Protection des données
La loi n° 1/03 du 10 mars 2026 s'applique à tout traitement, automatisé ou non, de données personnelles par une personne physique, l'État, les collectivités locales et les personnes morales de droit public ou privé (art. 2). Un traitement n'est licite que si l'un des motifs de l'article 8 est réuni : consentement, exécution d'un contrat, obligation légale, sauvegarde d'intérêts vitaux, mission d'intérêt public ou intérêts légitimes du responsable. L'article 9 interdit de traiter les données révélant l'origine raciale ou ethnique, les opinions politiques, philosophiques ou religieuses, l'appartenance syndicale ou la santé, ainsi que les données biométriques servant à identifier une personne de façon sélective, sauf exceptions de l'article 10, dont le consentement exprès.
L'article 42 crée l'Agence de protection des données à caractère personnel, chargée de contrôler les traitements ; un décret doit en fixer les missions, la composition, l'organisation et le fonctionnement. Les « responsables majeurs du traitement », c'est-à-dire notamment les entreprises de plus de deux cents salariés et les autorités publiques (art. 4, 12°), doivent s'y enregistrer dans les six mois (art. 34), désigner un délégué à la protection des données (art. 37) et mener une analyse d'impact avant un traitement à risque élevé (art. 40) (Loi n° 1/03, 2026). L'Agence peut, après un avertissement écrit resté sans effet, suspendre l'activité d'un responsable majeur non enregistré pendant trois mois au plus, puis lui interdire définitivement de collecter et de traiter des données (art. 35).
Toute personne peut obtenir du responsable du traitement la confirmation que ses données sont traitées et une copie gratuite (art. 24 et 25), en demander la rectification (art. 29) ou l'effacement lorsque les données ne sont plus nécessaires, que son consentement est retiré ou que le traitement est illicite (art. 28), s'opposer pour motif légitime au traitement (art. 22) et, sans avoir à se justifier, à l'utilisation de ses données pour de la prospection commerciale, caritative ou politique (art. 23). Le responsable répond au plus tard dans le mois (art. 33), la portabilité vers un autre responsable devant être assurée dans les quinze jours (art. 31). Une décision produisant des effets juridiques ou importants ne peut reposer sur un traitement automatisé que dans trois cas (texte prévoyant des garanties, consentement, nécessité d'un contrat) et la personne peut en obtenir une nouvelle décision, motivée, prise par un être humain (art. 20) ; dès la collecte, le responsable doit indiquer s'il recourt à l'intelligence artificielle pour une décision automatisée (art. 17, 7°).
En cas de violation de données à risque pour les droits des personnes, le responsable prévient l'Agence au plus tard dans les quarante-huit heures (art. 45) et, si le risque est élevé, les personnes concernées dans les quatre-vingt-seize heures (art. 46). Les traitements existants devaient se mettre en conformité dans l'année pour l'État, les établissements publics, les collectivités locales et les personnes morales de droit privé chargées d'une mission de service public, et dans les six mois pour tous les autres (art. 53), à compter de l'entrée en vigueur au jour de la promulgation (art. 55).
La loi du 16 mars 2022 sur la cybercriminalité protège déjà la vie privée : enregistrer ou transmettre sans consentement des données électroniques à caractère privé ou confidentiel est puni de deux à cinq ans de servitude pénale et de trois à six millions de francs (art. 61), de même que mettre en ligne sans accord exprès des données révélant les opinions politiques ou religieuses, l'appartenance syndicale ou les mœurs, avec cinq à dix millions d'amende (art. 62). Elle impose aussi aux fournisseurs de services et opérateurs de réseaux de conserver les données de connexion et de trafic pendant dix ans au moins (art. 4).
Les points clés
| Texte | Loi n° 1/03 du 10 mars 2026 portant protection des données à caractère personnel |
|---|---|
| Autorité de contrôle | Agence de protection des données à caractère personnel (art. 42), organisation fixée par décret (Loi n° 1/03, 2026) |
| Données sensibles | Traitement interdit sauf exceptions (art. 9 et 10) ; amende de 500 000 à 5 millions de francs burundais (art. 50) |
| Violation de données | 3 mois à 1 an et/ou 50 000 à 500 000 francs ; personne morale : 1 à 20 millions (art. 47) |
| Collecte déloyale ou illicite | 6 mois à 5 ans et/ou 500 000 à 10 millions ; personne morale : 5 à 20 millions (art. 48) |
| Notification d'une violation | 48 heures à l'Agence, 96 heures aux personnes si le risque est élevé (art. 45 et 46) |
| Réponse à une demande | 1 mois ; portabilité : 15 jours (art. 31 et 33) |
| Conservation des données de connexion | 10 ans au moins (loi du 16 mars 2022, art. 4) |
| Mise en conformité | 1 an pour le secteur public, 6 mois pour les autres (art. 53) |
En pratique
- Adresser sa demande d'accès, par voie électronique si l'on veut, au responsable du traitement : la copie est gratuite, une copie supplémentaire pouvant donner lieu à une redevance forfaitaire fixée par ordonnance du ministre des Finances (art. 25).
- Refuser la prospection : l'opposition à l'usage de ses données pour de la prospection commerciale, caritative ou politique est gratuite et n'a pas à être motivée (art. 23).
- Demander l'effacement des données devenues inutiles ou traitées illicitement, que le responsable doit exécuter dans les meilleurs délais et notifier à chaque destinataire (art. 28).
- Si le responsable ne peut tenir le délai d'un mois, il doit en avertir la personne et l'Agence (art. 33) ; une demande jugée abusive peut être soumise à l'Agence, dont la décision se conteste devant les juridictions (art. 26).
Où s'adresser
- Responsable du traitement ou son délégué à la protection des données, pour toute demande (art. 37).
- Agence de protection des données à caractère personnel (art. 42), en cas de litige sur le caractère abusif d'une demande.
- Juridictions burundaises, pour contester une décision de l'Agence (art. 26).
À savoir
Le texte renvoie à un décret pour fixer les missions, la composition, l'organisation et le fonctionnement de l'Agence (art. 42) : avant de la saisir, vérifier que ce décret est paru et que l'Agence est en place. Les transferts de données vers l'étranger ne sont permis que vers un État ou une organisation assurant un niveau de protection suffisant, dont une ordonnance du ministre chargé de l'économie numérique dresse la liste, ou moyennant des garanties approuvées par l'Agence (art. 15).
Questions fréquentes
Peut-on refuser que son numéro serve à de la prospection ?
Oui : l'article 23 permet de s'y opposer sans frais et sans justifier d'un motif légitime, qu'elle soit commerciale, caritative ou politique.
Que prévoit la loi pour les données de santé ?
Le traitement des données relatives à la santé est interdit sauf exception (art. 9 et 10), notamment le suivi médical des patients en urgence ; l'accès à ces données ne se fait que par l'intermédiaire d'un médecin désigné par la personne (art. 32).
Un site peut-il me refuser une copie de mes données ?
Il peut ne pas donner suite à une demande abusive, notamment par sa fréquence, mais la personne qui conteste ce caractère abusif peut saisir l'Agence (art. 26) ; la première copie est gratuite (art. 25).
Sources
- Loi n° 1/03 du 10 mars 2026 portant protection des données à caractère personnel (exemplaire de l'ARCT) — art. 2, 4, 5, 8 à 10, 12, 15, 17 à 35, 37, 40, 42, 45 à 53 et 55 ; texte bilingue français-kirundi lu par reconnaissance de caractères (en-tête vérifié : loi n° 1/03 du 10 mars 2026)
- Loi n° 1/10 du 16 mars 2022 portant prévention et répression de la cybercriminalité au Burundi (exemplaire de l'ARCT) — art. 4 (conservation des données), art. 61 à 63 (atteintes à la vie privée)
- Constitution de la République du Burundi du 7 juin 2018 (texte français, Digithèque MJP, d'après la Présidence de la République) — art. 28 et 43 : respect de la vie privée, du domicile et des communications
L'article général : Protection des données · Comparer avec un autre pays
Arnaques sentimentales
L'article 315 du Code pénal de 2017 punit de deux mois à cinq ans de servitude pénale et de 50 000 à 200 000 francs burundais, ou de l'une de ces peines, quiconque, pour s'approprier le bien d'autrui, s'est fait remettre des fonds ou des biens en faisant usage de faux noms ou de fausses qualités, ou par des manœuvres frauduleuses persuadant de l'existence de fausses entreprises, d'un pouvoir ou d'un crédit imaginaire, ou faisant naître l'espérance ou la crainte d'un événement chimérique ; l'article 316 porte la peine à deux à cinq ans et 100 000 à un million de francs si l'auteur fait appel au public pour émettre des titres ou collecter des fonds à des fins d'entraide humanitaire ou sociale, est ou se dit dépositaire de l'autorité publique, vise une personne vulnérable ou agit en bande organisée. Lorsque l'escroquerie est commise à l'aide d'un moyen de communication électronique, l'article 34 de la loi du 16 mars 2022 la punit de cinq à dix ans et de dix à vingt millions de francs, ou de l'une de ces peines.
Le chantage, qui consiste à obtenir une signature, un engagement, la révélation d'un secret ou la remise de fonds en menaçant de révéler ou d'imputer des faits portant atteinte à l'honneur ou à la considération, est puni d'un à cinq ans de servitude pénale et de 50 000 à 100 000 francs, et jusqu'à dix ans si la menace a été mise à exécution (Code pénal, art. 284). Obtenir des données informatiques par la menace écrite ou verbale d'une révélation ou d'une imputation diffamatoire est puni de deux à cinq ans et de cinq à dix millions de francs (loi de 2022, art. 40).
La loi de 2022 définit le phishing comme une escroquerie par courriel qui prend l'identité d'une personne ou d'une entreprise connue pour inciter les destinataires à mettre à jour leurs coordonnées bancaires sur de fausses pages (art. 2, 16°) ; créer ou utiliser un site web ou envoyer un message pour obtenir des informations confidentielles à des fins criminelles est puni de cinq à dix ans et de dix à trente millions de francs (art. 36). L'usurpation de l'identité numérique d'un tiers pour en tirer profit ou tromper autrui est punie de deux à cinq ans et de dix à vingt millions (art. 35), et la falsification ou l'usage d'une carte de paiement contrefaite de quinze à vingt ans et de 50 à 100 millions (art. 28).
Les fournisseurs de services doivent informer leurs clients des tendances de la cybercriminalité et de la façon de la signaler, et révéler les abus à la victime et aux organes de répression (art. 5) ; ils signalent immédiatement aux services d'enquête tout usage de leur système pour commettre une infraction (art. 6). Le fournisseur ou l'opérateur auprès duquel l'auteur d'une communication électronique ne peut être retrouvé, faute de conservation des données relatives aux abonnés, encourt de 100 à 500 millions de francs d'amende (art. 23).
La loi s'applique aux infractions commises hors du Burundi lorsqu'elles y produisent leurs effets (art. 1) ; le Code pénal (art. 10) permet aussi de poursuivre un crime ou un délit commis à l'étranger si l'auteur se trouve au Burundi ou si la victime est burundaise et que le fait est puni dans le pays des faits.
Les points clés
| Escroquerie | 2 mois à 5 ans et/ou 50 000 à 200 000 francs burundais (Code pénal, art. 315) |
|---|---|
| Escroquerie aggravée | 2 à 5 ans et/ou 100 000 à 1 million : appel au public, agent public réel ou prétendu, personne vulnérable, bande (art. 316) |
| Escroquerie par moyen électronique | 5 à 10 ans et/ou 10 à 20 millions (loi de 2022, art. 34) (Loi n° 1/10, 2022) |
| Usurpation d'identité numérique | 2 à 5 ans et 10 à 20 millions (loi de 2022, art. 35) (Loi n° 1/10, 2022) |
| Phishing | 5 à 10 ans et 10 à 30 millions (loi de 2022, art. 36) (Loi n° 1/10, 2022) |
| Chantage | 1 à 5 ans et 50 000 à 100 000 francs ; jusqu'à 10 ans si la menace est exécutée (Code pénal, art. 284) |
| Menace de révélation pour obtenir des données | 2 à 5 ans et 5 à 10 millions (loi de 2022, art. 40) |
| Carte de paiement contrefaite | 15 à 20 ans et 50 à 100 millions (loi de 2022, art. 28) |
| Portée géographique | Infractions commises hors du Burundi mais produisant leurs effets sur son territoire (loi de 2022, art. 1) |
En pratique
- Garder les messages, numéros, noms de comptes et preuves de paiement : l'autorité compétente peut faire conserver sans délai les données informatiques menacées de perte (loi de 2022, art. 65) et saisir les systèmes ou en copier les données (art. 67).
- Porter plainte auprès d'un officier de police judiciaire ou du ministère public : sur réquisition du parquet ou ordonnance du juge, l'officier peut obliger un fournisseur de services à collecter ou enregistrer les données de trafic ou de contenu (art. 68).
- Signaler l'abus au fournisseur du service utilisé, qui doit indiquer comment signaler la cybercriminalité et révéler les abus à la victime et aux organes chargés de la répression (art. 5) ; les clients doivent eux-mêmes dénoncer sans délai les actes qui portent atteinte à la cybersécurité (art. 10).
Où s'adresser
- Officier de police judiciaire ou parquet de la République, pour la plainte pénale.
- Fournisseur de services ou opérateur de réseau concerné, pour signaler l'abus (loi de 2022, art. 5 et 6).
Questions fréquentes
Un faux profil amoureux demande de l'argent : est-ce puni ?
Oui : se faire remettre des fonds en usant d'un faux nom, d'une fausse qualité ou d'une mise en scène est une escroquerie (Code pénal, art. 315), et la loi de 2022 la punit de cinq à dix ans lorsqu'elle passe par un moyen de communication électronique (art. 34).
Menacer de diffuser des informations pour obtenir de l'argent est-il puni ?
Oui : c'est un chantage, puni d'un à cinq ans de servitude pénale, et jusqu'à dix ans si la menace est mise à exécution (Code pénal, art. 284) ; la loi de 2022 punit en outre l'extorsion de données par menace de révélation (art. 40).
Un escroc installé à l'étranger peut-il être poursuivi au Burundi ?
La loi de 2022 s'applique aux infractions commises hors du Burundi lorsqu'elles y produisent leurs effets (art. 1).
Sources
- Loi n° 1/27 du 29 décembre 2017 portant révision du Code pénal (texte consolidé publié par droit-afrique.com) — art. 10 (infractions commises à l'étranger), art. 284 (chantage), art. 315 et 316 (escroquerie)
- Loi n° 1/10 du 16 mars 2022 portant prévention et répression de la cybercriminalité au Burundi (exemplaire de l'ARCT) — art. 1, 2, 5, 6, 10, 23, 28, 34 à 36, 40, 65, 67 et 68 ; texte scanné lu par reconnaissance de caractères
L'article général : Arnaques sentimentales · Comparer avec un autre pays