L’Opérateur global de téléphonie mobile, Orange-Mali, a été condamné, le 13 févier dernier, à verser une amende de 15 millions de FCFA à un étudiant de la Faculté de médecine, Israël MBA ASSOUMOU. Ainsi en a décidé l’Autorité de protection des données à caractère personnel (APDP) du Mali, suite à la plainte de ce dernier contre la société, le 23 décembre 2016 pour violation de données personnelles.

Au cours de sa séance plénière, du 13 février en matière contentieuse, présidée par Oumarou AG MOHAMED IBRAHIM HAIDARA, président de l’institution, assisté de Mme DIALLO Maïmouna COULIBALY, membre et deuxième rapporteur, en présence de Mme Diarra Afoussatou THIERO ; Seydou DEMBELE ; Habib SOFARA ; Hamidi Hama DIALLO ; Zakaria Nourradine ; Boureïma SEIBA; Kassoum SININTA; Hamidou BANAHARI ; Diawara Safiatou DAO ; Mossa YATTARA, Keita Estelle ZOUMAHOUN et Boureima Allaye TOURE, membres, etc.

Les faits
L’APDP, après avoir entendu MBA ASSOUMOU Israël en présence de son conseil, Me Robert SANOU et les représentants de la société Orange Mali SA, en leur défense, en présence également de leur conseil, Me Mamadou TOUNKARA, a adopté la décision dont la teneur suit :
«Le 23 décembre2016, le sieur MBA ASSOUMOU Israël, étudiant, domicilié à Bamako, saisissait le Président de l’APDP d’une plainte contre la société Orange Mali-SA pour communication illicite de ses données à caractère personnel à une tierce personne en violation des dispositions de l’article 8 de la loi N° 2013-015 du 21 mai 2013 portant Protection des données à caractère personnel.
A l’appui de sa plainte, MBA ASSOUMOU Israël expose que le 2 décembre 2016, la nommée DANTÉ Mama SISSOKO, une stagiaire de la société Orange-Mali et qui était sa copine, lui faisait savoir qu’elle avait pu accéder à ses messages sur son numéro Orange de la période allant du 2 février au 2 décembre 2016 ; que pour confirmer ses propos, la demoiselle lui remettait une copie de ses transactions effectuées sur le service « orange money » le 1er décembre 2016 ;
Que, munie de ce document, la stagiaire est partie lui faire une scène de jalousie à l’hôpital «Le Luxembourg» son lieu de stage, en présence d’un médecin et de certains patients; que cette attitude lui a causé un préjudice sexuel et d’établissement, reposant sur la perte de tout plaisir sexuel, ainsi qu’un préjudice moral résultant de l’humiliation qu’il a subie devant ses patients et son encadreur.
Par ailleurs, dans ses écritures en date du 18 janvier 2017, Me Robert SANOU, conseil du plaignant, explique que la société Orange Mali SA a incontestablement failli à ses obligations de sécurisation des données de son client, dans la mesure où elle reconnaît elle-même que sa stagiaire « a failli en accédant par stratagème à des données qu’Orange Mali ne l’avait pas autorisée à connaître dans le cadre de son stage » ; que ce raisonnement est conforté par le fait que Orange Mali SA a mis fin au stage de la demoiselle DANTÉ Mama SISSOKO ; qu’il en résulte que ladite société n’a pas observé les dispositions de l’article 8 de la loi N° 2013-015 du 21 mai 2013 portant Protection des données à caractère personnel.
Le conseil du plaignant soutient que celui-ci a subi un préjudice direct et certain du fait de l’accès de la stagiaire à ses données personnelles; que la faute étant imputable à Orange Mali SA ; qu’il sollicite de l’Autorité la condamnation de celle-ci à payer à MBA ASSOUMOU Israël la somme 40 000 euros ou son équivalent en franc CFA à titre de réparation.
Me Mamadou TOUNKARA, conseil de la société Orange Mali-SA, dans son mémoire en défense, soutient que l’alinéa 1er de l’article 8 de la loi 2013-015 du 21 mai 2013 fait peser sur Orange une obligation de moyen; que dans le cas d’espèce, le plaignant n’a pu apporter la preuve que sa cliente a failli sur ce point; que bien au contraire, celle-ci a démontré dans sa première réponse que tout est mis en œuvre pour sécuriser les données personnelles de ses clients ; Que la nommée DANTÉ Mama SISSOKO ne peut aucunement être considérée comme tierce personne à Orange Mali SA dans la mesure où elle était placée sous son autorité en sa qualité de responsable de traitement ; qu’habilitée ou non, celle-ci ne peut être considérée comme une tierce personne, de sorte que la confidentialité des données du plaignant n’a jamais été violée ; que s’il y a faute, elle serait le fait exclusif de la stagiaire dans le cadre de ses relations personnelles avec le plaignant ;
Qu’enfin il serait extraordinaire d’y voir une quelconque faute d’orange Mali-SA qui, en la matière, ne peut que prévenir en amont en mettant en place des mesures de sécurisation et en aval de sanctionner les comportements déviants de ses préposés, qui, pour le cas d’espèce, n’ont pas abouti à une remise des données personnelles à un tiers ; que c’est pourquoi, il sollicite, de l’Autorité, de débouter le plaignant de ses demandes.

Motifs de la décision
Sur le manquement à l’obligation de confidentialité et de sécurité.
Considérant que l’article 8 de la loi N° 2013-015 du 21 mai 2013 dispose que «le responsable du traitement prend toutes les précautions utiles pour préserver la sécurité des données. Il doit empêcher notamment qu’elles soient déformées, endommagées ou que des tiers non autorisés y accèdent » ;
Que l’article 3 paragraphe 21 de la même loi définit comme « tiers, toute personne physique ou morale, l’autorité publique, le service ou tout autre organisme autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, placées sous l’autorité directe du responsable du traitement ou du sous-traitant, sont habilitées à traiter les données.»
Considérant qu’en outre, il est de jurisprudence que «l’accès frauduleux vise tous les modes de pénétration irréguliers d’un système de traitement automatisé de données, que l’accédant travaille déjà sur la même machine mais à un autre système, qu’il procède à distance ou qu’il se branche sur une ligne de communication ».
Que l’accès non autorisé, donc sans droit, résulte soit de la loi (secret professionnel, secret des informations nominatives), soit de la volonté de la personne qui a réuni des informations en un système non accessible à certaines personnes. (Paris, 5 avr.1994, D. 1994. IR130, JCP E 1995. I. 461, OBS. Vivant et le Stanc.)
Considérant qu’il est constant que la nommée DANTE Mama SISSOKO a pu accéder, sans droit, à des données personnelles du plaignant, à travers un agent habilité ; qu’en effet, il ressort de l’instruction du dossier, notamment des explications fournies par Orange Mali-SA, que «la demoiselle DANTÉ Mama SISSOKO a failli en accédant par stratagème à des données pour lesquelles elle n’avait aucune autorisation dans le cadre de son stage» ; qu’elle a profité de ses rapports avec un autre agent pour se faire passer pour la propriétaire du numéro de téléphone du plaignant afin d’obtenir un relevé des dernières opérations «orange money» effectuées sur ledit numéro ;
Considérant qu’en suivant cette hypothèse, la démarche de la stagiaire s’analyserait comme la mise en œuvre du droit d’accès régi par l’article 13 de la loi 2013-015 du 21 mai 2013 ; qu’en effet, en vertu des dispositions dudit article, l’exercice du droit d’accès est subordonné à la justification de son identité auprès du responsable du traitement ; que la qualité de stagiaire de la demoiselle ne pouvait nullement l’exonérer de cette obligation légale.
Or, qu’en tant que responsable de traitement, Orange Mali-SA ne pouvait l’exonérer de cette obligation, puisque que tiers non habilité en application des dispositions de l’article 3-21 de la loi sus évoquée ; c’est vainement, que ladite société tente de se soustraire à son obligation d’assurer la sécurisation des données personnelles du plaignant ;
Considérant que de tout ce qui précède, la responsabilité d’Orange Mali-SA s’analyse en manquements graves aux dispositions des articles 8 et 13 de la loi 2013-015 du 21 mai 2013 portant protection des données personnelles, tels que réprimés par l’article 65 de la même loi.

Sur la demande de dommages-intérêts
Considérant que le sieur MBA ASSOUMOU Israël sollicite la condamnation d’Orange Mali-SA à lui payer l’équivalent de 40 000 euros en franc CFA pour les préjudices subis.
Considérant que l’article 60 de la loi 2013-015 du 21 mai 2013 dispose que l’action civile est soumise aux conditions fixées par le Code de Procédure Civile, Commerciale et Sociale et le Régime Général des Obligations; donc relevant des tribunaux judiciaires ; que dès lors, il y a lieu de renvoyer le plaignant à mieux se pourvoir.

Par ces motifs
L’Autorité de Protection des données à caractère Personnel a déclaré Orange Mali-SA responsable de la violation de l’article 8 de la loi N° 2013-015 du 21 mai 2013 portant Protection des données à caractère personnel en ce qui concerne les données du plaignant. En conséquence, prononce à son encontre une sanction pécuniaire 15 millions de FCFA.
Quant aux intérêts civils, renvoie MBA ASSOUMOU Israël à se mieux pourvoir. Enfin, ordonne la publication de la présente décision sur le site www.apdp.ml et dans le journal officiel de la République du Mali.

Par Abdoulaye OUATTARA

Source: info-matin