CENTRE DE RESSOURCES
FAIRE UN DON
OBTENIR DE L'AIDE

Confidentialité et protection des données – Afrique subsaharienne

  • Le droit à la vie privée et à la protection des données est une préoccupation croissante en raison de l'augmentation des flux de données et du besoin qui en découle de protéger les informations personnelles.

  • Dans le contexte africain, il existe de multiples instruments qui régissent la protection des données, notamment la Convention de l'UA sur la cybersécurité et la protection des données personnelles (Convention de Malabo).

  • Il est essentiel que les États veillent à ce que leur législation nationale garantisse le traitement licite des informations personnelles et qu'ils suivent l'évolution de la protection des données.

  • La protection des données est étroitement liée aux concepts de « droit à l'oubli », de chiffrement et de surveillance gouvernementale.

  • La surveillance des communications comporte des risques particuliers pour la liberté d'expression dans le contexte journalistique en raison de la divulgation potentielle de sources confidentielles et du risque d'effet dissuasif sur la liberté des médias.

Introduction

Le droit à la vie privée et l'obligation concomitante de protéger les données personnelles sont devenus des enjeux de plus en plus importants à l'ère de l'information. Avec l'essor d'Internet et la numérisation croissante de nombreux aspects de la vie publique et privée, le partage d'informations et la collecte de données en ligne ont connu une forte augmentation, avec le risque que ces informations soient consultées et utilisées à mauvais escient par des acteurs malveillants. Parallèlement, l'évolution législative n'a pas permis de suivre le rythme et de protéger adéquatement les données personnelles. Toutefois, ces dernières années, l'adoption de lois sur la protection des données par de nombreux États africains, ainsi que l'élaboration de lignes directrices et d'instruments par des organismes régionaux et continentaux, ont permis d'instaurer certaines protections visant à garantir et à faire respecter les droits à la vie privée des populations africaines.

Ce module se concentre sur le droit à la vie privée à l'ère numérique en Afrique en évaluant l'état de la protection des données, les concepts connexes du « droit à l'oubli » et du chiffrement, évalue les risques croissants de la surveillance gouvernementale et commerciale ainsi que les nouveaux défis de l'utilisation de l'intelligence artificielle (IA) pour perpétrer des violations de la vie privée, et énonce les principes et les garanties émergents dans cet environnement numérique en évolution rapide.

Le droit à la vie privée

Partout dans le monde, on reconnaît de plus en plus que le droit à la vie privée est fondamental, tant en soi que pour son rôle essentiel dans la garantie de la liberté d'expression. Par exemple, ce droit permet aux individus de partager anonymement leurs opinions, même lorsqu'ils risquent d'être réprimés ou discriminés ; il permet également aux lanceurs d'alerte de faire des révélations protégées et aux journalistes et militants de communiquer en toute sécurité, à l'abri des interceptions gouvernementales illégales. Il est aussi intrinsèquement lié au droit à la dignité.

Le droit à la vie privée est inscrit à l'article 17 du Pacte international relatif aux droits civils et politiques (ICCPR), qui fournit :

1 Nul ne doit faire l’objet d’ingérences arbitraires ou illégales dans sa vie privée, sa famille, son domicile ou sa correspondance, ni d’atteintes illégales à son honneur et à sa réputation.

2 Chacun a droit à la protection de la loi contre de telles ingérences ou attaques.

Bien que le droit à la vie privée ne soit pas explicitement contenu dans la Charte africaine des droits de l'homme et des peuples (Charte africaine), l’article 9 de la Charte consacre bien le droit de recevoir des informations et d’exprimer des opinions :

1 Toute personne a le droit de recevoir des informations. Toute personne a le droit d'exprimer et de diffuser ses opinions dans le respect de la loi.

Ces droits, qui s'ajoutent aux protections de la Charte africaine concernant la liberté contre la discrimination, la liberté et la sécurité, la liberté de réunion, la santé et autres, ont alimenté l'argument selon lequel le droit implicite à la vie privée devrait être « intégré » à la Charte africaine comme une composante inaliénable de ces autres droits.1

« Intégrer » le droit à la vie privée : l’exemple de l’Inde

Bien que son approche n'ait pas été établie au regard de la Charte africaine, elle s'inscrirait dans la lignée de la décision de la Cour suprême de l'Inde en 2017, selon laquelle le droit à la vie privée est protégé en tant que partie intégrante du droit à la vie et à la liberté individuelle, et en tant que partie des libertés fondamentales garanties par la partie III de la Constitution indienne.2   Ainsi, bien que la Constitution indienne ne contienne pas expressément un droit à la vie privée, ce droit peut néanmoins être interprété en le considérant dans le contexte des autres droits et libertés garantis par la Constitution.

Le droit au respect de la vie privée des enfants est toutefois explicitement inscrit dans d'autres instruments régionaux et continentaux. Par exemple, l'article 10 de la Charte africaine des droits et du bien-être de l'enfant (ACRWC) prévoit que :

Aucun enfant ne doit faire l'objet d'ingérences arbitraires ou illégales dans sa vie privée, son domicile familial ou sa correspondance, ni d'atteintes à son honneur ou à sa réputation, étant entendu que les parents ou tuteurs légaux ont le droit d'exercer une surveillance raisonnable sur la conduite de leurs enfants. L'enfant a droit à la protection de la loi contre de telles ingérences ou atteintes.

La version révisée de 2019 Déclaration des Principes relatifs à la liberté d'expression et à l'accès à l'information en Afrique, adoptés par la Commission africaine des droits de l'homme et des peuples (CADHP), reconnaît également explicitement le droit à la vie privée et appelle les États à assurer une protection étendue de la vie privée et des renseignements personnels.3 De plus, tous les États africains, à l'exception d'un seul, garantissent ce droit dans leur constitution nationale.4

Comme pour le droit à la liberté d'expression, toute limitation du droit à la vie privée doit satisfaire au test en trois points d'une limitation justifiée. Selon la Cour constitutionnelle sud-africaine :5

Un très haut niveau de protection est accordé à la sphère intime et personnelle de la vie de chacun, ainsi qu'au maintien de ses conditions essentielles. Il existe une ultime sphère inviolable de liberté humaine, à l'abri de toute ingérence publique. À tel point que, concernant ce noyau le plus intime de la vie privée, aucune restriction justifiée ne saurait être accordée. Cependant, cette notion d'intimité absolue est interprétée de manière restrictive. Ce noyau inviolable est abandonné dès lors qu'un individu noue des relations avec des personnes extérieures à cette sphère intime ; ses activités acquièrent alors une dimension sociale et, dans ce contexte, le droit à la vie privée devient soumis à des limitations.

Nous examinerons dans les pages suivantes certains aspects du droit à la vie privée et l'impact d'Internet sur l'exercice de ce droit.

Protection des données

La protection des données est l'un des principaux moyens de garantir le droit à la vie privée. À ce jour, au moins 36 États africains ont adopté des lois sur la protection des données, et d'autres sont en train de le faire.6 Outre la mise en œuvre du droit à la vie privée, la législation sur la protection des données facilite également les échanges commerciaux entre États, car de nombreuses lois encadrent les transferts transfrontaliers de données lorsque l'État destinataire n'assure pas un niveau de protection adéquat. Autrement dit, ces lois permettent le transfert réglementé de données personnelles par-delà les frontières lorsque les deux juridictions ont mis en place des lois et des procédures de protection des données appropriées afin de garantir les droits des personnes concernées.

Principes clés de la protection des données

Les lois sur la protection des données visent à protéger et à garantir le traitement des informations personnelles (également appelées données à caractère personnel). Les informations personnelles sont généralement définies comme toute information se rapportant à une personne physique identifiée ou identifiable – la personne concernée – permettant de l’identifier, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale. Le responsable du traitement, également appelé partie responsable, peut être un organisme public ou privé et désigne la personne ou l’entité chargée du traitement des informations personnelles concernant la personne concernée.

Principes clés de la protection des données

La plupart des lois africaines les plus complètes en matière de protection des données prévoient un ensemble de principes fondamentaux que l'on peut résumer comme suit :7
  • Les informations personnelles doivent être traitées de manière loyale et licite et ne doivent pas être traitées sauf si les conditions stipulées sont remplies.
  • Les renseignements personnels doivent être recueillis à des fins précises et ne doivent pas être traités ultérieurement d’une manière incompatible avec ces fins.
  • Les données personnelles doivent être adéquates, pertinentes et non excessives au regard de la ou des finalités pour lesquelles elles ont été collectées.
  • Les renseignements personnels doivent être exacts et, au besoin, tenus à jour.
  • Les renseignements personnels ne doivent pas être conservés plus longtemps que nécessaire aux fins prévues.
  • Les informations personnelles doivent être traitées conformément aux droits des personnes concernées prévus par la loi sur la protection des données.
  • Le responsable du traitement des données doit prendre des mesures techniques et organisationnelles appropriées pour empêcher le traitement non autorisé ou illicite des données à caractère personnel et pour prévenir la perte, la destruction ou l'endommagement accidentels de ces données.
  • Les données personnelles ne doivent pas être transférées vers un autre pays qui n'assure pas un niveau de protection adéquat des droits et libertés des personnes concernées.

En outre, la plupart des lois sur la protection des données établissent un organisme de réglementation chargé de surveiller et de faire respecter les dispositions de la loi : ce type d’organisme de réglementation est souvent appelé autorité de protection des données (APD).

Normes du droit international

Le Rapporteur spécial des Nations Unies sur le droit à la vie privée a publié en 2022 un rapport fournissant une analyse approfondie des principes de légalité, de licéité et de légitimité, de consentement, de transparence, de finalité, d'équité, de proportionnalité, de minimisation, de qualité, de responsabilité et de sécurité dans le contexte de la législation sur la protection des données, qui sert de guide fondamental pour le développement et l'harmonisation des réglementations en matière de protection des données dans le monde entier.8

En matière de protection des données personnelles, l’Observation générale n° 16 relative à l’article 17 du PIDCP (Observation générale n° 16) dispose ce qui suit :9

La collecte et la conservation de données personnelles sur ordinateurs, bases de données et autres dispositifs, qu’elles soient effectuées par des autorités publiques ou des particuliers, doivent être encadrées par la loi. Les États doivent prendre des mesures efficaces pour garantir que les informations relatives à la vie privée d’une personne ne tombent pas entre les mains de personnes non autorisées par la loi à les recevoir, les traiter et les utiliser, et qu’elles ne soient jamais utilisées à des fins incompatibles avec le Pacte international relatif à la protection des données (PID). Afin de bénéficier de la protection la plus efficace possible de sa vie privée, toute personne devrait avoir le droit de savoir, sous une forme intelligible, si des données personnelles sont conservées dans des fichiers automatisés, et le cas échéant, lesquelles, et à quelles fins. Toute personne devrait également pouvoir savoir quelles autorités publiques ou quels particuliers contrôlent ou sont susceptibles de contrôler ses fichiers. Si ces fichiers contiennent des données personnelles inexactes ou ont été collectés ou traités en violation de la loi, toute personne devrait avoir le droit d’en demander la rectification ou l’effacement.

En 2023, en réponse à la collecte rapide et généralisée d’informations personnelles prétendument destinée à lutter contre la pandémie de COVID-19 entre 2020 et 2022, le Représentant spécial des Nations Unies pour la protection de la vie privée a publié un rapport détaillant la mise en œuvre des principes de limitation des finalités, de suppression des données et de responsabilité démontrée ou proactive dans le traitement des données personnelles collectées par les entités publiques dans le contexte de la pandémie.10

normes juridiques régionales

Il existe plusieurs instruments régionaux africains relatifs à la protection des données :

  • Convention de l’Union africaine (UA) sur la cybersécurité et la protection des données personnelles 201411 (les Convention de MalaboCet instrument, conçu à l'échelle continentale, comprend des dispositions relatives à la protection des données, aux transactions électroniques, à la cybercriminalité et à la cybersécurité. Les dispositions relatives à la protection des données figurent au chapitre II et définissent les conditions du traitement licite des données à caractère personnel, ainsi que les droits des personnes concernées. Après avoir finalement reçu la ratification du quinzième État requis, la Convention de Malabo est entrée en vigueur en 2023.12

  • Cadre juridique de la CAE pour le cyberdroit 200813 (Cadre juridique de la CAECe document traite de sujets relatifs à la protection des données, au commerce électronique, à la sécurité des données et à la protection des consommateurs. Il ne constitue pas une loi modèle, mais vise plutôt à fournir des orientations et des recommandations aux États afin de les aider à élaborer leur législation. La protection des données est brièvement abordée au paragraphe 2.5 du Cadre juridique de la CAE, dans le cadre de la phase I adoptée par le Conseil des ministres de la CAE en 2010.14

  • Loi complémentaire relative à la protection des données personnelles au sein de la CEDEAO 201015 (Acte complémentaire de la CEDEAOCet instrument est conçu pour être directement transposé dans le contexte national des États d'Afrique de l'Ouest et définit en détail les conditions du traitement licite des données à caractère personnel ainsi que les droits des personnes concernées. Il est important de noter qu'il est juridiquement contraignant pour les États membres de la CEDEAO. La CEDEAO a également adopté… Directive relative à la lutte contre la cybercriminalité en 2011, dans le but d'harmoniser la législation des États membres en matière de cybercriminalité.

  • Loi modèle de la SADC sur la protection des données 201316 (Loi modèle de la SADCIl s'agit d'une loi modèle adaptable aux contextes nationaux des États d'Afrique australe. Elle vise à harmoniser les politiques relatives aux technologies de l'information et de la communication (TIC) et reconnaît l'impact de ces évolutions sur la protection des données personnelles, notamment dans le cadre des activités gouvernementales et commerciales. Elle traite également du signalement des irrégularités, en stipulant que l'autorité de protection des données doit établir des règles régissant le système de signalement et préservant les principes de protection des données, tels que les principes d'équité, de licéité, de spécification des finalités, de proportionnalité et de transparence.

Outre la mise en œuvre du droit à la vie privée, les lois sur la protection des données facilitent souvent également le droit d'accès à l'information, en permettant aux personnes concernées de demander et d'obtenir l'accès aux informations les concernant détenues par un responsable du traitement. Ce mécanisme permet aux personnes concernées de vérifier si leurs données personnelles sont traitées conformément à la législation applicable en matière de protection des données et si leurs droits sont respectés.

Cartographie de l'état de la protection des données en Afrique

Compte tenu de l'importance de la législation sur la protection des données pour la protection du droit à la vie privée à l'ère numérique, ainsi que de l'évolution rapide de la législation et de la réglementation dans ce domaine, il peut être difficile de se tenir au courant de l'état de la protection des données en Afrique.   Protection des données Afrique Cette ressource en ligne ouverte vise à fournir une analyse détaillée de la gouvernance de la protection des données sur le continent africain, en cartographiant et en analysant la législation en vigueur dans les 55 États membres de l'Union africaine. En février 2024, elle constatait que 36 des 55 États reconnus par l'UA avaient adopté une législation sur la protection des données, et que trois projets de loi étaient également à l'étude.

Nouveaux défis en matière de protection des données

Avec l'adoption croissante de lois sur la protection des données dans de nombreux pays du continent, les risques et les défis liés à la réglementation et à la protection de la vie privée à l'ère numérique se sont complexifiés. Nombre d'États, notamment en Afrique de l'Ouest, ont adopté ces lois il y a quelque temps.17 Cela soulève des inquiétudes quant à leur adéquation aux défis de l'ère moderne. En Afrique du Sud, par exemple, la loi sur la protection des renseignements personnels a été adoptée en 2013, mais n'est entrée en vigueur qu'en juillet 2020, après une période de grâce accordée pour sa pleine conformité. Cette situation a suscité des inquiétudes chez les critiques, qui estiment que la loi nécessite déjà des modifications pour rester en phase avec les nouvelles problématiques telles que l'intelligence artificielle.18

Par ailleurs, les difficultés d'application de ces nombreuses nouvelles lois sur la protection des données sont de plus en plus manifestes. Par exemple, des recherches ont montré que la législation de 14 pays prévoit que l'autorité de protection des données soit établie au sein d'un autre organisme public, tel qu'un ministère, ou qu'elle reçoive des instructions de celui-ci, ce qui soulève des questions quant à l'indépendance du régulateur.19 Onze pays ont été jugés insuffisamment protégés pour empêcher la révocation abusive de membres de l'Autorité pour des raisons politiques ou autres.20

Difficultés d'application : l'exemple du Kenya

De nombreuses autorités de protection des données à travers le monde ont eu du mal à tenir réellement responsables les contrevenants à la législation sur la protection des données, en particulier les puissantes multinationales. Par exemple, en 2023, Tools for Humanity a lancé une campagne pilote de cryptomonnaie appelée Worldcoin, qui rémunérait les participants avec une petite somme d'argent en cryptomonnaie en échange de la collecte de leurs données biométriques, ce qui a permis à des milliers de personnes de saisir cette opportunité.21 avec très peu d'informations sur la manière dont ces données seraient utilisées. En mai, Du Kenya Le Bureau du commissaire à la protection des données (OPDC) a ordonné à l'entreprise de cesser le traitement,22 un ordre qui aurait été ignoré. L'entreprise n'a finalement cessé la collecte de données qu'en août, lorsque le ministère de l'Intérieur a ordonné la suspension des activités de Worldcoin dans le pays, invoquant des préoccupations liées à la protection des données.23 L'OPDC a par la suite intenté une action en justice contre Tools for Humanity devant la Haute Cour.24   Cela démontre les défis auxquels sont confrontées les autorités de protection des données pour demander des comptes à ces puissantes entreprises internationales.

Un autre obstacle au développement de la protection des données sur le continent réside dans la portée limitée des lois en la matière, dont beaucoup comportent de nombreuses exemptions relatives à la sécurité nationale ou au secteur privé, ce qui en compromet l'efficacité. À cet égard, il est également important de rappeler que, sur le continent, les justifications fondées sur la sécurité nationale ont souvent été détournées.

Le droit à l'oubli

Le « droit à l'oubli »25 Le droit à l'oubli, également appelé « droit à l'effacement » ou « droit au déclassement », confère à toute personne concernée le droit de demander aux moteurs de recherche commerciaux ou autres sites web collectant ou publiant des informations personnelles de supprimer, sur simple demande, les liens vers ces informations. Cette question, très contextuelle, est souvent délicate car elle implique généralement un équilibre subtil entre intérêts publics et individuels. Le droit à l'oubli découle du droit, inscrit dans de nombreuses lois sur la protection des données, à l'effacement des informations personnelles la concernant lorsqu'elles sont inadéquates, non pertinentes, obsolètes ou excessives au regard des finalités pour lesquelles elles ont été collectées. Toutefois, dans certains cas, il peut exister une justification valable pour conserver ces informations dans le domaine public, notamment en raison de l'intérêt général.

Établir le droit à l'oubli dans l'UE

Le droit à l'oubli a été établi par un arrêt de 2014 de la Cour de justice de l'Union européenne (CJUE) dans le cas de Google Espagne contre Gonzalez.26   M. Gonzalez, de nationalité espagnole, a déposé une plainte en 2010 auprès de l'autorité espagnole de protection des données. Il se plaignait du fait que toute recherche de son nom sur Google affichait en évidence d'anciens articles de presse relatifs à des procédures de recouvrement de créances engagées contre lui. M. Gonzalez demandait la suppression ou la dissimulation des données personnelles le concernant, datant de plus de dix ans, au motif que la procédure était close et que toute mention de son nom était désormais sans objet. La Cour de justice de l'Union européenne a fait droit à sa demande, se fondant sur… Union européenne La loi sur la protection des données en vigueur à l'époque. La CJUE a relevé que le simple affichage d'informations personnelles sur une page de résultats de recherche constitue un traitement de ces informations.27 et il n'y avait aucune raison pour qu'un moteur de recherche ne soit pas soumis aux obligations et garanties prévues par la loi.28   En outre, il a été noté que le traitement des informations personnelles effectué par un moteur de recherche peut affecter considérablement les droits fondamentaux à la vie privée et à la protection des données personnelles lorsqu'une recherche est effectuée à partir du nom d'une personne, car il permet à tout utilisateur d'Internet d'établir un profil de cette personne.29   Selon la CJUE, l’effet de cette ingérence « est amplifié compte tenu du rôle important joué par Internet et les moteurs de recherche dans la société moderne, qui rendent omniprésentes les informations contenues dans une telle liste de résultats ».30   En ce qui concerne le déréférencement, la CJUE a jugé que la suppression des liens de la liste des résultats pouvait, en fonction des informations en cause, avoir des effets sur les intérêts légitimes des internautes cherchant à accéder à ces informations.31   Cela nécessiterait de trouver un juste équilibre entre les intérêts de la personne concernée et ses droits fondamentaux, en tenant compte de la nature de l'information, de sa sensibilité quant à la vie privée de la personne concernée et de l'intérêt du public à disposer de cette information, qui peut varier en fonction du rôle joué par la personne concernée dans la vie publique.32   La CJUE a ensuite statué qu'une personne concernée est autorisée à demander que les informations la concernant soient supprimées des résultats de recherche lorsque, eu égard à toutes les circonstances, ces informations apparaissent inadéquates, non pertinentes ou plus pertinentes, ou excessives au regard des finalités du traitement effectué par l'exploitant du moteur de recherche.33   Dans de telles circonstances, les informations et les liens contenus dans la liste des résultats doivent être effacés.34   Depuis lors, la jurisprudence relative au droit à l'oubli a considérablement évolué, notamment au sein de l'Union européenne. Voir le Guide de la Cour européenne des droits de l'homme sur la jurisprudence en matière de protection des données pour quelques exemples. exemples des nuances qui ont été développées depuis.

Un corpus de jurisprudence croissant

Le droit à l'oubli a également été reconnu dans certains contextes nationaux, mais pas encore en Afrique subsaharienne. Il a cependant été reconnu en Amérique du Sud, par exemple par la Cour d'appel de l'État de São Paulo. Brésil.35

Concernant les médias, la Cour suprême du Chili a rendu, en 2019, une ordonnance enjoignant plusieurs médias numériques à mettre à jour les informations qu'ils avaient publiées sur une personne impliquée dans une affaire criminelle, afin de trouver un équilibre entre le droit à l'information d'intérêt public et le droit à l'honneur.36

Diffusion non consensuelle d'images intimes (NCII)

Une jurisprudence de plus en plus abondante commence également à reconnaître le droit à l'oubli dans les cas de diffusion non consensuelle d'images intimes (DNIC), comme par exemple : X contre l'Union indienne et X contre YouTube, toutes deux devant la Haute Cour de Delhi en Inde.

Litiges contre la NCII au Kenya

En 2016, la Haute Cour du Kenya a statué sur un maisons, Roshanara Ebrahim c. Ashleys Kenya Limited et 3 autres (2016), concernant la distribution non consensuelle de photographies nues de la requérante par un ex-petit ami, entraînant sa destitution de Miss Monde Kenya 2015.37   La Cour a jugé qu'Ebrahim avait une attente légitime de respect de sa vie privée, qu'elle n'avait pas renoncé à ce droit en prenant des photographies d'elle nue et qu'elle n'avait pas consenti à leur diffusion à des tiers. Par conséquent, son droit au respect de sa vie privée, garanti par l'article 31 de la Constitution du Kenya, avait été violé. Elle a également ordonné à son ex-petit ami de verser des dommages et intérêts et a enjoint aux organisateurs du concours Miss Monde Kenya de ne pas publier les photographies d'elle nue en leur possession. Cette affaire apporte un éclairage précieux sur la notion d'« attente raisonnable de respect de la vie privée », sur la question de savoir si les images sont obtenues de manière intrusive et si la présence d'illégalités peut invalider une demande fondée sur le droit au respect de la vie privée.38

Les limites du droit à l'oubli

Avec l'évolution de la jurisprudence internationale, des limites ont été progressivement définies pour le droit à l'oubli. En 2017, la CJUE a rejeté une demande d'effacement, d'anonymisation ou de blocage des données reliant le plaignant à la liquidation de sa société, données figurant au registre du commerce et des sociétés dans l'affaire [nom de l'affaire manquante]. Camera di Commercio, Industria, Artigianato e Agricoltura di Lecce contre Salvatore Manni.(39La Cour de justice de l'Union européenne (CJUE) a jugé que, compte tenu de la diversité des utilisations légitimes possibles des données figurant dans les registres des sociétés et des différents délais de prescription applicables à ces registres, il était impossible de déterminer une durée maximale de conservation appropriée. En conséquence, la CJUE a refusé de reconnaître l'existence d'un droit général à l'oubli concernant les données des registres publics des sociétés.

Par ailleurs, d'autres juridictions ont refusé de faire respecter le droit à l'oubli face aux moteurs de recherche :

  • In BrésilPar exemple, il a été jugé que les moteurs de recherche ne peuvent être contraints de supprimer les résultats de recherche relatifs à un terme ou une expression spécifique.40

  • De même, la Cour suprême de Japon ont refusé d'appliquer le droit à l'oubli à Google, estimant que la suppression « ne peut être autorisée que lorsque la valeur de la protection de la vie privée l'emporte largement sur celle de la divulgation d'informations ».41

Conformément aux Principes mondiaux relatifs à la liberté d'expression et au droit à la vie privée (Principes généraux),42 Le droit – dans la mesure où il est reconnu dans une juridiction particulière – devrait se limiter au droit des personnes physiques, en vertu du droit de la protection des données, de demander aux moteurs de recherche de supprimer les résultats de recherche inexacts ou obsolètes produits à partir d'une recherche portant sur leur nom.43 et devrait se limiter au nom de domaine correspondant au pays où le droit est reconnu et où la personne concernée a établi un préjudice important.44

Il est en outre précisé que les demandes de radiation devraient être soumises à une décision finale d'un tribunal ou d'un organisme d'arbitrage indépendant possédant une expertise pertinente en matière de liberté d'expression et de droit de la protection des données.45

Cryptage et anonymat sur Internet

Le chiffrement désigne un processus mathématique de conversion de messages, d'informations ou de données en une forme illisible par quiconque autre que le destinataire prévu, protégeant ainsi la confidentialité et l'intégrité du contenu contre l'accès ou la manipulation par des tiers.46 Avec le « chiffrement à clé publique » — la forme dominante de sécurité de bout en bout pour les données en transit — l'expéditeur utilise la clé publique du destinataire pour chiffrer le message et ses pièces jointes, et le destinataire utilise sa propre clé privée pour les déchiffrer.47 Il est également possible de chiffrer les données au repos stockées sur un appareil, tel qu'un ordinateur portable ou un disque dur.48

L'anonymat peut être défini soit comme le fait d'agir ou de communiquer sans utiliser ni présenter son nom ou son identité, soit comme le fait d'agir ou de communiquer d'une manière qui protège la détermination de son nom ou de son identité, soit comme le fait d'utiliser un nom inventé ou d'emprunt qui ne peut pas nécessairement être associé à son identité légale ou coutumière.49 L’anonymat peut être distingué du pseudo-anonymat : le premier consiste à ne prendre aucun nom, tandis que le second consiste à prendre un nom d’emprunt.50

Importance de la liberté d'expression

Le chiffrement et l'anonymat sont des outils indispensables à la pleine jouissance des droits numériques et méritent d'être protégés en raison du rôle crucial qu'ils jouent dans la garantie des droits à la liberté d'expression et au respect de la vie privée. Comme l'a souligné le Représentant spécial des Nations Unies à propos de FreeEX :51

Le chiffrement et l'anonymat, utilisés séparément ou conjointement, créent un espace de confidentialité protégeant les opinions et les convictions. Ils permettent, par exemple, des communications privées et protègent les opinions des regards indiscrets, un atout particulièrement important dans des contextes politiques, sociaux, religieux et juridiques hostiles. Lorsque les États imposent une censure illégale par le biais du filtrage et d'autres technologies, le recours au chiffrement et à l'anonymat peut permettre aux individus de contourner les obstacles et d'accéder à l'information et aux idées sans intrusion des autorités. Journalistes, chercheurs, avocats et acteurs de la société civile s'appuient sur le chiffrement et l'anonymat pour se protéger (ainsi que leurs sources, clients et partenaires) de la surveillance et du harcèlement. La possibilité de naviguer sur Internet, de développer des idées et de communiquer en toute sécurité est parfois le seul moyen pour beaucoup d'explorer des aspects fondamentaux de leur identité, tels que le genre, la religion, l'origine ethnique, la nationalité ou l'orientation sexuelle. Les artistes comptent sur le chiffrement et l'anonymat pour préserver et protéger leur droit à la liberté d'expression, notamment lorsque les restrictions ne sont pas seulement imposées par l'État, mais aussi par une société qui ne tolère pas les opinions ou expressions non conventionnelles.

Le chiffrement et l'anonymat sont particulièrement utiles pour l'expression et le partage d'opinions en ligne, notamment lorsqu'une personne craint que ses communications ne fassent l'objet d'ingérences ou d'attaques de la part d'acteurs étatiques ou non étatiques. Il s'agit donc de technologies spécifiques permettant aux individus d'exercer leurs droits, et elles sont particulièrement importantes pour les journalistes communiquant en ligne afin d'être protégés de la surveillance et de préserver la confidentialité de leurs sources journalistiques. Par conséquent, en vertu du droit international des droits de l'homme, les restrictions relatives au chiffrement et à l'anonymat doivent satisfaire à un triple critère pour être justifiées.

Concilier sécurité et liberté d'expression

Selon le rapport du Représentant spécial de l'ONU sur FreeEX, bien que le chiffrement et l'anonymat puissent potentiellement contrarier les responsables de l'application de la loi et de la lutte antiterroriste et compliquer la surveillance, les autorités étatiques n'ont généralement pas fourni de justifications appropriées en matière de sécurité publique pour appuyer les restrictions ou pour identifier les situations dans lesquelles la restriction était nécessaire pour atteindre un objectif légitime.52 Les interdictions pures et simples concernant l'utilisation individuelle des technologies de chiffrement restreignent de manière disproportionnée le droit à la liberté d'expression, car elles privent tous les utilisateurs en ligne d'une juridiction donnée du droit de se ménager un espace d'opinion et d'expression, sans qu'il soit nécessaire de prétendre que l'utilisation du chiffrement soit à des fins illégales.53

De même, la réglementation étatique du chiffrement peut équivaloir à une interdiction, par exemple en exigeant des licences pour l'utilisation du chiffrement, en fixant des normes techniques faibles pour le chiffrement ou en contrôlant l'importation et l'exportation des outils de chiffrement.54

L'utilisation du chiffrement et de l'anonymat par les journalistes

En 2015 maisons du procureur fédéral contre Soleyana Shimeles Gebremariam et autres (blogueurs de la zone 9) dans ÉthiopieDans cette affaire, neuf blogueurs étaient accusés d'avoir planifié, préparé, conspiré et incité à commettre des actes d'erreur. Il est à noter que le procureur a invoqué l'utilisation d'outils de chiffrement par les blogueurs pour protéger la confidentialité de leurs données comme preuve qu'ils menaient des actions clandestines contre le gouvernement. Finalement, toutes les charges ont été abandonnées ou les accusés ont été acquittés faute de preuves.55   Depuis 2015, la sensibilisation et la compréhension de l'utilisation des outils de chiffrement ont progressé, et, dans la plupart des cas, celle-ci n'est plus perçue comme un signe intrinsèque de dissimulation. Cependant, les journalistes continuent de se heurter à de nombreux obstacles pour utiliser concrètement des outils de chiffrement et d'anonymisation pleinement sécurisés et protégés, notamment en raison des menaces constantes des forces de l'ordre cherchant à accéder à ces outils par des « portes dérobées ». Quoi qu'il en soit, le principe de confidentialité des sources journalistiques est solidement établi par la jurisprudence, y compris en Afrique. En 2023 maisons de Mazetti Management Services. Centre amaBhungane pour la recherche sur le journalisme à l'Afrique du Sud La Haute Cour a annulé une injonction provisoire ordonnant à un organisme médiatique de restituer des documents en sa possession et a confirmé que la confidentialité des sources est une caractéristique essentielle et importante du journalisme d'investigation.56   An amicus curiae Dans cette affaire, il a présenté des observations sur l'importance de la confidentialité des sources journalistiques telle qu'elle est énoncée dans le droit international des droits de l'homme.

Le représentant spécial des Nations Unies sur FreeEX a donc appelé les États à promouvoir un chiffrement fort et l'anonymat, et a noté que les ordres de déchiffrement ne devraient être autorisés que lorsqu'ils résultent de lois transparentes et accessibles au public, appliquées uniquement de manière ciblée, au cas par cas, à des individus (et non à une masse de personnes), et soumises à un mandat judiciaire et à la protection des droits à une procédure régulière.57

La Déclaration de principes de 2019 de la CADHP sur la liberté d’expression et l’accès à l’information prévoit également que les États ne devraient pas adopter de lois ou d’autres mesures interdisant ou affaiblissant le chiffrement, y compris les portes dérobées ou les systèmes de dépôt de clés, à moins que ces mesures ne soient justifiables et compatibles avec le droit et les normes internationaux relatifs aux droits de l’homme.58

Malgré ce mandat clair, de nombreux pays d'Afrique subsaharienne continuent de réglementer ou de limiter l'utilisation du chiffrement. Par exemple, certains exigent l'enregistrement et l'agrément des fournisseurs de services de chiffrement ou ont des lois qui obligent ces fournisseurs à remettre les codes secrets aux autorités étatiques.59 Selon la carte mondiale du chiffrement établie par Global Partners Digital, au moins 27 pays africains disposent de lois et de politiques permettant des restrictions généralisées sur l'utilisation des outils de chiffrement.60

Une nouvelle forme de surveillance : l'enregistrement des cartes SIM

Dans la quasi-totalité des pays africains, l'enregistrement des cartes SIM est obligatoire et permet de collecter une multitude de données d'identification.61 Bien que la recrudescence de la cybercriminalité ait entraîné l'enregistrement des cartes SIM, les données requises pour cet enregistrement sont considérables, tandis que les pratiques de protection des données sont insuffisantes, en l'absence de lois spécifiques en la matière. Même dans les pays dotés de telles lois, leur mise en œuvre est souvent déficiente et nombre d'entre elles ne respectent pas les normes établies en matière de droits humains. De plus, les tendances en matière de collecte de données semblent évoluer, plusieurs pays liant de plus en plus la prestation de services aux données collectées et stockées dans diverses bases de données. En soi, l'enregistrement des cartes SIM supprime de fait la possibilité pour les utilisateurs de téléphones mobiles de communiquer anonymement et facilite la surveillance de masse, simplifiant ainsi le traçage et le contrôle de tous les utilisateurs par les forces de l'ordre et les agences de sécurité. Un autre problème réside dans la préférence croissante des gouvernements africains pour la mise en œuvre de réglementations de localisation des données, qui imposent le stockage des données personnelles sur le territoire national. Si l'objectif affiché est d'assurer la protection des informations personnelles, cela pourrait également faciliter l'accès aux données à des fins de décryptage et de surveillance.

Surveillance gouvernementale et d'entreprise

La surveillance des communications englobe la surveillance, l'interception, la collecte, l'analyse, la conservation ou des actions similaires concernant les communications d'une personne, passées, présentes ou futures.62 Cela concerne à la fois le contenu et la communication. métadonnées – qui est information à propos Les métadonnées d'une communication comprennent des informations telles que l'identité des interlocuteurs, la date, la durée et le lieu de l'échange, ainsi que les services techniques utilisés. Il a été constaté que ces métadonnées peuvent fournir des indications détaillées sur le comportement, les relations sociales, les préférences et l'identité d'un individu. Prises dans leur ensemble, elles permettent de tirer des conclusions très précises concernant sa vie privée.63

Ces dernières années, l'utilisation de technologies de surveillance sophistiquées sur les téléphones portables a pris une importance croissante, sur fond d'inquiétudes quant à leur utilisation abusive à des fins de surveillance des opposants politiques et des militants.

Le scandale Pégase

En 2021, on a appris qu'au moins 180 personnalités et dirigeants politiques avaient été ciblés par le logiciel espion Pegasus, un système pouvant être installé à distance sur un smartphone et permettant un contrôle total de l'appareil.64 Cette nouvelle a suscité une vague d'indignation, notamment lorsque la Cour suprême de l'Inde a ordonné en 2021 une enquête indépendante sur les allégations selon lesquelles le gouvernement aurait déployé le logiciel espion Pegasus contre divers journalistes, politiciens et dissidents en raison des effets profondément dissuasifs que son utilisation pourrait avoir sur la liberté d'expression.65   Bien que les conclusions de l'enquête du tribunal n'aient pas été rendues publiques, des preuves ont depuis été mises au jour concernant l'utilisation continue du logiciel Pegasus pour surveiller les joueurs.66 En 2019, Meta a intenté un procès contre le groupe NSO, fabricant du logiciel Pegasus, affirmant qu'il était responsable d'une série de cyberattaques qui violaient la loi américaine.67   Le litige est toujours en cours en 2024. En février 2024, NSO Group a reçu l'ordre de remettre le code source de Pegasus et d'autres logiciels espions, ainsi que des informations concernant l'intégralité des fonctionnalités de ces logiciels.68   Des militants et journalistes africains figuraient parmi les cibles identifiées dans le scandale Pegasus, tout comme de puissants politiciens et fonctionnaires d'État révélés comme utilisateurs de ces outils. En 2024, Reporters sans frontières a découvert des logiciels espions sur les téléphones de plusieurs personnes. Togolais des militants alors qu'ils étaient poursuivis pour diffamation contre un ministre du gouvernement.69

position en droit international

L’Observation générale n° 16 stipule que « la surveillance, qu’elle soit électronique ou autre, les interceptions de communications téléphoniques, télégraphiques et autres formes de communication, les écoutes téléphoniques et l’enregistrement des conversations doivent être interdits ».70 Surveillance — collecte massive de données71 ou la collecte ciblée de données — porte atteinte directement à la vie privée et à la sécurité nécessaires à la liberté d’opinion et d’expression, et doit être examinée au regard du test en trois parties pour évaluer la licéité de la restriction.

À l’ère du numérique, les TIC ont renforcé la capacité des gouvernements, des entreprises et des particuliers à mener des activités de surveillance, d’interception et de collecte de données, et ont permis que l’efficacité de ces activités de surveillance ne soit plus limitée par l’échelle ou la durée.

En Afrique, certains pays ont même adopté des lois autorisant la surveillance numérique de groupes ciblés ; par exemple, le Rapporteur spécial des Nations Unies sur la protection de la vie privée a noté avec préoccupation la loi anti-cybercriminalité promulguée en Égypte en 2018 qui permettrait, selon certaines informations, la surveillance de la communauté LGBTQI.72

Dans une résolution adoptée par l'Assemblée générale des Nations Unies (AGNUConcernant le droit à la vie privée à l’ère numérique, l’Assemblée générale des Nations Unies a souligné que la surveillance et/ou l’interception illicites ou arbitraires des communications, ainsi que la collecte illicite ou arbitraire de données personnelles, constituent des actes hautement intrusifs, violent le droit à la vie privée, peuvent porter atteinte au droit à la liberté d’expression et peuvent contredire les principes d’une société démocratique, notamment lorsqu’ils sont pratiqués à grande échelle.73 Il a également été noté que la surveillance des communications numériques doit être conforme aux obligations internationales en matière de droits de l'homme et doit être menée sur la base d'un cadre juridique qui doit être accessible au public, clair, précis, complet et non discriminatoire.

Afin de se conformer aux exigences de légalité, de nombreux États ont entrepris de réformer leur législation en matière de surveillance pour s'octroyer les pouvoirs nécessaires à la conduite d'activités de surveillance. Principes nécessaires et proportionnésDans le cadre d'une initiative de la société civile visant à documenter les principes applicables à toute limitation de la liberté d'expression, la surveillance des communications devrait être considérée comme un acte hautement intrusif et, afin de respecter le seuil de proportionnalité, l'État devrait être tenu, a minima, de fournir les informations suivantes à une autorité judiciaire compétente avant de procéder à toute surveillance des communications :74

  • Il existe une forte probabilité qu'un crime grave ou une menace spécifique à une cause légitime ait été ou soit commis.

  • Il existe une forte probabilité que des preuves pertinentes et essentielles à un crime aussi grave ou à une menace spécifique contre un objectif légitime puissent être obtenues en accédant aux informations protégées recherchées.

  • D'autres techniques moins invasives ont été épuisées ou seraient vaines, de sorte que la technique utilisée est l'option la moins invasive.

  • Les informations consultées se limiteront à celles qui sont pertinentes et essentielles au crime grave ou à la menace spécifique qui pèse sur un objectif légitime.

  • Toute information excédentaire collectée ne sera pas conservée mais sera immédiatement détruite ou restituée.

  • L'accès à ces informations sera réservé à l'autorité désignée et elles ne seront utilisées qu'aux fins et pour la durée pour lesquelles l'autorisation a été accordée.

  • Les activités de surveillance demandées et les techniques proposées ne portent pas atteinte à l'essence du droit à la vie privée ni aux libertés fondamentales.

L'importance de la surveillance indépendante et de la notification aux parties prenantes

En plus des principes évoqués ci-dessus, il a révolutionné maisons Dans l'affaire amaBhungane Centre for Investigative Journalism c. Ministre de la Justice et des Services correctionnels, la Cour constitutionnelle a mis en lumière deux principes supplémentaires essentiels pour garantir une surveillance ciblée légitime et respectueuse des droits. Premièrement, la Cour constitutionnelle de l'Afrique du Sud La Cour a souligné la nécessité d'une procédure claire et indépendante pour la désignation du juge chargé de superviser les demandes de surveillance formulées par les forces de l'ordre. Elle a également insisté sur le fait que la loi devrait permettre d'informer les personnes surveillées après les faits, à condition que cette notification ne compromette plus l'enquête. Il est à noter que la Cour a évoqué la nécessité de renforcer la protection des avocats et des journalistes, compte tenu de l'importance de la confidentialité dans ces professions, et que la législation devrait donc prévoir des garanties supplémentaires dans de tels cas.

La surveillance constitue une atteinte manifeste au droit à la vie privée. Elle porte également atteinte au droit à la liberté d'opinion et au droit à la liberté d'expression. Concernant plus particulièrement le droit à la liberté d'opinion, les systèmes de surveillance, qu'ils soient ciblés ou de masse, peuvent compromettre ce droit. En effet, la crainte d'une divulgation involontaire de son activité en ligne, notamment ses recherches et sa navigation, dissuade probablement les individus d'accéder à l'information, surtout lorsque cette surveillance aboutit à des mesures répressives.75

Comme souligné dans le amaBhungane Dans ce cas précis, l'atteinte au droit à la liberté d'expression est particulièrement manifeste lorsqu'il s'agit de journalistes susceptibles d'être placés sous surveillance en raison de leurs activités professionnelles. La divulgation ou la surveillance de sources journalistiques peut avoir des conséquences néfastes sur le droit à la liberté d'expression, car elle constitue une violation de la confidentialité des communications des personnes concernées.76

Il en va de même pour la divulgation de données d'utilisateurs anonymes. Une fois la confidentialité compromise, elle est irrémédiablement perdue. Il est donc primordial de ne pas prendre de mesures arbitraires susceptibles de porter atteinte à la confidentialité.

L'importance de la protection à la source est bien établie. Par exemple, dans Bosasa Operation (Pty) Ltd c. Basson et un autre, le l'Afrique du Sud La Haute Cour a statué que les journalistes ne sont pas tenus de révéler leurs sources, sous réserve de certaines exceptions.77 Le tribunal a déclaré à cet égard que :

Si la liberté de la presse est effectivement fondamentale et indispensable à la démocratie, il est essentiel que, dans l'exercice de ce devoir de service public, l'identité des sources ne soit pas divulguée, notamment lorsque l'information ainsi révélée n'aurait pas été publique. Ce rôle essentiel et crucial des médias, d'autant plus marqué dans notre jeune démocratie fondée sur la transparence, où la corruption est devenue endémique, doit être encouragé et non pas entravé.

Les activités de surveillance menées contre les journalistes risquent de compromettre fondamentalement la protection des sources à laquelle les journalistes ont par ailleurs droit.

Jurisprudence en matière de journalisme et de droit à la vie privée

Le lien entre la liberté journalistique et le droit à la vie privée est un thème récurrent dans les litiges et la jurisprudence émergents concernant la surveillance illégale ou abusive. Par exemple :

  • Dans deux affaires, toutes deux relatives au déploiement prévu par l'Autorité des communications Kenya Concernant un système lui permettant d'accéder aux données des abonnés aux services mobiles, la Haute Cour du Kenya a statué que ce système constituait « une menace pour la vie privée des abonnés », qu'il existait peu de mesures de restriction pour atteindre les objectifs de l'Autorité en matière d'identification des appareils illicites, et que le système était illégal, déraisonnable et disproportionné.78

  • En ordonnant une enquête indépendante sur les allégations selon lesquelles le gouvernement aurait utilisé le logiciel espion Pegasus contre divers journalistes, hommes politiques et dissidents, la Cour suprême Inde ont constaté que la fonction démocratique de la presse libre était en jeu et que « cet effet dissuasif sur la liberté d’expression constitue une atteinte au rôle essentiel de surveillance publique de la presse, ce qui peut compromettre la capacité de la presse à fournir des informations exactes et fiables ».79

  • La Cour européenne des droits de l'homme (CEDH) a jugé certains aspects de Du Royaume-Uni Le régime de surveillance de masse est jugé contraire au droit à la vie privée et au droit à la liberté d'expression garantis par la Convention européenne des droits de l'homme, car même si les régimes d'interception massive ne sont pas en soi incompatibles avec ces droits, l'absence de contrôle indépendant et le fait que l'utilisation du régime ne se limitait pas à la lutte contre les « crimes graves » et ne protégeait pas suffisamment la confidentialité des communications des journalistes en font une violation.80

Confidentialité et intelligence artificielle

Les risques liés à la protection de la vie privée dans le cadre de l'IA

Face à la sophistication et à l'utilisation croissantes de l'intelligence artificielle (IA) ces dernières années, les préoccupations relatives à l'utilisation des données personnelles lors du développement de ces outils, ainsi qu'à leur capacité à porter atteinte à la vie privée, se sont intensifiées. Le lancement public de ChatGPT, et d'autres modèles similaires, a notamment suscité de vives inquiétudes.

  • Premièrement, parce que de tels systèmes reposent sur vastes quantités d'informations Pour entraîner leurs algorithmes et améliorer continuellement leurs performances, notamment en ce qui concerne les informations extraites d'Internet, les critiques ont souligné que même les informations accessibles au public, telles que les publications sur les réseaux sociaux, n'ont jamais été publiées dans cette intention, et par conséquent consentement, des sujets de données pour son utilisation par les modèles de langage de grande taille.

  • Deuxièmement, le collecte et stockage La gestion de telles quantités d'informations, notamment personnelles, soulève des inquiétudes quant à la sécurité du stockage et aux conséquences d'un accès non autorisé à ces données par le biais de piratages ou d'autres failles de sécurité. La technologie de reconnaissance faciale, qui repose elle aussi souvent sur des algorithmes sophistiqués pour traiter d'importants volumes de données, est de plus en plus utilisée à travers le continent par les gouvernements, officiellement à des fins de maintien de l'ordre et de sécurité, mais elle présente également un risque d'utilisation à des fins malveillantes. suivi et surveillance intrusifs en temps réel qui met en péril plusieurs droits de l'homme, notamment le droit à la vie privée, à la liberté de circulation et à la liberté d'association.

  • Troisièmement, des outils d'IA comme ceux-ci sont capables de Générer rapidement des images et du contenu concernant une personne basée sur des données d'entraînement qui peuvent avoir peu de corrélation avec la réalité, ce qui soulève des inquiétudes quant à mésinformation et désinformation et la représentation des informations personnelles dans l'écosystème en ligne. La capacité de l'IA à analyser et à interpréter rapidement de grandes quantités de données peut permettre de déduire des informations personnelles sur une personne qu'elle n'a jamais fournies, au-delà des exigences de consentement prévues par les lois sur la protection des données.

Élaboration de normes internationales

En raison de ces risques, l’IA a récemment suscité un intérêt accru de la part des organismes internationaux et régionaux de défense des droits humains, qui cherchent à fournir des orientations et des normes pour protéger les droits concernés et garantir le développement responsable de ces nouvelles technologies. Par exemple :

  • En 2021, le Rapporteur spécial des Nations Unies sur le droit à la vie privée a publié un rapport sur l'IA et la vie privée et la vie privée des enfants qui fournit des orientations sur les normes de protection des données pour l'IA au niveau national et appelle les États et les entreprises à développer des solutions d'IA de manière éthique et responsable dans le cadre des droits de l'homme.81

  • Toujours en 2021, le Haut-Commissaire des Nations Unies aux droits de l'homme a publié un rapport sur le droit à la vie privée à l'ère numérique, analysant comment l'utilisation généralisée de l'IA affecte ce droit et d'autres droits fondamentaux, et formulant une série de recommandations à l'intention des États et des entreprises pour concevoir et mettre en œuvre des garanties en matière de droits.82 Le rapport note que les systèmes d'IA « incitent à une collecte, un stockage et un traitement généralisés des données », contrairement au principe de minimisation des données, et souligne les préoccupations dans les secteurs de l'application de la loi, des services publics, de l'emploi et des systèmes de gestion de l'information en ligne.

  • S’appuyant sur ce constat, en 2023, la nouvelle Rapporteuse spéciale a soumis son rapport à l’Assemblée générale des Nations Unies (AGNU) qui soulignait la nécessité de transparence et d’explicabilité dans l’utilisation de l’IA afin que les personnes concernées puissent exercer leurs droits sur l’utilisation de leurs informations personnelles dans de tels systèmes.83

Il convient de noter que la Commission des droits de l'homme et des peuples de l'Union africaine (CADHP) a également pris des mesures pour examiner les risques liés à l'IA en adoptant la résolution ACHPR/Res. 473 (EXT.OS/ XXXI) 2021 : sur la nécessité de réaliser une étude sur les droits de l'homme et des peuples et l'intelligence artificielle (IA), la robotique et d'autres technologies nouvelles et émergentes en Afrique en 2021.84 Dans ce document, l'ACHPR—

  • reconnaît les innombrables risques pour les droits de l'homme, qui ne se limitent pas au respect de la vie privée ;

  • invite les États à mettre en place des mécanismes pour garantir le développement et l’utilisation de ces technologies dans le respect des droits en Afrique, notamment en œuvrant à l’élaboration d’un cadre de gouvernance juridique et éthique complet pour l’IA ;

  • s'engage à entreprendre une étude pour élaborer des lignes directrices sur l'IA.

L'étude a officiellement débuté en juin 2023.85

Conclusion

Avec la numérisation croissante du monde et la diffusion d'outils toujours plus sophistiqués de traitement des données personnelles, la protection des données devient indispensable. En Afrique, des progrès ont été réalisés avec l'adoption de 36 lois sur la protection des données et l'entrée en vigueur de la Convention de Malabo en 2023.86 Cependant, face à la croissance et à la sophistication croissantes des technologies et des pratiques liées à la collecte et au profilage des données, les législateurs accusent un certain retard en matière de protection et de promotion de la vie privée et de la protection des données. À l'avenir, les défenseurs des droits numériques auront un rôle crucial à jouer pour veiller à ce que les États suivent l'évolution de la protection des données et mettent en place des cadres législatifs garantissant pleinement le droit à la vie privée.

Références

  1. Ayalew, « Voies inexplorées vers le droit à la vie privée à l'ère numérique en vertu du droit africain des droits de l'homme », 12 International Data Privacy Law 1 (2022) (accessible à l'adresse https://ssrn.com/abstract=3993942). ↩
  2. Juge KS Puttaswamy et un autre contre l'Union indienne et autres, requête n° 494/2012 (2017) (accessible à l'adresse http://supremecourtofindia.nic.in/supremecourt/2012/35071/35071_2012_Judgement_24-Aug-2017.pdf). ↩
  3. ACHRP, « Déclaration de principes sur la liberté d’expression et l’accès à l’information en Afrique 2019 » (2019) (accessible à l’adresse https://achpr.au.int/en/node/902) aux principes 40 à 42. ↩
  4. ALT Advisory, « Protection des données Afrique », (accessible sur https://dataprotection.africa/). ↩
  5. NM et autres c. Smith et autres, [2007] ZACC 6 (accessible à l'adresse https://www.saflii.org/za/cases/ZACC/2007/6.html) au paragraphe 33, citant avec approbation Bernstein et autres c. Bester NO et autres, [1996] ZACC 2 (accessible à l'adresse https://www.saflii.org/za/cases/ZACC/1996/2.html) au paragraphe 77. ↩
  6. Consultez le site https://dataprotection.africa/ pour plus d'informations. ↩
  7. Bureau du commissaire à l'information, « Guide des principes de protection des données » (accessible à l'adresse https://ico.org.uk/for-organisations/guide-to-data-protection/data-protection-principles/). ↩
  8. Représentant spécial des Nations Unies pour la protection de la vie privée, « Promotion et protection des droits de l’homme : questions relatives aux droits de l’homme, y compris les approches alternatives pour améliorer la jouissance effective des droits de l’homme et des libertés fondamentales » (2022) (accessible à l’adresse https://documents.un.org/doc/undoc/gen/n22/594/48/pdf/n2259448.pdf?token=u1h0GXrW9xSVX7VFHW&fe=true). ↩
  9. HCDH, « Observation générale n° 16 du CCPR : Article 17 (Droit à la vie privée) » (1988) (accessible à l’adresse https://www.refworld.org/legal/general/hrc/1988/en/27539) au paragraphe 10. ↩
  10. Rapport spécial du Rapporteur spécial sur le droit à la vie privée de l’ONU, « A/HRC/52/37 : Mise en œuvre des principes de limitation des finalités, de suppression des données et de responsabilité démontrée ou proactive dans le traitement des données à caractère personnel collectées par les entités publiques dans le contexte de la pandémie de COVID-19 – Rapport du Rapporteur spécial sur le droit à la vie privée » (2023) (accessible à l’adresse https://www.ohchr.org/en/documents/thematic-reports/ahrc5237-implementation-principles-purpose-limitation-deletion-data-and). ↩
  11. UA, « Convention de l'Union africaine sur la cybersécurité et la protection des données personnelles » (2014) (accessible à l'adresse https://au.int/sites/default/files/treaties/29560-treaty-0048_-_african_union_convention_on_cyber_security_and_personal_data_protection_e.pdf). ↩
  12. ALT Advisory, « Afrique : la Convention de Malabo de l'UA devrait entrer en vigueur après neuf ans » (2023) (accessible à l'adresse https://altadvisory.africa/2023/05/19/malabo-convention-set-to-enter-force/). ↩
  13. EAC, « Cadre juridique de la CAE pour les cyberlois » (20228) (accessible à l'adresse http://repository.eac.int:8080/bitstream/handle/11671/1815/EAC Framework for Cyberlaws.pdf?sequence=1&isAllowed=y). ↩
  14. CNUCED, « Harmoniser les cyberlois et les réglementations : l’expérience de la Communauté d’Afrique de l’Est » (2012) (accessible à l’adresse https://au.int/sites/default/files/newsevents/workingdocuments/27223-wd-harmonizing_cyberlaws_regulations_the_experience_of_eac1.pdf). ↩
  15. CEDEAO, « Acte complémentaire A/SA.1/01/10 relatif à la protection des données personnelles au sein de la CEDEAO » (2010) (accessible à l'adresse http://www.statewatch.org/news/2013/mar/ecowas-dp-act.pdf). ↩
  16. HIPSSA, « Protection des données : Loi modèle de la SADC » (2013) (accessible à l'adresse https://www.itu.int/en/ITU-D/Projects/ITU-EC-ACP/HIPSSA/Documents/FINAL DOCUMENTS/FINAL DOCS ENGLISH/sadc_model_law_data_protection.pdf). ↩
  17. Data Protection Africa, « Seuls : l’indépendance des autorités africaines de protection des données » (2024) (accessible sur https://dataprotection.africa/standing-alone-the-independence-of-african-data-protection-authorities/). ↩
  18. IT Web, « Les principes POPIA doivent s'aligner sur la gouvernance de l'IA, selon les experts », (2023) (accessible sur https://www.itweb.co.za/article/popia-principles-must-align-with-ai-governance-say-experts/RgeVDvPRrn8MKJN3). ↩
  19. Voir ci-dessus n° 17. ↩
  20. Id. ↩
  21. Njenga, Schmitz, « Worldcoin : des milliers de personnes affluent au KICC pour se faire scanner les yeux pour 7 000 Ksh » (2023) (accessible sur https://www.citizen.digital/news/worlcoin-thousands-flock-kicc-to-have-eyeballs-scanned-for-ksh7k-n32464 3). ↩
  22. TechCrunch, « Worldcoin a ignoré l'ordre initial d'arrêter les scans d'iris au Kenya, selon des documents » (2023) (accessible sur https://techcrunch.com/2023/08/15/worldcoin-in-kenya/?guccounter=1). ↩
  23. Ministère de l'Intérieur du Kenya, « Déclaration sur Worldcoin » (2023) (accessible à l'adresse https://twitter.com/InteriorKE/status/1686709534075629568). ↩
  24. Voir ci-dessus n° 22. ↩
  25. Pour en savoir plus sur ce sujet, consultez le manuel de formation de Media Defence intitulé « Training Manual on Digital Rights and Freedom of expression Online: Litigation digital rights and online freedom of expression in East, West and Southern Africa » (accessible à l’adresse https://www.mediadefence.org/wp-content/uploads/2020/06/MLDI-Training-Manual-on-Digital-Rights-and-Freedom-of-Expression-Online.pdf). ↩
  26. Google Spain SL et Another contre Agencia Española de Protección de Datos (AEPD) et Another, affaire n° C-131/12, (2014) (accessible sur https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:62012CJ0131). ↩
  27. Ibid. au paragraphe 57. ↩
  28. Ibid. au paragraphe 58. ↩
  29. Ibid. au paragraphe 80. ↩
  30. Id. ↩
  31. Ibid. au paragraphe 81. ↩
  32. Id. ↩
  33. Ibid. au paragraphe 94. ↩
  34. Ibid. au paragraphe 94. ↩
  35. De Queiroz c. Google Brasil Internet Ltd. Affaire n° 0004144-77.2015.8.26.0297 (2016) (accessible sur https://globalfreedomofexpression.columbia.edu/cases/de-queiroz-v-google-brasil-internet-ltda/). ↩
  36. Surgeon c. Cour d'appel de Santiago, affaire n° Rol n° 1279-2019 (2019) (accessible à l'adresse https://globalfreedomofexpression.columbia.edu/cases/surgeon-v-court-of-appeals-of-santiago/). ↩
  37. Roshanara Ebrahim contre Ashleys Kenya Limited et 3 autres [2016] eKLR (accessible à l'adresse http://kenyalaw.org/caselaw/cases/view/129282/). ↩
  38. Pour plus d'informations sur l'utilisation du délit d'atteinte à la vie privée, la divulgation publique de faits compromettants, les violations des délits de violation de la confidentialité et d'infliction intentionnelle de détresse psychologique, voir : Jane Doe 464533 c. D. (N.) (accessible à l'adresse https://globalfreedomofexpression.columbia.edu/cases/jane-doe-464533-vdn/) ; voir également : Equality Project « Violence facilitée par la technologie : jurisprudence relative à la diffusion non consensuelle d'images intimes » (2019) (accessible à l'adresse http://www.equalityproject.ca/wp-content/uploads/2019/01/TFVAW-Non-Consensual-Distribution-of-Intimate-Images-6-March-2018.pdf). ↩
  39. Affaire n° C-385-15, (2017) (accessible à l'adresse https://curia.europa.eu/juris/document/document.jsf?text=&docid=188750&pageIndex=0&doclang=EN&mode=lst&dir=&occ=first&part=1&cid=446798). ↩
  40. Ministra Nancy Andrighi c. Google Brasil Internet Ltd et autres, 2011/0307909-6, (2012) (accessible à l'adresse https://www.internetlab.org.br/wp-content/uploads/2017/02/STJ-REsp-1316921.pdf). ↩
  41. The Japan Times, « La Cour suprême rejette la demande de « droit à l’oubli » (2017) (accessible sur https://www.japantimes.co.jp/news/2017/02/01/national/crime-legal/top-court-rejects-right-forgotten-demand/#.WqZQXehubIV). ↩
  42. Article 19, « Les Principes mondiaux » (accessibles à l’adresse https://www.article19.org/data/files/medialibrary/38657/Expression-and-Privacy-Principles-1.pdf), a élaboré ces Principes mondiaux sous l’égide d’ARTICLE19, en collaboration avec des experts de haut niveau du monde entier. ↩
  43. Ibid. au principe 18(1). ↩
  44. Ibid. au principe 18(4). ↩
  45. Ibid. au principe 18(2). ↩
  46. Rapport du Rapporteur spécial des Nations Unies sur la liberté d’expression, « Rapport sur l’anonymat, le chiffrement et le cadre des droits de l’homme », A/HRC/29/32, (2015) (accessible à l’adresse http://www.ohchr.org/EN/Issues/FreedomOpinion/Pages/CallForSubmission.aspx), paragraphe 7. Pour plus d’informations et de ressources, voir UCI Law International Justice Clinic, « Références sélectionnées : Rapport complémentaire non officiel au Rapport du Rapporteur spécial (A/HRC/29/32) sur le chiffrement, l’anonymat et la liberté d’expression » (accessible à l’adresse http://www.ohchr.org/Documents/Issues/Opinion/Communications/States/Selected_References_SR_Report.pdf). ↩
  47. Id. ↩
  48. Id. ↩
  49. Electronic Frontier Foundation, « Anonymat et cryptage » (2015) (accessible à l'adresse https://www.ohchr.org/Documents/Issues/Opinion/Communications/EFF.pdf) à la page 3. ↩
  50. Id. ↩
  51. Voir ci-dessus le rapport du Représentant spécial de l’ONU sur l’anonymat et le chiffrement n° 47 au paragraphe 12. ↩
  52. Ibid. au paragraphe 36. ↩
  53. Ibid. au paragraphe 40. ↩
  54. Ibid. au paragraphe 41. ↩
  55. Procureur fédéral c. Soleyana Shimeles Gebremariam et autres (Blogueurs de la Zone 9) (2015) (accessible à l'adresse https://globalfreedomofexpression.columbia.edu/cases/federal-prosecutor-v-soleyana-shimeles-gebremariam-and-others-zone-9-bloggers/). ↩
  56. Mazetti Management Services c. amaBhungane Centre for Investigative Journalism (2023) (accessible à l'adresse https://globalfreedomofexpression.columbia.edu/cases/mazetti-management-services-v-amabhungane-centre-for-investigative-journalism/). ↩
  57. Rapport du Représentant spécial des Nations Unies sur la liberté d’expression, « Rapport sur l’anonymat, le chiffrement et le cadre des droits de l’homme », A/HRC/29/32, (2015) (accessible à l’adresse http://www.ohchr.org/Documents/Issues/Opinion/Communications/States/Selected_References_SR_Report.pdf) aux paragraphes 59-60. ↩
  58. Voir le principe 40, accessible à l'adresse https://achpr.au.int/en/node/902. ↩
  59. CIPESA, « Comment les gouvernements africains sapent l’utilisation du chiffrement » (2021) (accessible à l’adresse https://cipesa.org/wp-content/files/briefs/How_Africa_Government_Undermine_the_Use_of_Encryption_2021.pdf). ↩
  60. Global Partners Digital, « Carte mondiale du chiffrement » (accessible à l'adresse https://www.gp-digital.org/world-map-of-encryption/). ↩
  61. CIPESA, « Comment les gouvernements africains sapent l’utilisation du chiffrement » (2021) (accessible à l’adresse https://cipesa.org/wp-content/files/briefs/How_Africa_Government_Undermine_the_Use_of_Encryption_2021.pdf) ↩
  62. Article19 et al, « Nécessaire et proportionné : Principes internationaux sur l’application des droits de l’homme à la surveillance des communications » (2014) (accessible à l’adresse https://necessaryandproportionate.org/files/2016/03/04/en_principles_2014.pdf) à la page 4. ↩
  63. Pour en savoir plus sur ce sujet, consultez le manuel de formation de Media Defence intitulé « Training Manual on Digital Rights and Freedom of expression Online: Litigation digital rights and online freedom of expression in East, West and Southern Africa » (accessible à l’adresse https://www.mediadefence.org/wp-content/uploads/2020/06/MLDI-Training-Manual-on-Digital-Rights-and-Freedom-of-Expression-Online.pdf). ↩
  64. Forbidden Stories, « Journalistes sous surveillance » (2021) (accessible sur https://forbiddenstories.org/pegasus-journalists-under-surveillance/). ↩
  65. Sharma c. Union of India et autres, requête en certiorari (CRL.) n° 314 (2021) (accessible à l'adresse https://main.sci.gov.in/supremecourt/2021/16884/16884_2021_1_1501_30827_Judgement_27-Oct-2021.pdf). ↩
  66. Amnesty International, « Inde : une nouvelle enquête médico-légale accablante révèle l’utilisation répétée du logiciel espion Pegasus pour cibler des journalistes de haut niveau » (2023) (accessible sur https://www.amnesty.org/en/latest/news/2023/12/india-damning-new-forensic-investigation-reveals-repeated-use-of-pegasus-spyware-to-target-high-profile-journalists/). ↩
  67. Nick Hopkins et Stephanie Kirchgaessner, « WhatsApp poursuit une entreprise israélienne, l'accusant d'avoir piraté les téléphones d'activistes », The Guardian (2019) (accessible sur https://www.theguardian.com/technology/2019/oct/29/whatsapp-sues-israeli-firm-accusing-it-of-hacking-activists-phones). ↩
  68. Stephanie Kirchgaessner, « Le tribunal ordonne au fabricant du logiciel espion Pegasus de remettre le code à Whatsapp », The Guardian (2024) (accessible sur https://www.theguardian.com/technology/2024/feb/29/pegasus-surveillance-code-whatsapp-meta-lawsuit-nso-group). ↩
  69. RSF, « Une première au Togo : RSF identifie un logiciel espion sur les téléphones de deux journalistes togolais » (2024) (accessible sur https://rsf.org/en/first-togo-rsf-identifies-spyware-phones-two-togolese-journalists). ↩
  70. Voir ci-dessus n° 9 au paragraphe 8. ↩
  71. Les révélations de lanceurs d'alerte, tels qu'Edward Snowden, ont révélé que la NSA aux États-Unis et le GHQ au Royaume-Uni avaient développé des technologies permettant d'accéder à une grande partie du trafic internet mondial, aux relevés d'appels aux États-Unis, aux carnets d'adresses électroniques des particuliers et à d'énormes volumes d'autres contenus de communications numériques. Ces technologies sont déployées via un réseau transnational reposant sur des relations de renseignement stratégiques entre gouvernements et autres acteurs. On parle alors de surveillance de masse. Voir ci-dessus, note 47, paragraphe 4. ↩
  72. Représentant spécial des Nations Unies pour la protection de la vie privée, « Rapport préparé conformément aux résolutions 28/16 et 37/2 du Conseil des droits de l’homme » (20190 (accessible à l’adresse https://documents.un.org/doc/undoc/gen/g19/307/40/pdf/g1930740.pdf?token=Llio29GStCcXeab4uk&fe=true) à la p. 14. ↩
  73. Assemblée générale des Nations Unies, « Résolution sur le droit à la vie privée à l’ère numérique » A/C.3/71/L.39/Rev.1, (2016) (accessible à l’adresse http://www.un.org/ga/search/view_doc.asp?symbol=A/C.3/71/L.39/Rev.1). ↩
  74. Voir ci-dessus n° 65 au Principe 5. ↩
  75. Voir ci-dessus n° 47 au paragraphe 21. ↩
  76. Pour en savoir plus, voir Big Brother Watch c. Royaume-Uni devant la CEDH (2018) (accessible à l'adresse https://globalfreedomofexpression.columbia.edu/cases/big-brother-watch-v-united-kingdom/) et amaBhungane Centre for Investigative Journalism c. Ministre de la Justice en Afrique du Sud (2019) (accessible à l'adresse http://www.saflii.org/za/cases/ZAGPPHC/2019/384.html). ↩
  77. [2012] ZAGPJHC 71, (2012) (accessible à l'adresse http://www.saflii.org/za/cases/ZAGPJHC/2012/71.html). ↩
  78. Commission des droits de l'homme du Kenya c. Autorité des communications du Kenya (2018) (accessible à l'adresse https://globalfreedomofexpression.columbia.edu/cases/kenya-human-rights-commission-v-communications-authority-kenya/) et Okoiti c. Autorité des communications du Kenya (2018) (accessible à l'adresse https://globalfreedomofexpression.columbia.edu/cases/okoiti-v-communications-authority-kenya/). ↩
  79. Requête en certiorari (Crl.) n° 314 de 2021, (2021) (accessible à l'adresse https://main.sci.gov.in/supremecourt/2021/16884/16884_2021_1_1501_30827_Judgement_27-Oct-2021.pdf). ↩
  80. Big Brother Watch c. Royaume-Uni (Big Brother I) Requêtes n° 58170/13, 62322/14 et 24960/15 (2018) (accessible à l'adresse https://globalfreedomofexpression.columbia.edu/cases/big-brother-watch-v-united-kingdom/). ↩
  81. Rapport spécial de l'ONU sur la protection de la vie privée « Intelligence artificielle et vie privée, et vie privée des enfants » (2021) (accessible à l'adresse https://undocs.org/Home/Mobile?FinalSymbol=A/HRC/46/37&Language=E&DeviceType=Desktop&LangRequested=False). ↩
  82. Rapport du Haut-Commissaire des Nations Unies aux droits de l'homme « Le droit à la vie privée à l'ère numérique » (2021) (accessible à l'adresse https://www.undocs.org/Home/Mobile?FinalSymbol=A/HRC/48/31&Language=E&DeviceType=Desktop&LangRequested=False). ↩
  83. Rapport spécial de l'ONU sur la vie privée « Droit à la vie privée » (2023) (accessible à l'adresse https://undocs.org/Home/Mobile?FinalSymbol=A/78/310&Language=E&DeviceType=Desktop&LangRequested=False). ↩
  84. ACHR, « Résolution sur la nécessité d’entreprendre une étude sur les droits de l’homme et des peuples et l’intelligence artificielle (IA), la robotique et les autres technologies nouvelles et émergentes en Afrique » ACHR/Res. 473 (EXT.OS/XXXI) (2021) (accessible à l’adresse https://achpr.au.int/en/adopted-resolutions/473-resolution-need-undertake-study-human-and-peoples-rights-and-art). ↩
  85. ACHPR, « COMMUNIQUÉ DE PRESSE : Atelier inaugural et consultation d’experts sur l’étude sur les droits de l’homme et des peuples et l’intelligence artificielle (IA), la robotique et autres technologies nouvelles et émergentes en Afrique, 09-08 juin 2023 Nairobi, Kenya » (2023) (accessible à l’adresse https://achpr.au.int/en/news/press-releases/2023-06-08/inception-workshop-and-experts-consultation-artificial-intelligence). ↩
  86. Consultez le site https://dataprotection.africa/ pour plus d'informations. ↩

Table des Matières

Documentation associée

MENA

ماژول‌های آموزشی درباره‌ی دادخواهی مربوط به آزادی بیان و حقوق دیجیتال

واحد آموزشی ۱: اصول اساسی حقوق بین‌الملل و آزادی بیان واحد آموزشی ۲: مقدمه‌ای بر حقوق دیجیتال واحد آموزشی ۳: دسترسی به اینترنت واحد آموزشی ۴: حریم خصوصی داده‌ها و حفاظت از داده‌ها واحد آموزشی ۵: افترا واحد آموزشی ۶ :

Lire la suite

MENA

وحدات تعليمية حول التقاضي بشأن حرية التعبير والحقوق الرقمية

الوحدة التعليمية 1: المبادئ األساسية للقانون الدولي وحرية التعبير الوحدة التعليمية 2: مقدمة في الحقوق الرقمية Titre 3 : الوصول إلى اإلنترنت الوحدة التعليمية 4: خصوصية البيانات وحماية البيانات الوحدة التعليمية 5: التشهير الوحدة Partie 6 : خطاب الكراهية الوحدة التعليمية

Lire la suite

Amérique Latine

Confidentialité et protection des données et vigilance – Latinoamérica

Confidentialité et protection des données et vigilance Introduction Le droit à la confidentialité et les exigences concomitantes de protection des informations personnelles ont attiré une attention significative à l'ère de l'information. Si bien en Internet el intercambio de

Lire la suite
Centre de ressources
Faire un don