AVIS TRIMESTRIEL N°02-2023

DE LA COMMISSION DE PROTECTION DES DONNEES PERSONNELLES DU SENEGAL (CDP)

SOMMAIRE

Introduction

1. Bilan des activités de mise en conformité……………………………………………………………...p3

1. Décisions rendues par la Session plénière de la CDP………………………………………………………p4
   1. Autorisations accordées………………………………………………………………………………………p4
   2. Récépissés délivrés…………………………………………………………………………………………....p6
2. Structures appelées à la déclaration de leurs traitements de données personnelles…………………....p11
3. Délibération de portée générale……………………………………………………………………………...p12

1. Bilan des plaintes et signalements traités……………………………………………………………...p13

1. Plaintes traitées…………………………………………………………………………………………………p13
2. Signalements traités……………………………………………………………………………………………p15

1. Bilan des missions de contrôle sur sites………………………………………………………………..p16

1. Missions de contrôle des déclarations simplifiées……………………………………………………………p16

2. Missions de contrôle des déclarations classiques…………………………………………………………….p17

1. Bilan des activités de communication et de sensibilisation………………………………………….p18

1. Communication à travers les médias…………………………………………………………………………p18
2. Communication sur les plateformes digitales………………………………………………………………..p18
3. Assistance et sensibilisation des internautes………………………………………………………………….p19

1. Coopération et partenariat………………………………………………………………………………….p19

1. Au niveau international………………………………………………………………………………………….p19
2. Au niveau africain………………………………………………………………………………………………..p20

1. Bilan des activités de formation……………………………………………………………………………p22

1. Point des réunions sur des projets importants……………………………………………………………p23

Conclusion…………………………………………………………………………………………………………….p25

INTRODUCTION

La Commission de protection des Données Personnelles (CDP), autorité administrative indépendante, instituée par la loi n° 2008-12 du 25 janvier 2008, est chargée de vérifier la légalité de la collecte et du traitement des données personnelles des sénégalais et de s'assurer que toutes les précautions sont prises pour qu’elles soient en sécurité, conformément aux obligations légales.

Ainsi, après délibération des Commissaires de la Session plénière, la CDP publie son second avis trimestriel de l’année 2023, qui couvre les activités des mois d’Avril, Mai et Juin 2023.  

Au cours de ce deuxième trimestre de l’année 2023, la CDP a examiné plusieurs dossiers de demandes d’autorisation et de déclarations de traitements de données à caractère personnel.

La CDP a, également, reçu des plaintes et signalements de citoyens, et effectué des missions de contrôles sur sites.

• BILAN DES ACTIVITES DE MISE EN CONFORMITE

Au cours de ce deuxième trimestre 2023, la CDP a traité quatre-vingt-seize (96) dossiers, dont soixante-deux (62) déclarations et trente-quatre (34) demandes d’autorisation.

A l’issue des deux (02) sessions plénière tenues à la CDP, soixante-deux (62) récépissés de déclaration et trente-deux (32) autorisations ont été délivrés. La Commission a refusé de délivrer une autorisation à deux (2) structures.

En outre, la CDP a appelé à déclaration sept (7) structures, pour la mise en conformité de leurs traitements de données à caractère personnel.

Les tableaux ci-après détaillent le bilan des activités de mise en conformité avec la loi n° 2008-12 du 25 janvier 2008 portant sur la protection des données à caractère personnel, pour le second semestre de l’année 2023.

1. Décisions rendues par la Session Plénière de la CDP :

La Session plénière des Commissaires de la CDP s’est réunie deux fois, en vue de statuer sur les demandes d’autorisation et les déclarations de traitements de données à caractère personnel.

Au regard des autorisations accordées et des récépissés délivrés, les traitements récurrents portent sur les systèmes de vidéosurveillance en entreprise et dans les domiciles des particuliers, sur les systèmes de géolocalisation, sur la collecte de données sur site internet, mais également sur les systèmes de contrôles d’accès par biométrie dans les lieux de travail.

1.  Autorisations accordées :  

1.  Récépissés délivrés : 

1. Refus d’autorisation

1. Structures appelées à la déclaration de leurs traitements de données personnelles

La CDP a invité sept (7) structures à déclarer leurs traitements de données à caractère personnel. Plusieurs banques proposant une solution d’interconnexion du compte bancaire avec les mobiles money ont ainsi été appelées à se conformer à la loi portant sur la protection des données personnelles.

Le tableau ci-après présente les structures concernées par les appels à déclaration :

1. Délibération de portée générale :

• Délibération de portée générale relative à l’utilisation de dispositifs biométriques dans les lieux de travail.

La Session plénière des Commissaires de la CDP a adopté, lors de sa séance du 13 avril 2023, la Délibération de portée générale n°00645/CDP du 13 avril 2023 relative à l’utilisation de dispositifs biométriques dans les lieux de travail.

L’objectif de la délibération est d’encadrer le recours aux dispositifs biométriques dans les lieux de travail à des fins de contrôle des accès aux bâtiments, mais également pour des finalités de contrôle du temps de présence des personnels.

La CDP avait constaté le recours à des dispositifs biométriques basés sur des systèmes de reconnaissance faciale, pour les finalités de contrôle d’accès et de pointage des salariés, dans les lieux de travail.

Compte tenu de la sensibilité d’un tel dispositif biométrique, la Session plénière a fixé les modalités d’utilisation d’un système biométrique à reconnaissance faciale, qui n’est autorisé que dans des établissements publics à caractère stratégique ou sensible.

Pour les établissements publics ou privés qui ne présentent pas un caractère stratégique ou sensible, la délibération permet de recourir à un dispositif par empreintes digitales, limité à trois (03) doigts au maximum, et lorsque des motifs légitimes le justifient.

La délibération de portée générale relative à l’utilisation des dispositifs biométriques dans les lieux de travail est consultable sur le site internet de la CDP à travers le lien suivant : https://cdp.sn/content/deliberation-de-portee-generale-n%C2%B000645cdp-du-13-avril-2023-relative-l%E2%80%99utilisation-de

• BILAN DES PLAINTES ET SIGNALEMENTS TRAITES

1. PLAINTES

1. SIGNALEMENTS

• BILAN DES MISSIONS DE CONTROLE SUR SITES

En application de l’article 25 de la loi n° 2008-12 du 25 janvier 2008 et de la décision de la Session plénière du 24 juin 2021, la Commission de Protection des Données Personnelles (CDP) a décidé d’effectuer une série de missions de contrôle portant sur les déclarations simplifiées.

En effet, la Commission de protection des données personnelles a mis en place des ‘’Normes simplifiées’’ permettant aux responsables de traitement de mener leurs actions de mise en conformité sans passer par le processus lourd des déclarations « classiques », ce, afin de leur faciliter les démarches de conformité.

L’objet de ces missions de contrôles est de vérifier que les traitements de données à caractère personnel effectués sur la base de ces déclarations simplifiées, respectent tout autant que les autres types de déclarations, les dispositions de la loi n°2008-12. 

Au cours du deuxième trimestre 2023, la CDP a  effectué six (06) missions de contrôle sur site dont deux (02) contrôles de déclarations simplifiées et quatre (04) missions de contrôle classique, sur décision de la session plénière , auprès des structures ci-après :

1. Contrôle des déclarations simplifiées

1. Contrôle des déclarations classiques

Les missions de contrôle auprès des sociétés GIFT SAS et ANDTECH ont été menées dans le cadre du programme annuel de contrôle de la CDP permettant de vérifier la conformité des déclarations soumises à la CDP.

Les missions de contrôle relatives aux sociétés EN TRA COM SARL, MS GLOBAL INVEST, H.E.M.I (Haute Ecole de Management et d’Informatique) et GLOBAL AFRIQE ont été mandatées par la session plénière du 23 février 2023, suite à des signalements.

• BILAN DES ACTIVITES DE COMMUNICATION ET DE SENSIBILISATION

Au cours de ce deuxième trimestre 2023, les actions de formation et sensibilisation ont été privilégiées pour une meilleure vulgarisation de la loi sur la protection des données personnelles.

1. Communication à travers les médias

La Commission de protection des données personnelles a été sollicitée durant ce deuxième trimestre de l’année par les organes de presse pour des questions relatives à la législation, mais aussi sur la nature des plaintes reçues et le traitement qui en est fait. Lors de la diffusion du premier avis trimestriel de l’année 2023, le Directeur des Affaires juridiques, du Contentieux et de la Conformité (DAJC) a répondu aux différentes sollicitations des organes de presse, qui vont d’un éclairage sur un dossier à des cas de plaintes spécifiques, en passant par des conseils de sensibilisation et de sécurisation des données, dans le cadre de différents types de manquements sur la protection des données personnelles.

 Le Directeur des Affaires juridiques, du Contentieux et de la Conformité (DAJC) a également accordé un entretien à la West Africa Democracy Radio (WADR) pour un éclairage sur la juridiction à saisir en matière de données personnelles au niveau africain. Il a également souligné les  implications sur le traitement des données  fait par les GAFAM en Afrique et les retombées juridiques de l’application du RGPDP en Europe.

1. Communication sur les plateformes digitales

La CDP a  communiqué sur ses plateformes digitales avec la publication d’actualités liées à la Commission son site internet  (www.cdp.sn): publication de la délibération de portée générale sur les dispositifs biométriques, par exemple. Elle a également répondu  aux nombreuses questions émanant des internautes, qui vont de la procédure  de dépôt  de plainte aux questions relatives à un traitement spécifique de données, en passant par des informations sur les différents types de traitements de données personnelles et les démarches à entreprendre en cas de divulgation de données personnelles de façon frauduleuse et sans le consentement de la personne concernée. Les actualités sur tous ces sujets ont été relayées sur les plateformes de la Commission, pour toucher le maximum de personnes en ligne. Ces différentes publications ont permis d’améliorer les statistiques sur les différentes pages des réseaux sociaux, ainsi que le nombre de followers sur chacune des plateformes de la CDP.

1. Assistance et sensibilisation des internautes

Les internautes ont interpellé la CDP  sur  diverses questions. C’est ainsi que la Commission a été sollicitée pour apporter des éclairages sur des questions comme le stockage de données de patients à l’étranger, la géolocalisation d’un employé par son employeur, le traitement de données dites sensibles, ou la conduite à tenir en cas de harcèlement. Des signalements pour menaces de diffusion de photos et vidéos compromettantes ont également fait l’objet de nombreux échanges avec les internautes.

Pour  l’ensemble de ces interpellations, la CDP a donné des réponses et orienté au besoin les internautes vers d’autres structures comme la Division Spéciale de Cybersécurité, notamment pour des cas de publications et commentaires à caractère diffamatoire et injurieux. Les services de la CDP ont assisté les internautes qui ont souhaité déposer une plainte auprès de la Commission.

• COOPERATION ET PARTENARIAT

• Au niveau national

• La CDP et la DSC pour un partenariat plus efficace

Une délégation de la Division Spéciale de la Cybersécurité (DSC), conduite par  le Commissaire Aly Kandé, a été reçue, le jeudi 27 avril 2023, dans les locaux de la Commission de protection des données personnelles (CDP). L’occasion a été  saisie pour réaffirmer le partenariat fructueux avec l’ex Brigade spéciale de lutte contre la cybercriminalité, qui a donné naissance à la Division Spéciale de la Cybersécurité. La CDP a souhaité un suivi plus régulier des plaintes transmises à la Division afin de pouvoir donner suite aux plaintes des citoyens  déposées  auprès du service du contentieux de la Commission.

 Le Commissaire Kandé a insisté sur l’importance d’une spécialisation et d’une formation des différents acteurs. Il a également souligné la nécessité d’une coopération public-privé, entre tous les acteurs de l’écosystème numérique, pour une action plus efficace contre la cybercriminalité.  La Présidente de la CDP a recommandé de renforcer les capacités des acteurs, surtout étatiques, de renforcer la sensibilisation de la population et de favoriser un partenariat national public-privé sur la Cybersécurité, tout en intensifiant la coopération internationale, dans ce cadre.

• Forum sur la "protection des droits des enfants dans l'environnement numérique" 

La CDP a pris part au Forum sur la "protection des droits des enfants dans l'environnement numérique",  les 15 et 16 juin 2023. Cette activité qui s’est tenue en marge de la Journée de l’Enfant Africain (JEA), édition 2023, a axé la réflexion sur  ‘’les droits de l’enfant dans l’environnement numérique’’.  Ce fût l’occasion de sensibiliser les enfants  et les adolescents, utilisateurs enthousiastes, mais vulnérables, de la technologie mobile.

Le rapport 2015 de la GSMA sur l’utilisation du mobile par les enfants dans le monde révèle que 67% des enfants âgés de 8 à 18 ans utilisent un téléphone mobile, et 85% d’entre eux utilisent leur téléphone mobile pour avoir accès à internet. La connaissance par les jeunes des applications et des plateformes mobiles dépasse souvent celle de leurs parents, tuteurs et enseignants. Il est donc nécessaire et primordial de veiller à la vie privée des enfants  et à la sécurité de leurs données dans l’environnement numérique. Le Sénégal a ratifié la quasi-totalité des textes et instruments juridiques établis pour les droits humains et le bien-être des enfants.

• Au niveau africain

• Troisième réunion du Comité sur le Commerce numérique de la Zone de Libre-Echange Continentale Africaine (ZLECAf) du 09 au 13 mai 2023

La CDP a pris part à la troisième réunion du Comité sur le Commerce numérique de la ZLECAF, qui s’est tenue du 09 au 13 mai 2023 à Accra, avec les représentants du Ministère du Commerce, de la Consommation et des PME et de l’Autorité de Régulation des Télécommunications et des Postes (ARTP), qui composaient la délégation du Sénégal.

La réunion avait pour but d’examiner le Projet 1.0 du protocole sur le commerce numérique de la ZLECAF, qui a pour objet de poser un cadre propice au développement du commerce numérique en Afrique.

A cet effet,  des dispositions relatives à la protection des données personnelles et au transfert transfrontalier de données ont été intégrées au Projet de Protocole.

Ainsi, la délégation a émis des observations, notamment sur l’alignement des dispositions du Protocole, relatives à la protection des données personnelles, avec les autres instruments juridiques africains (Convention de Malabo sur la Cybersécurité et la protection des données à caractère personnel) et communautaires (Acte additionnel de la CEDEAO sur la protection des données à caractère personnel).

• Conférence internationale sur la protection des données personnelles à Ouagadougou

Le Réseau Africain des Autorités de Protection des Données Personnelles (RAPDP) s’est réuni dans la capitale Burkinabé du 8 au 13 Mai, pour échanger sur les nouveaux enjeux de la protection des données et tenir la 6eme Assemblée générale du Réseau, qui a enregistré  la présence des délégués de 24 pays africains. Pendant quatre jours, les Autorités de protection ont discuté des questions qui touchent leur secteur, notamment des nouveaux défis que posent l’Intelligence artificielle, l’identité numérique, les données des personnes déplacées, les données de santé, la gestion des plaintes, la relation avec les GAFAMT, la régulation des réseaux sociaux.

Les sujets comme les cotisations des pays membres, le budget, les candidatures de pays comme le Rwanda, l’étude des rapports du Secrétariat permanent, l’élection du bureau ont été au menu de l’Assemblée générale du Réseau. Un nouveau bureau a été élu avec l’Autorité du  Niger comme Président, les Autorités du Kenya et de  l’Angola occupent respectivement la 1 ère et la 2eme vice-présidence. L’Autorité du Maroc  continue d’assurer  le Secrétariat Permanent du Réseau.

• Célébration des 8 ans de la CNDP du Cap Vert à Praia

Invitée d’honneur de la  célébration des huit (8) ans de la Commission du Cap Vert, la Présidente de la CDP a effectué une visite au Cap-Vert, du 28 au 31 mai 2023. Au cours de cette mission, les bases d’un partenariat entre la CDP et la Comissão Nacional de Protecção de Dados (CNDP) du Cap-Vert ont été jetées.

A la suite de riches séances de travail entre la délégation de la CDP et les hôtes de la CNDP, la signature d’une convention de partenariat entre les deux Commissions et une invitation adressée à la CNDP, à participer à la célébration des 10 ans de la CDP, ont clôturé cette visite d’amitié et de travail.

• Réunion mensuelle  du Comité des contributeurs de la plateforme de sensibilisation en ligne Koun3labal(en ligne)

La CDP a tenu avec la CNPDP, l’Autorité marocaine en charge du Comité des Contributeurs, des réunions  pour le compte de la plateformeKoun3laba, mis en place dans le cadre d’un programme de sensibilisation des autorités africaines. Outre les réunions, les autorités participantes ont enrichi la dite plateforme avec l’envoi de leurs supports de sensibilisation mais aussi, elles ont entamé la réflexion sur des supports et livrables à confectionner. Ces livrables comportent des supports de sensibilisation numérique destinés aux jeunes et aux filles et femmes.

• ACTIVITES DE FORMATION

Formation des jeunes du département de Rufisque  dans le cadre de la Semaine de l'Enfance

Dans le cadre de la célébration de la semaine de l’enfance, la CDP a été invitée par le Comité départemental de protection de l’enfance (CDPE) de Rufisque pour animer une session de sensibilisation sur les usages numériques à risques des jeunes adolescents, le 17 juin 2023.

La session, tenue en présence des autorités locales, a permis d’échanger avec les jeunes sur l’audit de leurs usages numériques, sur les risques et aussi sur les solutions qui s’offrent à eux, notamment avec les dispositifs de signalements proposés par la CDP et des partenaires comme Meta, Tik Tok et la Division Spéciale de Cybersécurité de la Police nationale. La séance, qui s’est déroulée au Centre culturel de Sébikhotane, a rassemblé plus de 250 jeunes venus des Communes du Département de Rufisque.

VII - POINT DES REUNIONS SUR DES PROJETS IMPORTANTS

• Atelier sur l’élaboration de la stratégie nationale des données

Du 10 au 12 mai 2023, la CDP a pris part aux activités organisées, dans le cadre de l’élaboration de la stratégie nationale des données, par le Ministère de la communication, des télécommunications et de l’économie numérique.

L’atelier avait pour objectif de construire, avec l’équipe de projet, le livrable final du draft de la stratégie des données et valider techniquement son contenu.

• Ateliers de scénarisation et de fabrication de quiz et d'autres exercices sur la protection des enfants en ligne et les dangers liées à l'utilisation d'internet (du 8 au 12 mai 2023) - (du 6 au 7 juin 2023) à Thiès

La CDP a pris part aux deux ateliers consacrés à la scénarisation et la fabrication de quiz et d'autres exercices sur la protection des enfants en ligne et les dangers liées à l'utilisation d'internet. Ces rencontres qui se déroulées sous la houlette de la Cellule d’Appui à la Protection de l’Enfance (Cape), ont enregistré la participation de plusieurs entités ministérielles mais aussi de la société civile, en vue de mettre en place des outils pratiques destinés à la sensibilisation des enfants. 

A l’issue des deux ateliers, les participants ont formulé des recommandations, notamment :

• Une réflexion menée avec l’ensemble des partenaires
• La diffusion des quizz en arabe et en langues nationales
• L’organisation de compétitions (génies en herbe) dans les établissements d’apprentissage
• La prise en compte des ‘’daaras’’ et des enfants en situation de handicap.

• Atelier de lancement du projet d’élaboration de la stratégie nationale sur l’Intelligence Artificielle au Sénégal

En tant qu’acteur important, la CDP a été invitée à prendre part à l’atelier de lancement du projet d’élaboration de la stratégie nationale sur l’Intelligence Artificielle au Sénégal.

A cet effet, du 08 au 09 juin 2023, la CDP a participé aux travaux, avec les différentes parties prenantes, afin de contribuer à l’élaboration d’un modèle éthique et équilibré sur l’IA, conciliant innovation et protection des droits fondamentaux, et d’un cadre juridique approprié.

• Atelier d’information et de sensibilisation de l’Association des journalistes spécialisés en Santé sur la digitalisation de la santé

La CDP a participé, les 20 et 21 juin 2023 à Thiès, à l’atelier d’information et de sensibilisation de l’Association des journalistes spécialisés en Santé sur la digitalisation de la santé, organisé par le Ministère de la Santé et de l’Action sociale.

L’objectif de cet atelier était de sensibiliser les journalistes spécialisés en santé sur le Programme national de la santé numérique, piloté par le Ministère de la Santé et de l’action sociale, à travers sa Cellule de la Carte sanitaire et sociale, de la Santé digitale et de l’Observatoire de Santé (CSSDOS).

La CDP a été invité par le Ministère pour présenter aux journalistes le cadre juridique de la protection des données personnelles, mais également le rôle de supervision de la CDP, pour le respect de la législation sur les données personnelles, dans la mise en œuvre du programme de digitalisation de la santé au Sénégal.

Conclusion :

Le deuxième trimestre de l’année 2023 a été marqué par une hausse du nombre des demandes d’autorisation et de déclarations de traitement de données personnelles, relativement au premier trimestre. Des autorisations d’installation de dispositifs de caméras embarqués dans des véhicules de transport d’hydrocarbures et des véhicules d’exploitation minière sont également délivrées de façon récurrente par la CDP.

Cependant, la CDP a effectué, à la suite de ces autorisations, des missions contrôle, afin de vérifier la conformité de ces dispositifs avec la loi.

Par ailleurs, les missions de contrôles des déclarations simplifiées se sont multipliées durant ce trimestre, afin de vérifier l’effectivité du respect des normes simplifiées qui encadrent lesdites déclarations.

Sur le volet de la sensibilisation, la CDP continue de se déployer sur le terrain pour échanger avec les différents acteurs sur le cadre juridique de la protection des données personnelles. C’est ainsi que les journalistes spécialisés en santé ont bien accueilli l’apport de la CDP durant l’atelier d’information sur la digitalisation de la santé, organisé par le Ministère de la Santé et de l’Action sociale.

Sur le plan de la coopération africaine, un renforcement du réseau de coopération bilatérale a été noté avec le projet de Convention de partenariat entre la CDP et la Commission Nationale de Protection des Données à caractère Personnel du Cap-Vert (CNPD), qui est en instance de signature.