CDP, ARTCI, APDP, CIL, IPDCP : où déclarer le fichier clients d'un cabinet de courtage africain, quand une autorisation s'impose, et ce que WhatsApp change.
Un cabinet de courtage n'a pas seulement un portefeuille : il a un fichier. Des numéros WhatsApp, des dates de naissance, des cartes grises photographiées, des ordonnances envoyées un dimanche soir, des captures d'écran de paiement mobile money. Dans presque tous les pays d'Afrique francophone, ce fichier n'est pas un actif privé dont on fait ce qu'on veut : c'est un traitement de données à caractère personnel, encadré par une loi nationale et surveillé par une autorité dotée d'un pouvoir de contrôle et de sanction.
La question utile n'est donc pas de savoir s'il faut se mettre en règle, mais par où commencer et auprès de qui. Dans l'ordre : la formalité préalable, le cas particulier des données de santé, le consentement quand on écrit sur WhatsApp, puis un plan en sept points applicable en quelques semaines.
La plupart des États de la zone CIMA se sont dotés d'un texte dédié à la protection des données personnelles. Ces lois ont un cousin commun : la Convention de l'Union africaine sur la cybersécurité et la protection des données à caractère personnel, dite convention de Malabo, adoptée le 27 juin 2014 et entrée en vigueur le 8 juin 2023 une fois la quinzième ratification déposée. Elle ne s'applique pas directement à votre cabinet, mais elle explique pourquoi les lois nationales se ressemblent autant.
La trame est presque toujours la même : une formalité préalable auprès de l'autorité — déclaration pour les traitements courants, autorisation pour les données sensibles —, des principes (finalité déterminée, données strictement nécessaires, durée de conservation limitée, sécurité), des droits pour la personne concernée (information, accès, rectification, opposition) et un encadrement des transferts vers l'étranger. Un dirigeant qui connaît le RGPD par ses partenaires européens ne sera pas dépaysé, à une différence près et elle est décisive : ici, la déclaration préalable existe toujours, là où l'Europe l'a supprimée en 2018.
Le tableau ci-dessous donne les repères pour six pays. Il ne remplace pas le formulaire de l'autorité, seule référence pour la liste des pièces, les frais de dossier et les délais d'instruction.
| Pays | Texte de référence | Autorité | Fichier clients d'un cabinet |
|---|---|---|---|
| Bénin | Loi n° 2017-20 du 20 avril 2018 (code du numérique) | APDP | Déclaration, autorisation pour les données sensibles (art. 405 et 407) |
| Burkina Faso | Loi n° 001-2021/AN du 30 mars 2021 | CIL | Déclaration obligatoire du traitement |
| Côte d'Ivoire | Loi n° 2013-450 du 19 juin 2013 | ARTCI | Déclaration préalable ; les fichiers clients sont expressément visés |
| Sénégal | Loi n° 2008-12 du 25 janvier 2008 | CDP | Déclaration en ligne, autorisation pour les données de santé |
| Togo | Loi n° 2019-014 du 29 octobre 2019 | IPDCP | Déclaration avec récépissé sous un mois, autorisation pour la santé |
| Cameroun | Loi n° 2024/017 du 23 décembre 2024 | Autorité prévue par la loi | Cadre récent : vérifier l'état d'installation avant toute démarche |
Deux précisions. Le Maroc suit une logique voisine, avec la loi 09-08 et la CNDP d'un côté, l'ACAPS de l'autre : le sujet est traité dans ce que l'ACAPS et la loi 09-08 permettent à un intermédiaire sur WhatsApp. Ensuite, la formalité n'est pas un dépôt une fois pour toutes : changer la finalité d'un fichier — passer d'une base de gestion à une base de prospection WhatsApp — est exactement le cas qui impose de mettre la déclaration à jour.
C'est le point que les cabinets sous-estiment le plus. Dès qu'une branche santé ou prévoyance entre au portefeuille, le fichier cesse d'être ordinaire : ordonnances, comptes rendus d'hospitalisation, devis dentaires, feuilles de soins et même la simple mention d'une pathologie sont des données sensibles. Dans la plupart des lois de la région, elles font basculer le traitement du régime de la déclaration vers celui de l'autorisation préalable, avec un examen de l'autorité qui prend des semaines.
Trois conséquences pratiques, indépendantes de la formalité elle-même. Ces pièces ne doivent jamais transiter par un groupe WhatsApp ni par le téléphone personnel d'un gestionnaire ; l'accès doit être limité aux collaborateurs qui traitent le dossier ; la durée de conservation doit être décidée, écrite, puis appliquée. Le circuit complet d'un dossier de soins, lui, est décrit dans prise en charge, entente préalable et remboursement en zone CIMA.
Deux régimes cohabitent dans une même conversation. Répondre à un client sur son contrat, lui envoyer son attestation ou l'informer de l'avancement d'un sinistre relève de l'exécution du contrat. Lui proposer une garantie qu'il n'a pas, relayer une offre de fin d'année ou réactiver un ancien client relève de la prospection : ces lois exigent alors, en règle générale, un consentement préalable et libre, ainsi qu'un moyen simple de s'y opposer à chaque message.
Concrètement, le cabinet doit pouvoir répondre à trois questions pour n'importe quel numéro de sa base : quand ce client a-t-il accepté d'être contacté sur WhatsApp, pour quoi exactement, et comment le prouve-t-on ? Une case cochée sur le bulletin de souscription, un message de confirmation conservé dans la conversation ou un formulaire signé font l'affaire ; « il nous a écrit une fois en 2023 » ne suffit pas. La définition et les mentions à faire figurer sont dans la fiche opt-in, et un texte prêt à adapter dans le modèle demande d'opt-in WhatsApp.
Le pendant du consentement est l'opt-out. Un client qui répond STOP, « ne m'écrivez plus » ou l'équivalent en langue locale doit sortir des envois commerciaux immédiatement, et cette sortie doit être tracée : c'est le premier élément qu'une autorité demandera en cas de plainte.
Un CRM WhatsApp ne rend personne conforme : il rend la conformité tenable. Dans ORIS, quatre éléments servent directement ce chapitre. Le statut d'opt-in et la liste d'opt-out sont portés par la fiche client, donc l'exclusion des campagnes devient automatique dès qu'un refus est enregistré. Les campagnes partent de templates approuvés par Meta et marqués service ou marketing, ce qui matérialise la frontière entre gestion et prospection. Les journaux d'audit conservent qui a fait quoi. Enfin, l'export CSV permet de répondre à une demande d'accès sans bricoler une extraction manuelle.
À l'inverse, deux choses restent la responsabilité du cabinet : décider ce qui entre dans la base — un dossier médical complet n'y a pas sa place — et accomplir la formalité auprès de l'autorité, qu'aucun logiciel ne fera à votre place.
Oui dans les pays où la loi pose une formalité préalable : elle vise le traitement, pas la taille de l'entreprise. Un fichier de quelques centaines de clients avec numéros de téléphone, adresses et contrats entre pleinement dans le champ. Certaines catégories de traitements sont dispensées, mais la liste est fixée par l'autorité, pas par l'entreprise.
Oui, et cela se documente. Utiliser une messagerie ou un logiciel dont les serveurs sont hors du pays revient à confier des données à un prestataire étranger. Les lois de la région encadrent ces transferts : mentionnez ces outils dans votre formalité, gardez le contrat du fournisseur, et n'y faites pas transiter plus de données que nécessaire.
Pas automatiquement. Un consentement vaut pour la finalité annoncée au moment où il est recueilli. Si le bulletin mentionnait la gestion du contrat, il ne couvre pas l'envoi d'offres commerciales : il faut une mention distincte, recueillie séparément et conservée avec sa date.
Les rattacher au dossier concerné, puis les sortir de la messagerie personnelle du collaborateur. Une pièce d'identité ou une ordonnance qui dort dans la galerie photo d'un téléphone privé est le scénario de fuite le plus fréquent dans un cabinet, et le plus difficile à expliquer à une autorité de contrôle.
En principe non, sauf si le cabinet cible des personnes situées dans l'Union européenne, par exemple une clientèle de la diaspora démarchée depuis Abidjan ou Dakar. Les deux cadres se superposent alors, et c'est le plus exigeant qui commande. Pour un portefeuille strictement local, la loi nationale et son autorité suffisent.
Inbox WhatsApp partagée, fiches clients, relances et opportunités pour tout le cabinet. Démonstration en 15 minutes.
Ordonnance 95-07, décret 17-192, caution de 1 500 000 DA, carte professionnelle : ce que demande l'agrément d'un courtier d'assurance en Algérie.
Dossier d'autorisation, garantie financière, RC professionnelle, caducité après six mois sans activité : ce que le Code CIMA exige d'un cabinet de courtage.
Le courtier est un assujetti à part entière. Vigilance client, bénéficiaire effectif, signaux d'alerte, déclaration de soupçon : le mode d'emploi d'un cabinet.
