou la hiérarchie de l’entité requérante de chaque demande.

Le dossier de demande précise également les dispositions prises par l’entité requérante afin de garantir le respect par elle des principes énoncés à l’article 3 du présent arrêté. Dans le cas des demandes effectuées pour le compte d’une autre personne morale, le dossier de demande doit également comprendre la preuve des dispositions prévues au présent alinéa prises par celle-ci.

Lorsque la demande porte sur des données à caractère personnel, l’ANID soumet un dossier de demande d’autorisation à l’Instance de Protection des Données à Caractère Personnel (IPDCP) assorti de son avis sur la demande d’accès formulée par l’entité requérante. L’accès n’est accordé par l’ANID que sur autorisation expresse de l’IPDCP. Dans tous les cas, une convention est signée entre l’ANID et l’entité requérante.

A défaut de réponse de l’ANID dans un délai de deux mois suivant la date de réception du dossier de demande de l’entité requérante, l’accès aux données du RSPM est réputé refusé et l’entité requérante peut émettre une nouvelle demande dans les mêmes conditions.

L’ANID évalue et s’assure, avant tout partage de données du RSPM, que les dispositions prises par l’entité requérante pour garantir le respect par elle des principes énoncés à l’article 3 du présent arrêté, sont pertinentes et suffisantes.

Elle peut recourir à l’assistance de l’Agence nationale de la cybersécurité et à l’Agence Togo digital pour effectuer cette évaluation.

Pour donner l’accès à certaines données du RSPM à une entité requérante ayant réalisé une demande conformément à l’article 5 du présent arrêté, l’ANID crée un compte personnalisé sur la plateforme du RSPM, et en donne l’accès à la personne désignée par l’entité requérante pour avoir accès aux données du RSPM au nom et pour le compte de l’entité requérante.

Lorsque la demande est faite par l’entité requérante au profit d’une autre personne morale, le compte personnalisé mentionné à l’alinéa précédent est créé au nom de la personne proposée par cette autre personne morale.

Ce compte d’accès permet à la personne désignée par l’entité requérante de se connecter à la plateforme du RSPM et de disposer des données nécessaires à la définition et à la mise en œuvre des programmes d’aide, uniquement pour les données visées dans le dossier de demande de l’entité requérante et accordées par l’ANID conformément à l’article 5 du présent arrêté.

L’ANID veille à donner les autorisations d’accès conformément aux besoins exprimés par l’entité requérante dans son dossier de demande d’accès aux données du RSPM, et à ne fournir aucune autorisation d’accès à des données qui n’auraient pas été visées dans le dossier de demande de l’entité requérante, ni été accordées par l’ANID conformément à l’article 5 du présent arrêté.

Tout utilisateur de données à caractère personnel liées au RSPM est tenu de mettre en place un système efficace et fiable susceptible de garantir la conservation, la sécurité et la confidentialité desdites données.

Les mesures opérationnelles ci-après doivent être prises :

• mise en place d’un système de contrôle d’accès aux systèmes de données ;
• mise en place d’un mécanisme d’authentification ;
• mise en œuvre d’une politique de gestion des accès aux données ;
• mise en œuvre des procédures qui assurent la continuité de la disponibilité des données.

L’ANID veille à la mise en place du système visé au premier paragraphe du présent article par les utilisateurs de données à caractère personnel liées au RSPM. Si, à tout moment, l’ANID constate qu’un tel système n’est pas mis en place ou a cessé d’exister, elle suspend l’accès aux données du RSPM pour l’utilisateur concerné. Ce dernier est informé de la suspension par notification écrite de l’ANID. La suspension cesse dès que l’ANID est notifiée par l’utilisateur concerné que le système visé au premier paragraphe du présent article a été mis en place ou rétabli, et qu’elle a vérifié que ce dernier était conforme aux prescriptions du présent article.

Toute personne ou tout ménage dont les données à caractère personnel font l’objet de traitement, dispose des droits reconnus aux articles 35 à 50 de la loi n° 2019-014 du 29 octobre 2019 relative à la protection des données à caractère personnel.

Toute personne ou ménage enregistré au RSPM qui s’estime lésé dans le cadre du traitement de ses données à caractère personnel au titre du présent arrêté, a le droit d’introduire une plainte ou une réclamation auprès de l’ANID.

Le requérant peut saisir par écrit ou par moyen électronique l’ANID selon les modalités communiquées par l’ANID au moment de l’inscription au RSPM, conformément aux dispositions de l’article 7 du décret n° 2023-043/PR du 24 avril 2023 portant création et fonctionnement du Registre social des personnes et des ménages (RSPM).

Dès la réception de la plainte, l’ANID doit examiner et traiter la requête pour notifier sa réponse à l’intéressé dans un délai de trente jours maximums.

Lorsque l’ANID constate, suite à l’instruction d’une plainte, un manquement aux dispositions du présent arrêté par une entité requérante, elle communique immédiatement à l’IPDCP la nature du manquement, sans préjudice de la suspension du droit d’accès.

L’ANID établit chaque trimestre un rapport qui détaille les requêtes reçues et la suite réservée à ces requêtes.

Ce rapport trimestriel est transmis à l’IPDCP et aux ministères de tutelle technique de l’ANID.

Le secrétaire général du ministère de l’Economie Numérique et de la Transformation Digitale est chargé de l’exécution du présent arrêté qui sera publié au Journal Officiel de la République Togolaise.