Politique de protection des données à caractère personnel

Tily Eto Madagasikara (TEM), mouvement scout national, accompagne chaque année des dizaines de milliers d'enfants, de jeunes, d'encadreurs bénévoles et de partenaires. Cette mission éducative repose sur une relation de confiance et suppose de collecter et de traiter de nombreuses données à caractère personnel — dont une part importante concerne des mineurs et des données sensibles.

La transformation numérique de TEM (gestion des membres via Firaketana, carte de membre KARATRA TILY, plateforme événementielle Hetsika, identifiant unique du membre) renforce l'efficacité de l'association, mais accroît aussi sa responsabilité. TEM considère la protection des données personnelles non comme une simple obligation légale, mais comme une composante de son devoir de protection de l'enfance et de sa redevabilité envers ses membres, leurs familles et ses bailleurs.

Par la présente politique, TEM s'engage à traiter les données personnelles de manière licite, loyale, transparente, sécurisée et proportionnée, dans le strict respect de la loi n° 2014-038 du 9 janvier 2015 et de ses textes d'application.

La présente politique définit les principes, règles et responsabilités applicables à tout traitement de données à caractère personnel mis en œuvre par TEM, quels que soient le support (papier ou numérique) et l'outil utilisé. Elle constitue le cadre de référence interne opposable à l'ensemble des structures, projets et personnes agissant au nom de TEM.

Elle s'applique :

• aux personnes concernées : membres (louveteaux, éclaireurs, routiers, adultes), parents ou représentants légaux, encadreurs et cadres bénévoles, salariés, volontaires, participants aux événements, donateurs et contacts partenaires ;
• aux traitements : affiliation et gestion des membres, encadrement, activités et camps, santé liée aux activités, carte de membre, événements et billetterie, ressources humaines, mobilisation des ressources, communication ;
• aux acteurs internes : Foibe Tily, départements, régions, districts et unités (sampana), ainsi que toute personne habilitée à accéder aux données ;
• aux sous-traitants et prestataires qui traitent des données pour le compte de TEM (hébergeurs, éditeurs de logiciels, prestataires de paiement, etc.).

La présente politique s'inscrit dans le cadre juridique malgache en vigueur, notamment :

• Loi n° 2014-038 du 9 janvier 2015 sur la protection des données à caractère personnel (texte de référence) ;
• Décret n° 2023-1541 du 6 décembre 2023 (attributions, organisation et fonctionnement de la CMIL), modifié par le décret n° 2025-696 du 18 juin 2025 ;
• Loi n° 2024-004 du 21 juin 2024 autorisant la ratification de la Convention de l'Union africaine sur la cybersécurité et la protection des données (« Convention de Malabo ») ;
• Loi n° 2014-006 du 17 juillet 2014 sur la lutte contre la cybercriminalité, modifiée par la loi n° 2016-031 ;
• les délibérations, normes, recommandations et lignes directrices de la CMIL, ainsi que son manuel de procédures.

En complément, TEM s'inspire des standards internationaux reconnus (principes de type RGPD : licéité, loyauté, transparence, minimisation, protection dès la conception) en tant que bonnes pratiques, sans qu'ils se substituent au droit malgache.

Tout traitement mis en œuvre par TEM respecte les principes généraux posés par la loi (art. 14 et suivants) :

TEM tient un registre de ses traitements, actualisé par le Délégué à la protection des données à chaque nouveau traitement. Synthèse :

Conformément à l'article 17 de la loi, un traitement repose sur le consentement de la personne ou sur l'une des conditions suivantes. TEM identifie, pour chaque traitement, la base la plus appropriée :

• le consentement de la personne concernée (ou de son représentant légal pour un mineur) ;
• le respect d'une obligation légale incombant à TEM ;
• la sauvegarde de la vie de la personne (ex. urgence médicale en camp) ;
• l'exécution d'un engagement auquel la personne est partie (adhésion, inscription, contrat) ou de mesures préalables prises à sa demande ;
• la réalisation d'un intérêt légitime de TEM, sous réserve de ne pas méconnaître les droits et libertés des personnes.

Le consentement est recueilli de manière libre, spécifique et éclairée ; il peut être retiré à tout moment, sans remettre en cause la licéité des traitements antérieurs.

La majorité des membres de TEM étant mineurs, cette section constitue le cœur de la politique. Un mineur ne pouvant valablement consentir seul, TEM applique les règles suivantes :

• Consentement parental. Toute collecte de données d'un mineur, en particulier sensibles (santé, biométrie, image), requiert le consentement écrit et préalable d'un parent ou représentant légal, pour chaque finalité.
• Information adaptée. Mineurs et parents reçoivent une information claire, dans un langage accessible.
• Minimisation stricte. Seules les données indispensables à l'encadrement et à la sécurité de l'enfant sont collectées.
• Image de l'enfant. La diffusion de photos/vidéos identifiant un mineur est subordonnée à une autorisation parentale distincte et révocable ; à défaut, anonymisation (floutage) ou non-publication.
• Non-exposition. Les données de mineurs ne sont jamais rendues publiques, ni utilisées à des fins commerciales, ni transmises à des tiers non autorisés.
• Protection de l'enfance. L'accès aux données des mineurs est strictement réservé aux encadreurs habilités.

L'article 18 pose un principe d'interdiction du traitement des données sensibles (biométrie, santé, convictions religieuses). TEM ne traite ces données que dans les cas de dérogation prévus par la loi et avec des garanties appropriées.

En tant qu'organisme à but non lucratif à vocation éducative et spirituelle, TEM peut traiter les données sensibles correspondant à son objet (ex. confession dans le cadre de la vie du mouvement), à condition que ce traitement ne concerne que ses membres et personnes en contact régulier, sans communication à des tiers sans consentement exprès. Ces données demeurent facultatives.

Les données de santé (allergies, traitements, aptitude) reposent sur le consentement exprès et, le cas échéant, la sauvegarde de la vie. Elles sont accessibles aux seuls encadreurs responsables de la sécurité, conservées de manière sécurisée et supprimées peu après la fin de l'activité.

Traitement le plus sensible de TEM. Garanties renforcées appliquées :

• Consentement exprès (et parental pour les mineurs), spécifique à la finalité biométrique, distinct de l'adhésion.
• Analyse d'impact préalable (privacy by design) documentant nécessité, proportionnalité et risques.
• Formalité auprès de la CMIL (déclaration et, le cas échéant, autorisation) avant la mise en œuvre.
• Sécurité spécifique. Aucune image biométrique brute conservée : seul un gabarit chiffré ou haché est stocké ; accès restreint et journalisé.
• Alternative non biométrique (carte à identifiant/QR) proposée sans pénalisation.
• Suppression à la radiation du gabarit dès la fin de validité de la carte.

TEM garantit à chaque personne (ou à son représentant légal) l'exercice effectif de ses droits :

Conformément à l'article 15, TEM met en œuvre des mesures techniques et organisationnelles adaptées à la nature des données et aux risques, afin de prévenir destruction, perte, altération, diffusion ou accès non autorisé.

Lorsque TEM confie un traitement à un prestataire (hébergement, logiciel, paiement), conformément à l'article 16 :

• le prestataire n'agit que sur instruction de TEM et pour les seules finalités définies ;
• un contrat écrit précise ses obligations de sécurité et de confidentialité ;
• il présente des garanties suffisantes ; TEM demeure responsable du respect des mesures ;
• le recours à un sous-traitant ultérieur est soumis à l'information préalable de TEM.

Plusieurs outils reposent sur des services d'hébergement hors de Madagascar (infrastructures de type Firebase, bases PostgreSQL/Supabase). De tels transferts ne sont possibles, en vertu de l'article 20, que si le pays de destination assure un niveau de protection similaire, ou moyennant des garanties appropriées. TEM les encadre ainsi :

• privilégier des hébergeurs offrant des garanties reconnues (clauses contractuelles, sécurité, localisation) ;
• informer les personnes concernées de l'existence de tels transferts ;
• chiffrer les données et éviter l'export de données sensibles brutes, en particulier biométriques ;
• solliciter, en cas de doute, l'autorisation de la CMIL ;
• privilégier, lorsque c'est possible, un hébergement ou une réplication des données les plus sensibles à Madagascar.

TEM désigne un DPD, rattaché au Département Administration et Développement. Il :

• pilote la conformité et tient le registre des traitements ;
• conseille les départements et projets (Firaketana, Hetsika, KARATRA TILY…) ;
• instruit les demandes d'exercice des droits et sert de point de contact de la CMIL ;
• supervise les analyses d'impact et la gestion des violations.

TEM tient et met à jour un registre recensant, pour chaque traitement : finalité, catégories de données et de personnes, destinataires, transferts éventuels, durée de conservation et mesures de sécurité.

Tout nouveau projet numérique intègre la protection des données dès sa conception (« privacy by design ») et retient par défaut les paramètres les plus protecteurs. Une analyse d'impact est réalisée pour tout traitement à risque élevé (biométrie, santé, traitement massif de données de mineurs).

En cas de violation (perte, vol, accès ou divulgation non autorisés), TEM applique la procédure suivante :

• Signalement immédiat au DPD et consignation dans un registre des incidents ;
• Évaluation de la gravité et des risques, et mesures correctives sans délai ;
• Notification à la CMIL lorsque la violation présente un risque pour les droits des personnes ;
• Information des personnes concernées lorsque le risque est élevé ;
• Retour d'expérience et renforcement des mesures de sécurité.

Les données sont conservées pour la durée strictement nécessaire, puis supprimées ou archivées sous forme anonymisée. À titre indicatif :

Ces durées sont indicatives et seront affinées avec un conseil juridique et, le cas échéant, validées auprès de la CMIL.

TEM accomplit les formalités préalables prévues par la loi auprès de la CMIL, via sa Direction de la Conformité :

• Déclaration des traitements courants (gestion des membres, événements, RH…) ;
• Demande d'autorisation pour les traitements de données sensibles, notamment la biométrie (KARATRA TILY) ;
• Coopération avec la CMIL en cas de contrôle, plainte ou demande d'information ;
• le cas échéant, demande du label de conformité délivré par la CMIL.

La conformité est l'affaire de tous. TEM organise régulièrement des actions de sensibilisation à destination des encadreurs, cadres et salariés. Chaque personne habilitée s'engage à respecter la présente politique ; tout manquement peut donner lieu à des mesures disciplinaires internes, sans préjudice des sanctions légales.

La présente politique est adoptée par le Foibe Tily de TEM. Elle entre en vigueur à la date de son adoption et est communiquée à l'ensemble des structures. Elle est révisée au moins une fois par an, ainsi qu'à chaque évolution légale, réglementaire ou technique majeure, sous la responsabilité du Délégué à la protection des données.