ECOWAS zone
Conformia · Burkina Faso
Burkina Faso — what the product holds, and what it does not hold yet.
- Text
- Loi n° 001-2021/AN (révise la loi n° 010-2004)
- Authority
- CIL — active
- Pack status
- in preparation
- Sign-up
- open — you can create a workspace
- Prior formalities
- not open yet — no formality rule of this law is loaded; the register, requests and evidence work
- Currency
- XOF
What is open
The register of processing, data-subject requests, the evidence log, processors, consent and export all work. These functions organise the work; they assert nothing about national law, and so need no signature.
No amount, no deadline, no due date is shown: nobody has signed them. The country is usable; it is not quantified.
The text of the law may be quoted, article by article, with a link to its official publication. A quotation can be checked; it commits nobody but the official journal.
The text, article by article
Transcribed from Loi n° 001-2021/AN (révise la loi n° 010-2004), verbatim. Nothing is summarised: a summary would be one more assertion, and it would have no source. Each answer carries its article, its link and the date it was read.
identité et vigueur
- Le texte, son numéro, sa date, et son état de vigueur
- Article 83Article 83 : La présente loi sera exécutée comme loi de l’Etat. Ainsi fait et délibéré en séance publique à Ouagadougou, le 30 mars 2021Source, read on 2026-09-02
- L'objet du texte — ce qu'il oblige à faire
- Article 1Article 1 : La présente loi a pour objet de protéger les droits et libertés fondamentaux des personnes physiques en matière de traitement de leurs données à caractère personnel, quels qu’en soient la nature, le mode d’exécution ou les responsables.Source, read on 2026-09-02
champ d'application
- Le champ d'application matériel — ce que le texte couvre
- Article 2Article 2 : La présente loi s’applique aux traitements de données à caractère personnel contenues ou appelées à figurer dans un fichier, automatisés en tout ou en partie, ainsi qu’aux traitements non automatisés de données à caractère personnel. Elle s’applique notamment aux traitements de données à caractère personnel relatives aux communications électroniques.Source, read on 2026-09-02
- Les exclusions — ce que le texte ne couvre pas
- Article 4Article 4 : La présente loi ne s’applique pas aux : - traitements effectués par une personne physique pour l’exercice d’activités exclusivement personnelles ou domestiques ; - copies temporaires qui sont faites dans le cadre des activités techniques de transmission et de fourniture d’accès à un réseau numérique en vue du stockage automatique intermédiaire et transitoire des données aux seules fins de permettre aux autres destinataires du service le meilleur accès possible aux informations, sauf en ce qui concerne leur mise à jour et leur sécurité. Ces copies temporaires doivent être effacées après que leur finalité a été réalisée ; - traitements de données à caractère personnel effectués aux seules fins littéraires et artistiques ou de journalisme, quel que soit le média utilisé, dans le respect des règles déontologiques et éthiques de ces professions, des mesures de sécurité assurant le secret des sources journalistiques, ainsi que des règles de modération applicables aux forums de discussion mis en œuvre par des éditeurs d’informations journalistiques. CHAPITRE 2 : DEFINITIONSSource, read on 2026-09-02
- Le champ d'application territorial
- Article 3Article 3 : La présente loi s’applique aux traitements précisés à l’article 2 de la présente loi, dont le responsable est établi au Burkina Faso, quel que soit le lieu où il met en œuvre le traitement des données à caractère personnel ou, sans y être établi, relève du Burkina Faso selon le droit international public. Elle s’applique également au responsable de traitement ou au sous-traitant non établi sur le territoire du Burkina Faso, qui met en œuvre des opérations de traitement à partir du territoire national, à l’exclusion des données de transit.Source, read on 2026-09-02
bases légales, dont l'existence ou non de l'intérêt légitime
- Les bases légales admises
- Article 13Article 13 : Le responsable du traitement doit requérir le consentement préalable de la personne concernée avant toute mise en œuvre du traitement des données à caractère personnel, sauf dans les cas suivants : - le traitement des données à caractère personnel porte sur des données manifestement rendues publiques par la personne concernée dans le cadre de finalités poursuivies qui sont légitimes ; - le traitement des données à caractère personnel est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne, dans le cas où la personne concernée se trouve dans l'incapacité physique ou juridique de donner son consentement ; - le traitement aux fins de médecine préventive, de diagnostics médicaux, d’administration de soins ou de traitements, de gestion des services de santé, à condition qu’il soit mis en œuvre par un membre d’une profession de la santé ou par une autre personne à laquelle s’impose, en raison de ses fonctions, le secret professionnel ; - le traitement, notamment des données biométriques ou génétiques, est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice ; - l’ouverture d’une procédure judiciaire ; - le traitement des données à caractère personnel s’avère nécessaire pour un motif d’intérêt public, notamment à des fins historiques, statistiques ou scientifiques ; - le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à sa demande pendant la période précontractuelle ; - le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ; - le traitement est nécessaire à l'exécution d'une mission d'intérêt public dont est chargée l’autorité publique ; - le traitement est assigné au responsable du traitement par une autorité publique qui en détient le pouvoir ; - le traitement est effectué dans le cadre des activités légitimes d'une fondation, d'une association ou de tout autre organisme à but non lucratif et à finalité politique, philosophique, religieuse ou syndicale. Toutefois, le traitement doit se rapporter aux seuls membres de cet organisme ou aux personnes entretenant avec lui des contacts réguliers liés à sa finalité. Les données ne sont pas communiquées à des tiers sans le consentement des personnes concernées.Source, read on 2026-09-02
formalités préalables — régime, pièces, délai, silence, récépissé
- Le régime de formalité préalable — déclaration, autorisation, ou aucun
- Article 26Article 26 : La mise en œuvre des traitements de données à caractère personnel ne relevant pas de l’article 28 ci-dessous est soumise à l’une des formalités préalables ci-après : - la demande d’avis ; - l’autorisation ; - la déclaration normale ; - la déclaration simplifiée.Source, read on 2026-09-02
- Les traitements soumis à autorisation préalable
- Article 31Article 31 : Sont mis en œuvre, après autorisation de l’autorité de contrôle : - les traitements de données à caractère personnel portant sur des données génétiques ou biométriques dans le secteur privé et sur la recherche dans le domaine de la santé ; - les traitements de données à caractère personnel portant sur des données relatives aux infractions, condamnations ou mesures de sûreté dans le secteur privé ; - les traitements de données à caractère personnel ayant pour objet une interconnexion de fichiers, telle que définie à l’article 41 de la présente loi dans le secteur public ou privé ; - les traitements de données à caractère personnel portant sur un numéro national d’identification ou tout autre identifiant de la même nature dans le secteur public ou privé ; - les traitements de données à caractère personnel comportant des données biométriques dans le secteur privé ; - les traitements de données à caractère personnel ayant un motif d’intérêt public, notamment ceux destinés à des fins historiques, statistiques ou scientifiques ; - les traitements d’aide à la décision administrative ou privée, impliquant une appréciation sur un comportement humain, donnant une définition du profil ou de la personnalité de l’intéressé ou reposant sur des techniques d’intelligence artificielle à des fins prédictives ; - les transferts de données vers un pays étranger.Source, read on 2026-09-02
- L'exonération de l'obligation de déclaration
- Article 28Article 28 : Les catégories de traitements suivantes sont exemptées de l’accomplissement de formalités préalables auprès de l’autorité de contrôle : - les traitements dont la finalité particulière se limite à assurer la conservation de documents d’archives ; - les traitements mis en œuvre par une association ou tout organisme à but non lucratif et à caractère religieux, philosophique, politique ou syndical, dès lors que ces traitements correspondent à l’objet de cette association ou de cet organisme, qu’elles ne concernent que leurs membres et qu’elles ne doivent pas être communiquées à des tiers sans leur consentement. L’autorité de contrôle peut compléter par décision la liste des traitements susceptibles d’exemption, dès lors qu’ils ne sont pas susceptibles de comporter des risques pour les libertés et droits fondamentaux des personnes concernées.Source, read on 2026-09-02
- L'interconnexion de fichiers : son régime
- Article 41Article 41 : L’interconnexion des fichiers visée à l’article 31 de la présente loi doit permettre d’atteindre des objectifs légaux ou statutaires présentant un intérêt légitime pour les responsables des traitements. Elle ne doit pas entraîner de discrimination ou de réduction des droits, libertés et garanties pour les personnes concernées. Elle doit être assortie de mesures de sécurité appropriées et doit tenir compte du principe de pertinence des données faisant l’objet de l’interconnexion.Source, read on 2026-09-02
- Le délai d'instruction, et ce que vaut le silence de l'autorité
- Article 32Article 32 : Le contenu et le format de la déclaration, de la demande d’avis et d’autorisation sont adoptés par l’autorité de contrôle. Les modalités de saisine et les délais de réponse de l’autorité de contrôle sont précisés par décret pris en Conseil des ministres.Source, read on 2026-09-02
- Le récépissé — sa forme, et ce qu’il prouve
- Article 33Article 33 : Pour les catégories les plus courantes de traitement de données à caractère personnel dont la mise en œuvre n’est pas susceptible de porter atteinte à la vie privée ou aux libertés, l’autorité de contrôle établit et publie la liste des normes destinées à simplifier l’obligation de déclaration ; dans ce cas, seule une déclaration simplifiée de conformité suffit selon le contenu et le format adoptés par l’Autorité de contrôle. Sauf décision particulière de celle-ci, le récépissé de déclaration est délivré sans délai. Dès réception de ce récépissé, le demandeur peut mettre en œuvre le traitement de données à caractère personnel. Toutefois, il n’est exonéré d’aucune de ses responsabilités prévues par la présente loi. CHAPITRE 5 : DISPOSITIONS PARTICULIERES A CERTAINS TRAITEMENTSSource, read on 2026-09-02
obligations — registre, DPO, violations, AIPD, sous-traitance
- Le délégué à la protection : exigé, recommandé, ou absent du texte
- Article 29Article 29 : Tout responsable de traitement peut désigner au sein de son organisme un délégué à la protection des données à caractère personnel, chargé d'assurer le respect des obligations prévues par la présente loi.Source, read on 2026-09-02
- La sous-traitance : ce que le contrat doit porter
- Article 11Article 11 : Lorsque le traitement est mis en œuvre pour le compte du responsable de traitement, celui-ci doit choisir un sous-traitant qui apporte des garanties de protection suffisantes. Il doit conclure avec lui une convention précisant notamment les seules opérations de traitements autorisées et le sort des données à l’issue du contrat. Il incombe au responsable de traitement ainsi qu'au sous-traitant de veiller au respect de l’obligation de sécurité et de confidentialité.Source, read on 2026-09-02
- La confidentialité : qui peut traiter les données
- Article 23Article 23 : Les données à caractère personnel sont traitées dans le respect de tous les principes et droits posés par la présente loi. Le traitement est effectué exclusivement par des personnes qui agissent selon leurs fonctions, sous l’autorité du responsable du traitement, ou le cas échéant sous l’autorité du sous-traitant et seulement sur ses instructions.Source, read on 2026-09-02
- Les obligations de sécurité
- Article 10Article 10 : Le responsable du traitement doit mettre en œuvre toutes mesures techniques et organisationnelles appropriées afin de préserver la sécurité et la confidentialité des données, notamment protéger les données contre la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès par des personnes non autorisées.Source, read on 2026-09-02
- La durée de conservation : qui la fixe
- Article 25Article 25 : Le responsable du traitement a l’obligation de conserver les données pendant une durée qui n’excède pas la durée nécessaire à la réalisation des finalités pour lesquelles elles sont collectées et traitées. Au-delà de la durée nécessaire, les données à caractère personnel ne peuvent être conservées qu’en vue de leur traitement à des fins historiques, statistiques ou de recherche et selon des garanties appropriées définies par la législation en vigueur ou, en son absence, après autorisation de l’autorité de contrôle. Les traitements dont la finalité particulière se limite à assurer la conservation de documents d’archives sont dispensés des formalités préalables à la mise en œuvre des traitements prévus par la présente loi. Il peut être procédé à un traitement ayant des finalités autres que celles mentionnées au premier alinéa, avec l’accord exprès de la personne concernée, après autorisation de l’autorité de contrôle ou par une prescription légale. CHAPITRE 4 : FORMALITES PREALABLES AUX TRAITEMENTS DES DONNEES A CARACTERE PERSONNELSource, read on 2026-09-02
- La pérennité : l’exploitabilité dans le temps
- Article 24Article 24 : Le responsable du traitement est tenu de prendre toute mesure utile au regard de la nature des données et de l’architecture du traitement, notamment, pour empêcher qu’elles soient déformées, endommagées, perdues, volées, ou que des tiers non autorisés y aient accès.Source, read on 2026-09-02
droits et délais
- Le droit à l'information
- Article 16Article 16 : Le responsable de traitement fournit, de manière proactive, à la personne dont les données font l’objet d’un traitement, au plus tard lors de la collecte auprès de la personne ou auprès d’un tiers et quels que soient les moyens et supports employés, notamment les informations suivantes : - son identité et, le cas échéant, celle de son représentant ; - la ou les finalités déterminées du traitement auquel les données sont destinées ; - les catégories de données concernées et le caractère obligatoire ou facultatif des réponses aux questions posées, ainsi que des conséquences éventuelles d’un défaut de réponse ; - le ou les destinataires auxquels les données sont susceptibles d’être communiquées ; - l’existence du droit d’accès aux données la concernant, de rectification et de suppression de ces données ; le droit d’opposition à un traitement de données pour des motifs légitimes ; - la durée de conservation des données ; - l’éventualité de tout transfert de données à destination d’un pays étranger accompagné de l’indication de la protection qui y est assurée ; - le moyen simple de donner le consentement pour toute finalité indiquée qui le requiert ou de le retirer. Cette obligation d’informer ne s’applique pas à la collecte de données à caractère personnel nécessaires à la constatation d’une infraction intéressant la sûreté de l’Etat, la défense et la sécurité publique. Cette dérogation à l’information de la personne concernée ne vise que la collecte des données.Source, read on 2026-09-02
- Le droit d'accès
- Article 17Article 17 : Les personnes concernées ont un droit d’accès à leurs données conservées et traitées. Ce droit d’accès peut, selon leur choix, s’exercer par consultation sur place et/ou par délivrance de copie. Elles doivent prouver leur identité et pouvoir exercer ce droit. Toutefois, les frais de reproduction de ces données sont à la charge du demandeur. En cas de décès d’une personne majeure, le conjoint survivant ou ses enfants, ou tout ayant droit désigné par la personne peut exercer le droit d’accès sauf si, en matière médicale, la personne décédée a fait connaître son opposition à ce que son droit d’accès soit exercé après son décès. Lorsque la personne est mineure, son père, sa mère ou son représentant légal exerce son droit d’accès et, en matière médicale, directement ou par l'intermédiaire d'un médecin qu'il désigne, tout en l’en informant. Lorsqu’une personne est incapable majeure, son droit d’accès est exercé par son représentant légal tout en l’en informant. Toute personne a le droit, soit directement, soit avec l’aide d’un professionnel de santé de son choix, de prendre connaissance de ses données de santé.Source, read on 2026-09-02
- Le droit d'opposition
- Article 20Article 20 : Toute personne physique a le droit de s'opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement. Toutefois, le responsable du traitement peut ne pas répondre favorablement à une demande d’exercice du droit d’opposition s’il démontre l’existence de motifs légitimes justifiant le traitement, qui prévalent sur les intérêts, les droits et libertés fondamentaux de la personne concernée.Source, read on 2026-09-02
- Le droit de rectification et de suppression
- Article 21Article 21 : Toute personne concernée peut exiger du responsable du traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou supprimées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l'utilisation, la communication ou la conservation est interdite, y compris vis à vis des tiers à qui de telles données ont été transmises. Lorsque l'intéressé en fait la demande par écrit ou quel que soit le support, le responsable du traitement doit justifier, sans frais pour le demandeur, qu'il a procédé aux opérations exigées en vertu de l'alinéa précédent, dans un délai de deux mois maximum après l'enregistrement de la demande et que les modifications opérées ont été transmises aux éventuels tiers à qui les données à modifier ont été communiquées. En cas de contestation, la charge de la preuve incombe au responsable du traitement auprès duquel est exercé le droit d'accès.Source, read on 2026-09-02
- La décision automatisée : ce qu'elle ne peut pas fonder
- Article 15Article 15 : Aucune décision de justice, impliquant une appréciation sur un comportement humain, ne peut avoir pour fondement un traitement automatisé d’informations donnant une définition du profil ou de la personnalité de l’intéressé destiné à évaluer certains aspects de sa personnalité. Aucune décision administrative ou privée, impliquant une appréciation sur un comportement humain, ne peut avoir pour seul fondement un traitement automatisé d’informations, donnant une définition du profil ou de la personnalité de l’intéressé. CHAPITRE 2 : DROIT DE LA PERSONNE CONCERNEESource, read on 2026-09-02
- Le traitement par intelligence artificielle : ce que le texte en dit
- Article 19Article 19 : Toute personne a le droit de connaître et de contester les informations et les raisonnements utilisés dans les traitements automatisés ou non, dont les résultats lui sont opposés. Lorsque ce traitement relève de l’intelligence artificielle, les critères et la nature des données à caractère personnel fondant ce traitement lui sont indiqués dès la collecte des données à caractère personnel la concernant.Source, read on 2026-09-02
données sensibles et transferts
- Les données sensibles : définition et régime
- Article 12Article 12 : Sauf dérogation prévue par la loi, il est interdit de collecter ou de traiter, sans le consentement exprès de la personne concernée, les données à caractère personnel qui révèlent les convictions ou activités religieuses, philosophiques, politiques, syndicales, ethniques, la vie sexuelle, la race, la santé et les mœurs, les données génétiques et biométriques, les mesures d’ordre social, les poursuites, les sanctions pénales ou administratives. En tout état de cause, la loi peut interdire de tels traitements nonobstant le consentement de la personne concernée.Source, read on 2026-09-02
- Les transferts hors du territoire : conditions
- Article 42Article 42 : Le responsable d'un traitement ne peut transférer des données à caractère personnel vers un pays étranger ou une organisation internationale que si ce pays ou cette organisation internationale assure un niveau adéquat de protection à celui assuré au Burkina Faso de la vie privée, des libertés et droits fondamentaux des personnes à l'égard du traitement dont ces données font ou peuvent faire l'objet. Avant tout transfert des données à caractère personnel à l’extérieur, le responsable de traitement, au préalable : - requiert l’autorisation de l’autorité de contrôle ; - signe avec la partie contractante, une clause de confidentialité des données et une clause de réversibilité des données à l’effet de faciliter la migration complète des données à la fin du contrat ; - met en œuvre des mesures de sécurité techniques et organisationnelles garantissant notamment le chiffrement des données, la disponibilité des données, la confidentialité, l’intégrité, la disponibilité et la résilience constante des systèmes et des services de traitements ainsi qu’une procédure de tests, d’analyse et d’évaluation des mesures prises.Source, read on 2026-09-02
- La prospection directe : son régime
- Article 14Article 14 : Il est interdit, sur toute l’étendue du territoire national, de procéder à toute prospection quelle qu’en soit la nature, à l’aide de tout moyen de communication utilisant, sous quelque forme que ce soit, des données à caractère personnel d'une personne physique qui n'a pas exprimé son consentement préalable à recevoir de telles prospections. Toute personne a le droit, d’une part, d’être informée, avant que des données la concernant ne soient utilisées pour la première fois, communiquées à des tiers ou utilisées pour le compte de tiers et d’autre part, de se voir expressément demander son consentement.Source, read on 2026-09-02
autorité — existence effective, pas seulement prévue par la loi
- L'autorité : sa création par le texte
- Article 45Article 45 : Il est créé une Commission de l’informatique et des libertés en abrégé CIL. La CIL est l’autorité de contrôle chargée de veiller au respect des dispositions de la présente loi, notamment en informant toutes les personnes concernées et les responsables de traitements de leurs droits et obligations et en contrôlant l’usage des technologies de l’information et de la communication appliqué aux traitements des données à caractère personnel. La CIL est une autorité administrative indépendante dotée de l’autonomie administrative et de gestion. Un décret pris en Conseil des ministres précise l’organisation et le fonctionnement de la CIL. La CIL dispose d’un pouvoir réglementaire et d’un pouvoir de sanction qui sont précisés par décret pris en Conseil des ministres. La CIL adopte son règlement intérieur.Source, read on 2026-09-02
- La composition de l'autorité et la durée du mandat
- Article 46Article 46 : La CIL est composée de neuf membres ainsi qu’il suit : - un magistrat, membre du Conseil d’Etat, élu par ses pairs en Assemblée générale ; - un magistrat, membre de la Cour de Cassation, élu par ses pairs en Assemblée générale ; - deux députés désignés par le Président de l’Assemblée nationale ; - deux personnalités élues au sein des associations nationales œuvrant dans le domaine des droits humains ; - deux personnalités élues au sein des associations nationales de professionnels des technologies de l’information et de la communication ; - une personnalité désignée par le Président du Faso en raison de sa compétence.Source, read on 2026-09-02
- Le recours contre les décisions de l'autorité
- Article 64Article 64 : Les sanctions prévues à l’article 63 ci-dessus sont prononcées sur la base d’un rapport établi par l’un des membres de la CIL, désigné par le Président. Ce rapport est notifié au responsable de traitement, qui peut déposer des observations et se faire représenter ou assister lors d’une audition devant la CIL. Les décisions administratives prises par la CIL, notamment au titre du chapitre 1 du titre IV de la présente loi sont motivées et notifiées au responsable du traitement. Les décisions prononçant une sanction peuvent faire l’objet d’un recours devant la juridiction administrative compétente.Source, read on 2026-09-02
Billing
The CFA franc catalogue applies: the parity with the euro is fixed by treaty and does not move.
← All jurisdictions