Le 21 octobre 2026, le Cabinet ZOTCHI AVOCATS a réuni, lors d’un webinaire gratuit, dirigeants, juristes, responsables de la conformité et DSI autour d’une question essentielle : mon organisation est-elle conforme, et prête à affronter un contrôle de l’IPDCP ?
Retour sur les temps forts de cette matinée d’échanges.
Cybersécurité et données personnelles au Togo : un cadre juridique à deux textes
Une cyberattaque n’est jamais un simple incident technique : dès qu’elle touche des données de clients, de salariés ou de partenaires, elle devient une violation de données personnelles, susceptible d’engager la responsabilité de l’organisation.
Au Togo, deux textes fondateurs encadrent ces obligations :
- la loi n° 2018-026 du 7 décembre 2018 sur la cybersécurité et la lutte contre la cybercriminalité, dont la mise en œuvre est confiée à l’Agence nationale de la Cybersécurité (ANCy) ;
- la loi n° 2019-014 du 29 octobre 2019 relative à la protection des données à caractère personnel, dont l’Instance de Protection des Données à Caractère Personnel (IPDCP) garantit le respect.
Les intervenants du webinaire
Trois intervenants se sont succédé pour présenter les quatre communications au programme :
- M. OTIMI Edouard, juriste à l’ANCy, a exposé le cadre juridique togolais de la cybersécurité ;
- M. AWUI Talla Hervé, conseiller technique à l’IPDCP, intervenu au titre de la mission d’information de l’Instance, a présenté le cadre juridique de la protection des données personnelles ;
- M. KPOMGBE Djidjoley, juriste collaborateur au sein du Cabinet ZOTCHI AVOCATS, a présenté les deux dernières, consacrées au diagnostic de conformité et à la préparation d’un contrôle de l’IPDCP.
M. GANGBAZO Primos E., juriste collaborateur au sein du Cabinet, a assuré la modération des échanges.
Cinq enseignements à retenir
1. Un cadre bâti sur deux piliers complémentaires
D’un côté, la loi de 2018, modifiée par la loi n° 2022-009 du 24 juin 2022 et mise en œuvre par l’ANCy avec le CERT national opéré par Cyber Defense Africa, impose des obligations renforcées aux opérateurs de services essentiels : appliquer les règles de sécurité, déclarer sans délai tout incident à l’ANCy et se soumettre aux contrôles. De l’autre, la loi de 2019 relève de l’IPDCP.
Un même incident peut ainsi mobiliser les deux autorités.
2. Une loi exigeante et concrète
La loi de 2019 vise les personnes publiques comme privées, les traitements automatisés comme les fichiers papier, dès lors qu’un moyen de traitement est situé au Togo. Elle impose de légitimer chaque traitement, d’accomplir les formalités requises, d’informer les personnes et de garantir leurs droits, d’encadrer sous-traitants et transferts hors du Togo, et de sécuriser les données.
Les délais transitoires étant expirés, l’heure n’est plus à l’attente.
3. La conformité n’est pas une formalité, elle se prouve
Les déclarations et autorisations obtenues auprès de l’IPDCP n’exonèrent d’aucune responsabilité. Les manquements les plus fréquents sont aussi les plus élémentaires : absence de cartographie des traitements, durées de conservation illimitées, sous-traitants non encadrés, sécurité purement déclarative.
Deux points de vigilance :
- ne pas transposer mécaniquement le RGPD, notamment sur l’intérêt légitime ;
- se doter d’une procédure de gestion des incidents, même si la loi ne prévoit pas expressément de notification des violations à l’IPDCP.
4. Un contrôle se prépare en amont et se vit dans la coopération
Un contrôle peut naître d’une plainte, d’un défaut de formalités ou d’une initiative de l’Instance, avant même le lancement officiel de son plan de contrôle. Les suites vont de l’avertissement à la mise en demeure, les amendes pouvant atteindre 100 millions de francs CFA.
La sanction financière supposant une mise en demeure restée sans effet, réagir vite est décisif. L’entrave au contrôle constituant un délit, il faut coopérer, conserver copie des pièces remises et ne jamais altérer un document.
5. Le correspondant à la protection des données, pierre angulaire du dispositif
Dûment désigné, notifié à l’IPDCP et formé, le correspondant à la protection des données pilote le dossier de conformité et s’impose comme l’interlocuteur naturel de l’Instance.
Une feuille de route de conformité en 180 jours
Le diagnostic présenté invite à hiérarchiser les actions selon trois horizons.
| Horizon | Priorité | Exemples d’actions |
|---|---|---|
| 0 à 30 jours | Mettre fin aux irrégularités manifestes | Traitements non déclarés, prospection sans consentement, failles de sécurité critiques, transferts non encadrés |
| 30 à 90 jours | Documenter et contractualiser | Registre des traitements, contrats de sous-traitance, mentions d’information, procédure d’exercice des droits, durées de conservation, désignation du correspondant |
| 90 à 180 jours | Structurer et pérenniser | Analyses d’impact, audit de sécurité, formation du personnel, procédure d’incident testée |
L’audit blanc : tester sa préparation
Un audit blanc, qui consiste à chronométrer la production des pièces comme le ferait l’agent de contrôle, permet d’éprouver sa préparation.
Le jour du contrôle IPDCP : les bons réflexes
- Vérifier l’identité et l’habilitation des agents ;
- Alerter la direction générale et le correspondant ;
- Désigner un interlocuteur unique ;
- Remettre les documents en en dressant la liste ;
- Relire le procès-verbal avant de le signer.
Remerciements
Le Cabinet adresse ses plus sincères remerciements à M. OTIMI Edouard (ANCy) et à M. AWUI Talla Hervé (IPDCP) pour leurs interventions, ainsi qu’à l’ensemble des participants.
Protéger les données, c’est préserver la confiance : la conformité est un cheminement continu, dont ce webinaire ne constitue qu’une étape.
Revoir le webinaire
Ressources utiles
- Revoir le webinaire : l’enregistrement intégral est disponible sur la chaîne YouTube du Cabinet ZOTCHI AVOCATS.
- Formalités : le site de l’IPDCP, www.ipdcp.tg.
- Signaler un incident de cybersécurité : le site du CERT national, cert.tg.
Le présent article a une vocation purement informative et ne saurait constituer une consultation juridique. Les références et montants cités sont ceux présentés par les intervenants.
