Protection des données
Protection des données personnelles au Rwanda : la loi n° 058/2021 relative à la protection des données à caractère personnel et de la vie privée s'applique au traitement « par des moyens électroniques ou autres », à un responsable du traitement ou à un sous-traitant établi ou résidant au Rwanda qui traite des données alors qu'il s'y trouve, et à celui qui est établi ailleurs et traite les données de personnes concernées situées au Rwanda (art. 2) (Loi n° 058/2021). Son autorité de contrôle est l'« autorité publique ayant la cybersécurité dans ses attributions » (art. 3(23)) (Loi n° 058/2021), c'est-à-dire la National Cyber Security Authority, dont le Data Protection and Privacy Office (Bureau de protection des données et de la vie privée) gère dpo.gov.rw. Les « données à caractère personnel sensibles » couvrent la race, l'état de santé, le casier judiciaire, le dossier médical, l'origine sociale, les convictions religieuses ou philosophiques, l'opinion politique, les informations génétiques ou biométriques, la vie sexuelle et les détails familiaux (art. 3(2)) (Loi n° 058/2021) ; le consentement doit être libre, spécifique, éclairé et non équivoque et peut être oral, écrit ou électronique (art. 3(18) et 6), et peut être retiré à tout moment aussi facilement qu'il a été donné (art. 8) (Loi n° 058/2021). L'article 23 de la Constitution protège par ailleurs la vie privée de la personne, de la famille, du domicile et de la correspondance (Constitution, 2015).
Les personnes concernées ont des droits définis, chacun exercé par écrit ou par voie électronique. Elles peuvent obtenir les finalités du traitement, une copie de leurs données, une description de ce qui est détenu, la source et tout transfert à l'étranger (art. 18) (Loi n° 058/2021) ; s'opposer à un traitement qui cause ou risque de causer une perte, de la tristesse ou de l'anxiété, et à la prospection directe (art. 19) ; faire envoyer leurs données à elles-mêmes ou à un autre responsable du traitement (art. 20) ; refuser les décisions fondées uniquement sur un traitement automatisé, y compris le profilage (art. 21) ; limiter le traitement (art. 22) ; demander l'effacement lorsque les données ne sont plus nécessaires, que le consentement est retiré, que l'opposition aboutit ou que le traitement était illicite (art. 23) ; et la rectification (art. 24). Pour l'opposition, la portabilité, l'effacement et la rectification, le responsable du traitement doit répondre dans les 30 jours (Loi n° 058/2021) ; la personne insatisfaite d'une réponse peut faire appel auprès de l'autorité de contrôle dans les 30 jours de sa réception, et l'autorité répond dans les 60 jours de la réception de l'appel (Loi n° 058/2021).
Les obligations vont en sens inverse. Quiconque a l'intention d'agir comme responsable du traitement ou sous-traitant doit s'enregistrer auprès de l'autorité (art. 29) (Loi n° 058/2021), qui délivre le certificat dans les 30 jours ouvrables de la demande (art. 31) (Loi n° 058/2021). Le responsable du traitement doit informer l'autorité d'une violation de données personnelles dans les 48 heures, déposer un rapport dans les 72 heures (art. 43 et 44) et (Loi n° 058/2021), lorsque le risque est élevé, informer les personnes concernées (art. 45). Les données personnelles sont stockées au Rwanda, et le stockage à l'étranger n'est permis qu'avec un certificat d'enregistrement qui l'autorise (art. 50) (Loi n° 058/2021) ; les transferts à l'étranger exigent l'autorisation de l'autorité ou un autre fondement énuméré à l'art. 48. Les données d'un enfant ne peuvent être traitées qu'avec le consentement du titulaire de la responsabilité parentale lorsque l'enfant a moins de 16 ans, sauf si le traitement est nécessaire pour protéger l'intérêt vital de l'enfant (art. 9) (Loi n° 058/2021). Les responsables du traitement déjà en activité bénéficiaient d'une période transitoire d'au plus deux ans à compter de la publication du 15/10/2021 (art. 67) (Loi n° 058/2021).
Les sanctions sont de deux niveaux. L'autorité peut infliger une amende administrative de 2 000 000 à 5 000 000 FRW, ou d'un pour cent du chiffre d'affaires global de l'exercice précédent (Loi n° 058/2021), pour des manquements tels que l'exercice sans certificat, l'absence de registre des traitements, la non-désignation d'un délégué à la protection des données ou le défaut de signaler une violation (art. 53) ; la décision peut être contestée devant le tribunal compétent (art. 54). Les peines pénales sont plus lourdes : accéder à des données personnelles, les collecter, les utiliser, les partager ou les divulguer en violation de la loi, d'un à trois ans et 7 000 000 à 10 000 000 FRW (art. 56) (Loi n° 058/2021) ; détruire, effacer, dissimuler ou modifier illicitement des données, de trois à cinq ans et la même amende (art. 58) (Loi n° 058/2021) ; vendre illicitement des données personnelles, de cinq à sept ans et 12 000 000 à 15 000 000 FRW (art. 59) (Loi n° 058/2021) ; et traiter illicitement des données sensibles, de sept à dix ans et 20 000 000 à 25 000 000 FRW (art. 60) (Loi n° 058/2021). Une personne morale qui commet ces infractions paie cinq pour cent de son chiffre d'affaires annuel précédent (art. 62) (Loi n° 058/2021), et la personne qui subit un préjudice grave peut demander réparation devant le tribunal (art. 65).
Le Code pénal et la loi sur la cybercriminalité protègent aussi la vie privée. Écouter ou enregistrer secrètement une personne, prendre des photos ou des enregistrements, ou les divulguer sans autorisation, de mauvaise foi, est puni de six mois à un an et d'une amende de 1 000 000 à 2 000 000 FRW (art. 156) (Code pénal, 2018), et publier une version modifiée des propos, des images ou des photos d'une personne sans indiquer qu'il ne s'agit pas de l'original est puni de la même peine (art. 157) (Code pénal, 2018). L'article 35 de la loi n° 60/2018 punit le cyber-harcèlement, y compris le fait de prendre de mauvaise foi des photos ou des enregistrements d'une personne sans son consentement, de six mois à deux ans et de 1 000 000 à 2 000 000 FRW, sur plainte de la personne concernée (Loi n° 60/2018).
Les points clés
| Texte | Loi n° 058/2021 du 13/10/2021, Journal officiel spécial du 15/10/2021 |
|---|---|
| Champ d'application | Traitement au Rwanda, et responsables du traitement établis à l'étranger qui traitent des données de personnes situées au Rwanda (art. 2) |
| Autorité de contrôle | Autorité publique ayant la cybersécurité dans ses attributions : la National Cyber Security Authority (art. 3(23)) |
| Données d'un enfant | Consentement du titulaire de la responsabilité parentale lorsque l'enfant a moins de 16 ans (art. 9) |
| Réponse du responsable du traitement à une demande | Sous 30 jours pour l'opposition, la portabilité, l'effacement et la rectification ; appel à l'autorité sous 30 jours ; réponse de l'autorité sous 60 jours (art. 18 à 20, 23 et 24) |
| Violation de données personnelles | Autorité informée sous 48 heures ; rapport sous 72 heures (art. 43 et 44) (Loi n° 058/2021) |
| Amende administrative | 2 à 5 millions de FRW, ou 1 % du chiffre d'affaires global de l'exercice précédent (art. 53) |
| Vente illicite de données personnelles | 5 à 7 ans et 12 à 15 millions de FRW (art. 59) |
| Traitement illicite de données sensibles | 7 à 10 ans et 20 à 25 millions de FRW (art. 60) |
En pratique
- Écrire au responsable du traitement, par écrit ou par voie électronique, pour demander l'accès, l'opposition, l'effacement ou la rectification ; pour les trois derniers, la loi donne 30 jours au responsable du traitement pour répondre.
- Si la réponse est un refus ou n'est pas satisfaisante, faire appel auprès de l'autorité de contrôle dans les 30 jours : le bureau de protection des données reçoit les plaintes à complaint@dpo.gov.rw et par le service « File a Complaint » et le « Complaint Lodging Guide » de dpo.gov.rw, et son numéro gratuit est le 9080.
- Demander réparation devant le tribunal compétent après un préjudice grave causé par une violation de la loi ; le responsable du traitement ou le sous-traitant n'est exonéré que s'il prouve qu'il n'était pas responsable (art. 65).
- Signaler une violation de données soupçonnée par courriel à databreach@dpo.gov.rw ; les responsables du traitement sont eux-mêmes tenus de notifier dans les 48 heures.
- Pour des enregistrements secrets ou des images modifiées, déposer plainte auprès du Rwanda Investigation Bureau sur le fondement des art. 156 et 157 du Code pénal (ligne 166).
Où s'adresser
- Data Protection and Privacy Office, 21 KG 7 Ave, Kacyiru, A&P Building, rez-de-chaussée, Kigali ; téléphone +250 782 847 756 ; numéro gratuit 9080 ; dpp@dpo.gov.rw, complaint@dpo.gov.rw, registration@dpo.gov.rw, databreach@dpo.gov.rw.
- National Cyber Security Authority, 8 KG 7 St, Kacyiru, Telecom House, 5e étage, Kigali ; info@ncsa.gov.rw (adresse et courriel tels qu'indiqués sur cyber.gov.rw).
- Rwanda Investigation Bureau, ligne 166, pour les infractions pénales de la loi et du Code pénal.
À savoir
Le droit à l'effacement de l'art. 23 ne s'applique pas dans la mesure où le traitement est nécessaire pour des motifs d'intérêt public, de recherche ou de statistiques, une obligation légale, ou la constatation, l'exercice ou la défense de droits en justice ; et la loi dit que les données personnelles « ne font pas l'objet de la succession » (art. 25) (Loi n° 058/2021), même si un testament peut donner à un héritier des droits complets ou restreints sur des données encore utilisées.
Questions fréquentes
À quel âge un enfant peut-il consentir à l'utilisation de ses données personnelles au Rwanda ?
Selon l'art. 9 de la loi n° 058/2021, le responsable du traitement qui sait que les données concernent un enfant de moins de 16 ans doit obtenir le consentement du titulaire de la responsabilité parentale, donné dans l'intérêt de l'enfant, sauf lorsque le traitement est nécessaire pour protéger l'intérêt vital de l'enfant.
Puis-je obliger une entreprise à supprimer mes données personnelles ?
Oui, par écrit ou par voie électronique, pour les motifs de l'art. 23 (données plus nécessaires, consentement retiré, opposition aboutie, traitement illicite) ; le responsable du traitement doit répondre en 30 jours et vous pouvez faire appel auprès de l'autorité de contrôle dans les 30 jours de la réponse.
Quelle est la peine pour la vente des données personnelles d'autrui ?
L'art. 59 prévoit de cinq à sept ans et une amende de 12 à 15 millions de FRW, ou l'une de ces deux peines ; une personne morale paie cinq pour cent de son chiffre d'affaires annuel précédent selon l'art. 62.
Sources
- Law N° 058/2021 of 13/10/2021 relating to the protection of personal data and privacy, Official Gazette Special of 15/10/2021 -- gazette copy archived by Gazettes.Africa — art. 2, 3, 6, 8, 9, 18 à 25, 29, 31, 43 à 45, 48, 50, 53, 54, 56, 58 à 60, 62, 65 et 67 (colonne anglaise du journal officiel)
- Data Protection and Privacy Office (dpo.gov.rw) -- complaint and registration services, contacts — services de plainte et d'enregistrement, courriels, numéro gratuit 9080, adresse
- National Cyber Security Authority (NCSA) -- official website: contact details — adresse et contact de la National Cyber Security Authority
- Law N° 68/2018 of 30/08/2018 determining offences and penalties in general (Penal Code), Official Gazette Special of 27/09/2018 -- gazette copy published by Laws.Africa — art. 156 et 157
- Law N° 60/2018 of 22/08/2018 on prevention and punishment of cyber crimes, Official Gazette Special of 25/09/2018 -- gazette copy published by Laws.Africa — art. 35 (cyber-harcèlement, poursuites seulement sur plainte)
- Constitution of the Republic of Rwanda of 4 June 2003 with amendments through 2015 (Constitute Project text) — art. 23 : vie privée de la personne, de la famille, du domicile et de la correspondance
- Rwanda Investigation Bureau (RIB) -- contact page: hotlines, headquarters, opening hours — ligne 166
L'article général : Protection des données · Comparer avec un autre pays
Arnaques sentimentales
Arnaques en ligne et escroquerie au Rwanda : l'article 174 de la loi n° 68/2018 couvre l'arnaque classique : la personne qui, « par des manœuvres frauduleuses, se fait remettre une chose d'autrui, tout ou partie de la fortune d'autrui », en faisant usage de faux noms ou de fausses qualifications ou en faisant naître « l'espérance ou la crainte d'un mal à survenir », commet une escroquerie et encourt deux à trois ans et une amende de 3 000 000 à 5 000 000 FRW (Code pénal, 2018). Lorsque l'escroquerie est commise par une personne ayant fait appel au public en vue de l'émission d'actions, d'obligations, de bons, de parts ou de titres quelconques d'une société ou d'une entreprise commerciale ou industrielle, la peine est de trois à cinq ans et d'une amende de plus de 5 000 000 FRW et jusqu'à 7 000 000 FRW (Code pénal, 2018). La loi n° 60/2018 du 22/08/2018 ajoute les infractions commises au moyen d'ordinateurs : l'hameçonnage (art. 36) et l'usurpation d'identité (art. 40).
L'article 36 de la loi sur la cybercriminalité vise quiconque établit et utilise un message électronique ou un site web pour obtenir des informations confidentielles du visiteur ou du destinataire, avec l'intention de les utiliser illicitement, notamment pour voler de l'argent ou accéder à un système informatique ; la peine est d'un à deux ans et de 1 000 000 à 3 000 000 FRW (Loi n° 60/2018). L'article 40 punit la personne qui utilise intentionnellement l'identité de quelqu'un sur internet, de mauvaise foi, pour en tirer profit, pour tromper ou pour détruire une réputation, lorsque l'identité est semblable ou prête à confusion avec le nom ou la description d'une autre personne ou d'un autre organisme, de trois à cinq ans et de 1 000 000 à 3 000 000 FRW (Loi n° 60/2018) ; c'est la disposition qui correspond à un faux profil construit pour gagner la confiance de quelqu'un. L'article 21 punit la divulgation d'un code d'accès ou d'un autre moyen d'accès à un programme ou à des données, lorsque le but est un gain illicite, d'un à deux ans et de 1 000 000 à 3 000 000 FRW (Loi n° 60/2018).
La pression pour obtenir de l'argent est punie séparément. Le chantage, que l'art. 129 définit comme le fait d'obtenir d'une personne une signature, un engagement ou une renonciation, la révélation d'un secret ou la remise de fonds, de valeurs ou d'un bien en menaçant de révéler ou d'imputer, à elle ou à un proche, des faits réels ou non de nature à porter atteinte à son honneur ou à sa considération, est puni d'un à trois ans et de 100 000 à 300 000 FRW, et de plus de trois ans et jusqu'à cinq, avec 1 000 000 à 2 000 000 FRW, si la menace est mise à exécution (Code pénal, 2018). L'extorsion, qui consiste à obtenir par violence, contrainte ou menace une signature, une empreinte digitale ou la remise d'un document à l'origine d'une dette, d'un gain ou d'un paiement, est punie de trois à cinq ans et de 3 000 000 à 5 000 000 FRW (art. 171) (Code pénal, 2018), et les menaces de nuire d'un à deux ans et de 300 000 à 500 000 FRW (art. 128) (Code pénal, 2018). Publier sciemment par ordinateur des rumeurs susceptibles de susciter la peur ou de faire perdre sa crédibilité à une personne est puni de trois à cinq ans et de 1 000 000 à 3 000 000 FRW (loi n° 60/2018 art. 39) (Loi n° 60/2018), et un faux message indécent ou dirigé contre un enfant de la même fourchette en vertu de l'art. 38.
Les tribunaux peuvent dans tous les cas ordonner la confiscation d'un ordinateur, d'un logiciel ou de supports utilisés pour commettre une infraction prévue par la loi sur la cybercriminalité et du produit de l'infraction (Loi n° 60/2018), et peuvent ordonner la fermeture définitive ou temporaire des locaux ou de l'organisme où elle a été commise, si cela s'est produit à la connaissance du propriétaire ou de la direction (art. 52). Une plainte pénale peut être déposée dans un poste de police ou au Rwanda Investigation Bureau, dont la page d'accueil comporte un bouton « Report a case » vers son portail en ligne et présente une vidéo de sensibilisation sur la fraude par téléphone, et dont la ligne 166 reçoit les appels d'urgence (RIB) et les « renseignements relatifs aux infractions ».
Les points clés
| Escroquerie (manœuvres frauduleuses, faux noms, fausses qualités, faux espoirs) | 2 à 3 ans et 3 à 5 millions de FRW (Code pénal art. 174) |
|---|---|
| Escroquerie avec appel au public pour émettre des actions, obligations ou titres | 3 à 5 ans et 5 à 7 millions de FRW (art. 174, deuxième alinéa) |
| Hameçonnage (phishing) | 1 à 2 ans et 1 à 3 millions de FRW (loi n° 60/2018 art. 36) |
| Usurpation d'identité sur internet | 3 à 5 ans et 1 à 3 millions de FRW (art. 40) |
| Chantage | 1 à 3 ans et 100 000 à 300 000 FRW ; plus de 3 ans et jusqu'à 5 ans et 1 à 2 millions de FRW si la menace est exécutée (Code pénal art. 129) |
| Extorsion par violence ou contrainte | 3 à 5 ans et 3 à 5 millions de FRW (art. 171) |
| Cyber-harcèlement | 6 mois à 2 ans et 1 à 2 millions de FRW ; poursuites seulement sur plainte de la personne concernée (loi n° 60/2018 art. 35) |
| Confiscation et fermeture | L'ordinateur, le logiciel ou les supports utilisés et le produit de l'infraction peuvent être confisqués ; les locaux peuvent être fermés (art. 52) |
| Signaler une infraction | Ligne 166 du Rwanda Investigation Bureau ou portail en ligne « Report a case » |
En pratique
- Conserver chaque message, numéro, nom de compte et confirmation de paiement avant de bloquer l'expéditeur : l'art. 174 repose sur de faux noms ou de fausses qualités et sur des promesses, de sorte que les messages sont la preuve.
- Signaler les faits dans un poste de police ou au Rwanda Investigation Bureau : appeler le 166, ou utiliser le portail « Report a case » accessible depuis rib.gov.rw.
- Si la personne menace de révéler des informations sur vous à moins que vous ne payiez ou ne signiez quelque chose, le signaler comme un chantage (art. 129) : l'infraction se définit par l'exigence formulée sous cette menace, et la peine plus lourde s'applique dès que la menace est mise à exécution.
- Si vos données personnelles ont été obtenues ou utilisées illégalement, saisir aussi le bureau de protection des données (complaint@dpo.gov.rw) : les art. 56 et 59 de la loi n° 058/2021 punissent l'accès illicite, le partage et la vente de données personnelles.
- Déposer sa propre plainte pour cyber-harcèlement, car l'art. 35 de la loi n° 60/2018 n'autorise les poursuites que sur plainte de la personne offensée.
Où s'adresser
- Rwanda Investigation Bureau, KN5 Rd, Kamukina, Kigali : ligne 166, portail en ligne « Report a case », ouvert du lundi au vendredi de 8 h 00 à 17 h 00, avec des lignes d'urgence 24 h sur 24 et 7 jours sur 7 le week-end et les jours fériés.
- National Cyber Security Authority, 8 KG 7 St, Kacyiru, Telecom House, 5e étage, Kigali, qui dispose d'une page « Report Incident » pour les incidents de cybersécurité.
- Data Protection and Privacy Office, complaint@dpo.gov.rw, numéro gratuit 9080, lorsque l'arnaque a impliqué un usage abusif de données personnelles.
À savoir
L'art. 174 du Code pénal ne figurait pas parmi les articles réécrits par la loi n° 69/2019 ni par la loi n° 059/2023, de sorte que les peines de 2018 citées ici sont celles des trois journaux officiels consultés ; les poursuites pour cyber-harcèlement et pour spamming en vertu de la loi n° 60/2018 exigent la plainte de la personne offensée (art. 35 et 37) (Loi n° 60/2018).
Questions fréquentes
Une arnaque sentimentale est-elle un délit au Rwanda ?
Oui : se faire remettre, par des manœuvres frauduleuses, les biens ou l'argent d'autrui en usant de faux noms ou de fausses qualités ou en faisant naître de faux espoirs est une escroquerie au sens de l'art. 174 du Code pénal, avec deux à trois ans et une amende de 3 à 5 millions de FRW ; un faux profil en ligne peut aussi relever de l'art. 40 de la loi n° 60/2018 (usurpation d'identité).
Quelle est la peine pour l'hameçonnage au Rwanda ?
L'art. 36 de la loi n° 60/2018 prévoit un à deux ans et une amende de 1 000 000 à 3 000 000 FRW pour l'usage d'un message électronique ou d'un site web afin d'obtenir des informations confidentielles dans l'intention de voler de l'argent ou d'accéder à un système.
Où signaler une arnaque en ligne ?
Dans un poste de police ou au Rwanda Investigation Bureau : appeler le 166 ou utiliser le portail « Report a case » sur rib.gov.rw.
Sources
- Law N° 68/2018 of 30/08/2018 determining offences and penalties in general (Penal Code), Official Gazette Special of 27/09/2018 -- gazette copy published by Laws.Africa — art. 128, 129, 171 et 174 dans le texte publié en 2018 ; les art. 174, 129 et 171 ne figurent pas parmi les articles modifiés en 2019 ou en 2023
- Law N° 69/2019 of 08/11/2019 amending Law N° 68/2018 of 30/08/2018 determining offences and penalties in general, Official Gazette Special of 29/11/2019 -- Ministry of Justice copy — liste des articles modifiés en 2019 (60, 68, 92, 133, 136, 140, 154, 190, 233, 236, 263)
- Law N° 059/2023 of 04/12/2023 amending Law N° 68/2018 of 30/08/2018 determining offences and penalties in general, Official Gazette Special of 05/12/2023 -- gazette copy archived by Gazettes.Africa — liste des articles modifiés en 2023, selon le préambule (35, 60, 64, 84, 92, 99, 100, 108, 117, 120, 121, 123, 133, 152, 172, 177, 218, 271, 291)
- Law N° 60/2018 of 22/08/2018 on prevention and punishment of cyber crimes, Official Gazette Special of 25/09/2018 -- gazette copy published by Laws.Africa — art. 21, 35 à 40 et 52
- Rwanda Investigation Bureau (RIB) -- home page: 'Report a case' portal and hotlines — portail « Report a case », vidéo de sensibilisation sur la fraude par téléphone, lignes d'urgence
- Rwanda Investigation Bureau (RIB) -- contact page: hotlines, headquarters, opening hours — ligne 166, adresse et horaires
- National Cyber Security Authority (NCSA) -- official website: contact details — lien « Report Incident » et adresse
- Data Protection and Privacy Office (dpo.gov.rw) -- complaint and registration services, contacts — courriel de plainte et numéro gratuit
- Law N° 058/2021 of 13/10/2021 relating to the protection of personal data and privacy, Official Gazette Special of 15/10/2021 -- gazette copy archived by Gazettes.Africa — art. 56 et 59 : accès, partage et vente illicites de données personnelles
L'article général : Arnaques sentimentales · Comparer avec un autre pays