ARRET N°641
DU 23/11/2017
REPUBLIQUE DU MALI
-------------
COUR SUPREME
-------------
SECTION ADMINISTRATIVE
La Cour Suprême du Mali (Section Administrative), en son audience publique Ordinaire du vingt-trois Novembre Deux Mille Dix-sept, a rendu l’arrêt dont la teneur suit
ENTRE :
La Société Orange Mali SA, ayant pour conseil la SCPA DOUMBIA-TOUNKARA, Cabinet d’Avocats inscrits au Barreau du Mali ;
REQUERANTE
D’UNE PART
ET :
Décision N°2017-001/APDP du 13 Février 2017 de l’Autorité de Protection des Données à Caractère Personnel représentée par la Direction Générale du Contentieux de l’Etat - X Ac Aa, ayant pour conseils Maîtres Aliou Boubacar et Robert SANOU, tous Avocats inscrits au Barreau du Mali;
DEFENDEURS
D’AUTRE PART
Sans que les présentes qualités puissent nuire ni préjudicier en quoi que ce soit aux parties et sous les plus expresses réserves de fait et de droit.
EN MATIERE DE RECOURS POUR EXCES DE POUVOIR
FAITS ET PROCEDURE :
Par requêtes suivies d’un mémoire ampliatif reçues à la Cour le 14 Mars 2017, la SCPA DOUMBIA-TOUNKARA, agissant au nom et pour le compte de Orange Mali SA sollicitait de la Cour l’annulation pour excès de pouvoir de la décision N°2017-001/ APDP du 13 Février 2017 de l’Autorité de protection des données à caractère personnel et, l’intervention forcée du sieur X Ac Aa étudiant domicilié à Koulouba ;
Les requêtes ainsi que les pièces jointes y jointes ont été notifiées à la Direction Générale du Contentieux de l’Etat et à Maître Aliou BOUBACAR avocat à la Cour conseil du sieur X Ac Aa qui ont respectivement produit leurs mémoires en défenses reçues à la Cour les 27-04-2017 et 07-04-2017 ;
EN DROIT :
EN LA FORME :
Considérant que les présents recours obéit aux conditions de recevabilité exigées par la loi; il sied de les recevoir en la forme ; et d’associer le sieur X Ac Aa à la procédure;
Au fond :
Considérant qu’au soutien de son recours, Orange-Mali SA déclare :
Que suite à une plainte adressée à elle par X Ac Aa qui l’a accusé d’avoir divulgué ses données confidentielles, l’autorité de protection des Données à caractère personnel (APDP) a cru devoir infliger à Orange Mali-SA par Délibération n°2017-001/APDP du 13 Février 2017 une amende pécuniaire d’un montant de quinze millions de francs CFA (15.000.000FCFA) que ladite décision a été rendue en violation de l’article 21 de la loi 2013-015 du 21 Mai 2013 portant protection des données à caractère personnel en République du Mali d’une part et, d’autre part de la violation de l’article 20 de l’acte additionnel A/SA 1/01/0 relatif à la protection des données à caractère personnel dans l’espace de la CEDEAO ;
Qu’en ce qui concerne la violation de l’article 21 de la loi 2013-015 du 21 Mai 2013 portant protection des données à caractère personnel en République du Mali ;
Que l’APDP est une autorité administrative indépendante ;
Qu’aux termes de l’article 21 de la loi sus mentionnée « l’autorité comprend un organe délibérant collégial composé de quinze (15) membres désignés pour un mandat de sept (07) ans non renouvelable ainsi qu’il suit… » ;
Qu’or, au regard de la délibération, il n’y a eu que quatorze (14) membres qui ont siégé ;
Que l’admission de la procuration témoigne de la nécessité du vote de tous les membres ; que l’APDP ne peut donc prétendre avoir pris une décision collégiale et l’entorse faite à l’article 21 est manifeste ;
Qu’en ce qui concerne la violation de l’article 20 de l’acte additionnel A/SA/1/01/O relatif à la protection des données à caractère personnel dans l’espace de la CEDEAO ;
Qu’aux termes des dispositions de l’article 1er dudit acte, il est établi sa primauté sur la loi 2013-015 du 21 Mai 2013 qu’or, l’article 20 est sans équivoque : « Sanctions si le responsable du traitement ne se conforme pas à la mise en demeure qui lui a été adressée, l’autorité de protection des données peut prononcer à son encontre après procédure contradictoire les sanctions suivantes
1)- retrait provisoire de l’autorisation accordée ;
2)- retrait définitif de l’autorisation ;
3) –Une amende pécuniaire » ;
Qu’il appert ainsi que l’application d’une amende a pour préalable une mise en demeure ; que l’observation de cette formalité est substantielle car, déjà, Orange Mali aurait pu y déféré ;
Qu’en tout état de cause, décision susceptible de recours ou pas, la mise en demeure, dès lors qu’elle est prévue et ignorée par l’administration, justifie le recours pour excès de pouvoir ; qu’elle sollicite alors de la Cour de dire et juger que la Décision n°2017-001/APDP du 13 Février 2017 portant sanction de Orange Mali SA est entachée d’excès de pouvoir et l’annuler ;
Considérant que Maître Robert SANOU conseil du sieur X Ac Aa intervenant forcé dans la présente procédure a soutenu :
Qu’en ce qui concerne la prétendue violation de l’article 21 de la loi n°2013-015 du 21 Mai 2013 portant protection des données à caractère personnel en République du Mali :
Qu’au regard des dispositions de l’article 21 de la loi 2013-015, Orange Mali SA estime à tort que l’APDP lors de sa session ordinaire de février 2017 délibérée sur la plainte de MAB Ac Aa a violé cette disposition du fait qu’elle a délibéré avec 14 membres au lieu de 15 ; que cette disposition n’a point été violée car la même loi en son article 47 dit que : « l’autorité de protection des données à caractère personnel prend ses décisions à la majorité des 2/3 de ses membres ; que sur 15 membres, 2/3 est bien supérieur à 14 qui ont participé à la prise de décision portant sur la délibération n°2017-001/APDP dont l’annulation est sollicitée ; qu’aucune entorse ne saurait être reprochée à l’article 21 de la loi 2013-015 ;
Qu’en ce qui concerne la prétendue violation de l’article 20 de l’acte additionnel A/SA du 16/02/2010 relatif à la protection des données à caractère personnel
dans l’espace CEDEAO ;
Que Orange Mali SA estime de plus que l’APDP lors de la session ordinaire de février 2017 a violé les dispositions de l’article 20 de l’acte additionnel qui dispose « si le responsable du traitement ne se conforme pas à la mise en demeure qui lui a été adressée ; l’autorité de protection peut prononcer à son encontre après procédure contradictoire les sanctions suivantes :
Retrait de l’autorisation accordée ;
Retrait définitif de l’autorisation ;
Une amende pécuniaire » ;
Que la Société Orange Mali SA estime qu’avant cette sanction pécuniaire, l’APDP devait lui faire d’abord une mise en demeure à laquelle elle allait déférer qu’elle estime que la mise en demeure est une formalité substantielle préalable à toute décision de retrait, qu’il est utile de rappeler que l’espèce ne concerne pas un retrait mais une sanction pécuniaire au profit de l’Etat en raison d’un manque de protection des données personnelles du sieur X Ac Aa qu’en l’espèce, si l’APDP a choisi de ne pas observer cette disposition c’est parce qu’elle a estimée à raison que l’espèce n’entrait pas dans le domaine d’application de cette disposition ; qu’elle a constaté que l’article 8 de la loi 2013-015 du 21 Mai 2013 a été violé par Orange Mali SA ; que l’espèce était plutôt régie par l’article 19 i) de l’acte additionnel A/SA1/101/10 relatif à la protection des données à caractère personnel dans l’espace de la CEDEAO qui dispose « Article 19 Attributions de l’autorité de protection des données à caractère personnel ;
1-l’autorité s’assure que les TIC ne comportent aucune menace aux libertés publiques et à la vie privée à ce titre elle doit :
« a, b, c, d, e, f, g, h,
i------ prononcer des sanctions ; administratives et pécuniaires à l’égard d’un responsable de traitement ;
j--- » ;
Qu’au vu des dispositions de l’article 1er, Orange Mali SA est le responsable de traitement qui n’a pris aucune précaution pour préserver la sécurité des données de Monsieur MAB Ac Aa ;
Que demoiselle Ad Ab C a utilisé les données de Monsieur MAB Ac dans le cadre d’une relation privée ; qu’en pareille matière, il reste acquis que les données collectées ne peuvent être consultées que pour des raisons évidentes tenant à la nécessité de service ;
Que le compte d’Orange-Money du mémorant a fait l’objet d’extrait alors qu’il n’y a aucune réclamation de sa part encore moins pour les nécessités de service ; que cette copie a été utilisée dans des circonstances bien connues d’Orange Mali SA ; que l’usage qui a été fait a porté atteinte à l’honneur et à la pudeur du sieur MAB Ac et lui a causé un préjudice certain que la délibération 2017-001/APDP a voulu sanctionné, sanction qui ne s’accommodait pas d’une mise en demeure et, qui nécessitait de faire usage des dispositions de l’article 19;
Que ce moyen n’étant pas plus heureux que le premier mérite d’être rejeté comme étant mal fondé ;
Considérant que la Direction Générale du Contentieux de l’Etat pour le compte de l’autorité de protection des données à caractère personnel (APDP) a soutenu.
Qu’à l’appui de sa requête, Orange MALI SA soulève deux moyens tirés de la violation de l’article 21 de la loi 2013-015 du 21 Mai 2013 portant protection des données à caractère personnel et de l’article 20 de l’acte additionnel A/SA du 16 Février 2010 relatif à la protection des données à caractère personnel dans l’espace de la CEDEAO ; qu’en ce qui concerne les faits, le 23 Décembre 2016, le sieur MAB Ac Aa étudiant domicilié à Bamako, saisissait le Président de l’autorité de Protection des données à caractère personnel d’une plainte contre la Société Orange-Mali SA pour communication illicite de ses données à caractère personnel à une tierce personne en violation des dispositions de l’article 8 de la loi n°2013-015 du 21 Mai 2013 portant protection ces données à caractère personnel qu’à l’appui de sa plainte, MAB Ac expose que le 02 Décembre 2016, la nommée Ad Ab C, une stagiaire de la Société Orange Mali SA et qui était sa copine, lui faisait savoir qu’elle avait pu accéder à ses messages sur son numéro Orange de la période allant du 02 Février au 02 Décembre 2016 ; que pour confirmer ses propos, la demoiselle lui remettait une copie de ses transactions effectuées sur le service « Orange Money » le 1er Décembre 2016 ; Qu’ainsi, à la suite d’une procédure contradictoire, l’autorité de protection des Données à caractère personnel, par délibération N°2017-001/APDP du 13 Février 2017 condamnait Orange Mali SA à payer quinze millions de francs CFA d’amende ; que Orange Mali SA Sollicite l’annulation de la dite délibération ;
SUR LE MOYEN TIRE DE LA VIOLATION DE L’ARTICLE 21 DE LA LOI 2013-015 DU 21 MAI 2013
Qu’il y a lieu de relever que la requérante fait une mauvaise querelle à l’APDP dans la mesure ou, s’il est constant que la loi 2013-015 du 21 Mai 2013 portant protection des données personnelles fixe dans son article 21 le nombre de ses membres à 15 (Quinze), l’article 47 de la même loi dispose que l’autorité « prend ses décisions à la majorité des 2/3 de ses membres ; que mieux, nulle part il n’est fait mention dans ladite loi que « sous peine de nullité » toute décision de l’autorité doit être prise en la présence constante des quinze membres ; que contrairement aux allégations de Orange Mali SA, la légalité de la composition de l’organe délibérant s’apprécie en fonction du règlement intérieur qui dispose en son article 22 « les séances plénières de l’autorité ne se tiennent que lors qu’au moins 2/3 de ses membres sont présents » ;
Que l’article 30 de la loi 2013-015 dispose que « Le membre de l’autorité absent ou empêché peut donner, à un collègue, une procuration dûment légalisée » ; que, cette disposition offre juste une faculté au membre absent de se faire représenter lors des séances plénières ; qu’il échet de rejeter ce moyen du requérant comme mal fondé ;
SUR LE MOYEN TIRE DE LA VIOLATION DE L’ARTICLE 20 DE L’ACTE ADDITIONNEL A/SA du 16 FEVRIER 2010
Que le requérant soutient que l’article 20 de l’acte additionnel A/SA du 16 Février 2010 fait de la mise en demeure un préalable à toute sanction en matière de violation de la loi de protection des données à caractère personnel, alors qu’il ressort de l’article 2 du même acte additionnel que « chaque Etat membre met en place un cadre légal de protection de la vie privée et professionnelle consécutive à la collecte, au traitement, à la transmission, au stockage et à l’usage des données à caractère personnel, sous réserve de la protection de l’ordre Public » ;
Qu’il résulte de cette disposition qu’il appartient à chaque Etat membre de déterminer notamment, les infractions des données à caractère personnel, les organes compétents pour les connaître, et la procédure pour la mise en œuvre des sanctions des violations des objectifs de l’acte additionnel ; que dans ce cadre qu’est intervenu la loi n°2013-015 du 21 Mai 2013 portant protection des données à caractère personnel qui fixe dans son article 59 deux sortes de sanctions : administrative et pécuniaire ;
Que les sanctions administratives résultent des dispositions de l’article 61 ;
Qu’il est disposé à l’article 65 de la même loi que « sont punis d’une amende de cinq millions (5.000.000) à Vingt millions (20.000.000) de francs ;
Le fait de communiquer à des tiers non autorisés ou d’accéder sans autorisation ou de façon illicite aux données personnelles mettant en cause les droits fondamentaux et les libertés individuelles ou la vie privée ;
Le détournement de finalité ou toute modification de finalité d’une collecte ou d’un traitement de données personnelles, sans autorisation expresse et motivée de l’autorité de protection des données à caractère personnel »;
Qu’en l’espèce de l’accès d’une tierce personne aux données à caractère personnel du sieur X Ac Aa la mise en demeure serait superfétatoire dans la mesure où les faits reprochés à Orange Mali SA s’apprécie comme une infraction instantanée à l’opposé des manquements à d’autres prescriptions légales tels que le défaut de déclaration ou de demande d’autorisation de traitement, qui sont des infractions continues pouvant faire l’objet de mise en demeure préalable avant toute autre sanction que donc, l’absence de mise en demeure dont se prévaut la Société Orange Mali SA ne saurait en tout état de cause rétroagir pour anéantir les effets d’un traitement de données personnel constitutif d’une infraction consommée ; qu’il y a lieu dès lors de retenir que c’est à bon droit qu’est intervenu la décision querellée ;
Qu’il convient de rejeter le recours comme mal fondé ;
Considérant que dans son mémoire en réplique reçu à la Cour le 27-06-2017, la SCPA DOUMBIA-TOUNKARA a pour le compte de Orange Mali SA fait les observations suivantes :
Qu’en soutenant qu’au sein de l’APDP les décisions sont prises par les 2/3 de ses membres même en siégeant à 14 au lieu de 15 de ses membres, la loi n’aurait pas été violée ; ses contradicteurs font l’amalgame entre une formation collégiale et le quorum dans les prises de décision en se fondant en cela sur le règlement intérieur de l’APDP ; qu’or, un règlement intérieur n’est validé « que dans les limites des règles de fonctionnement fixés par la loi » que, dans une telle logique, l’APDP ne peut donc de son propre chef délibérer avec les 2/3 seulement de ses membres ; que l’APDP doit délibérer avec 15 membres et si elle ne le fait pas, la violation de la loi doit être sanctionnée ;
Que pour infirmer le moyen tiré de la violation de l’article 20 de l’acte additionnel, les parties adverses affirment que le Mali a légiféré et que cette loi l’emporte ;
Que la hiérarchie des normes doit l’emporter, l’acte additionnel étant supérieur à la loi conformément aux dispositions de l’article 116 de la constitution doit s’imposer à la loi ;
Que le style du légiste communautaire en regroupant trois types de sanction dont l’application a pour préalable une mise en demeure a voulu privilégier les sanctions administratives qui sont plus pédagogiques ;
DISCUSSION JURIDIQUE:
Considérant que Orange Mali SA sollicite de la Cour l’annulation de la Décision n°2017-001/ APDP du 13 Février 2017 de l’autorité de protection des données à caractère personnel qui le sanctionnait ; que pour ce faire il se prévaut de la violation de l’article 21 de la loi 2013-015 du 21 Mai 2013 portant protection des données à caractère personnel et de l’article 20 de l’acte additionnel A/SA du 16 Février 2010 relatif à la protection des données à caractère personnel dans l’espace de la CEDEAO ;
SUR LA VIOLATION DES DISPOSITIONS DE L’ARTICLE 21
DE LA LOI N°2013-015
Considérant que l’article21 de la loi n°2013-015 du 21 Mai 2013 dispose « l’autorité comprend un organe délibérant collégial composé de quinze (15) membres désignés pour un mandat de sept (07) ans non renouvelable, ainsi qu’il suit… » ;
Que cet article donne la composition de l’organe délibérant collégial de l’APDP que par contre, à l’article 47 de la même loi il est stipulé que « l’autorité de protection des données à caractère personnel prend ses décisions à la majorité des 2/3 de ses membres ;
Qu’ainsi, les dispositions de l’article 21 de la loi sus citée ne sanctionnent point de nullité une délibération prise sans la présence de tous les membres, seule la majorité des 2/3 de ses membres est requise pour la validité de ses délibérations ;
Qu’or, cette majorité est largement en deçà des 14 membres ayant siégé à l’audience ayant pris la délibération querellé que ce moyen non fondé est à écarter ;
SUR LA VIOLATION DE L’ARTICLE 20 DE L’ACTE ADDITIONNEL A/SA DU 19 FEVRIER 2010
Considérant que Orange Mali SA tiré moyen de la violation du dit article en estimant que d’une part l’acte additionnel est une norme supérieure à la loi et doit lui en imposer et que, d’autre part la mise en demeure est un préalable obligatoire à la sanction selon sa lecture des dispositions de l’acte additionnel ;
Considérant que l’acte additionnel en son article 2 dispose : « chaque état membre met en place un cadre légal de protection de la vie privée et professionnelle consécutive à la collecte, au traitement, à la transmission, au stockage et à l’usage des données à caractère personnel sous réserve de la protection de l’ordre public » ;
Qu’en cela, au contraire des énonciations de la requérante la loi 2013-015 n’est intervenu qu’en droite ligne de l’acte additionnel pour déterminer les infractions, les organes compétents pour les connaître et la procédure pour la mise en œuvre des sanctions des violations des objectifs de l’acte additionnel ;
Considérant qu’aux termes de l’article 20 de l’acte additionnel traitant des sanctions, il est dit ; « si le responsable du traitement ne se conforme pas à la mise en demeure qui lui a été adressée, l’autorité de protection peut prononcer en son encontre après procédure contradictoire des sanctions suivantes… » ;
Que nulle part il n’est fait mention d’une mise en demeure obligatoire préalable avant le prononcé des sanctions pécuniaires ; qu’une mise en demeure prévue au 2)-b) de l’article 19 de l’acte additionnel dispose que : « une mise en demeure de faire cesser les manquements concernés dans un délai qu’elle fixe » ;
Qu’il s’agit dans ce cas d’une infraction qui se prolonge dans le temps alors que l’infraction objet de la délibération concernée ne peut être soumis à la mise en demeure car elle est déjà consommée et, est prévue dans les dispositions relatives aux sanctions pécuniaire à l’article 65 de la loi 2013-015 du 21 Mai 2013 ;
Que ce moyen non fondé est à écarter ;
PAR CES MOTIFS
La Cour Suprême du Mali (Section Administrative) où siégeaient Messieurs :
- Madassalia MAIGA……..………………….Président-Rapporteur ;
- Sory DIAKITE……………………….…………….………..…… Conseiller ;
- Nouhoum BOUARE……..…….…………………………….. Conseiller ;
En présence de Monsieur Hamadine Djibril GORO Rapporteur Public ;
Avec l’assistance de Maître KANTE Korotimi TANGARA Greffier ;
Statuant publiquement, contradictoirement en matière de Recours en annulation et après en avoir délibéré conformément à la loi ;
Vu la loi n°2016-046 du 23 Septembre 2016 portant loi organique fixant l’organisation, les règles de fonctionnement de la Cour Suprême et la procédure suivie devant elle.
Vu les pièces du dossier ;
EN LA FORME :
Reçoit le recours;
AU FOND
Le rejette comme mal fondé ;
Ordonne la confiscation de la consignation versée ;
Met les dépens à la charge des requérants.
Ainsi fait jugé et prononcé par la Cour Suprême (Section Administrative), en son audience publique ordinaire les jour, mois et an que dessus.
ET ONT SIGNE LE PRESIDENT ET LE GREFFIER.
Suivent les signatures
Signés illisibles
DF= 6000F
Enregistré à Bamako, le 05-01-2018
Vol XXXV Fol 51 N°03 Bordereau 0034
Montant reçu : six mille francs
Le Chef de Centre III
Signé illisible
POUR EXPEDITION CERTIFIEE, CONFORME.
BAMAKO, LE 21 OCTOBRE 2020
LE GREFFIER EN CHEF
Me OULARE Assanatou SAKILIBA
Médaillée de mérite national
