COMMISSION DE PROTECTION DES DONNÉES PERSONNELLES
COMMISSION DE PROTECTION DES DONNÉES PERSONNELLES
S’assurer que tout ce qui permet d’identifier une personne physique soit sécurisé et confidentiel.
La Commission de protection des Données Personnelles (CDP), autorité administrative indépendante, instituée par la loi n° 2008-12 du 25 janvier 2008, est chargée de vérifier la légalité de la collecte et du traitement des données personnelles des sénégalais et de s'assurer que toutes les précautions sont prises pour qu’elles soient sécurisées.
Dans cette perspective, au cours de ce deuxième trimestre de l’année 2024, et conformément à son programme annuel d’activités, la CDP a examiné plusieurs dossiers de demande d’autorisation, recueilli des plaintes et rendu visite à des acteurs clés dans le cadre de la protection des informations nominatives au Sénégal.
Ainsi, après délibération des Commissaires de la Session plénière, la CDP publie le présent avis trimestriel qui décrit la situation actuelle de la protection des données personnelles au Sénégal.
Au cours du deuxième trimestre 2024, la CDP a accueilli deux (02) structures venues s’imprégner de la législation sur les données à caractère personnel.
La Commission a traité trente (30) dossiers, dont quinze (15) déclarations, douze (12) demandes d’autorisation et trois (03) dossiers réinscrits.
A l’issue de la Session plénière tenue à la CDP, seize (16) récépissés de déclaration ont été émis, dix (10) autorisations délivrées et six (6) plaintes et signalements reçus.
Par ailleurs, la Commission a auditionné un (01) responsable de traitement, décidé de surseoir à la décision de trois (03) dossiers.et interdit la mise en œuvre d’un (01) traitement.
1.1- Autorisations accordées :
Finalités des traitements |
Nombre |
Structures |
Système de géolocalisation |
02 |
SENEGAL REMOTE SERVICES DANGOTE SENEGAL |
Système de pointage biométrique |
02 |
LAGARDERE TRAVEL RETAIL SENEGAL SAINT CHRISTOPHER IBA MAR DIOP |
Enregistrement des appels téléphoniques (Centre de Relation Client BRT) |
01 |
DAKAR MOBILITE S.A |
Service Bank to Wallet |
01 |
ECOBANK SENEGAL |
Site internet |
01 |
BUREAU OPERATIONNEL DE SUIVI DU PLAN SENEGAL EMERGENT |
Plateforme Ligdicash |
01 |
LIGDICASH SENEGAL SARL |
Application mobile |
01 |
PROBOUTIK SASCV |
Negative News Investigation (NNI) |
01 |
SOCIETE GENERALE SENEGAL (SGSN) |
1.2 - Récépissés délivrés:
Finalités |
Nombre |
Structures |
Vidéosurveillance dans les établissements accueillant du public pour assurer la sécurité des biens et des personnes |
03 |
|
Vidéosurveillance chez des particuliers |
04 |
|
Base de données des clients |
02 |
|
Gestion du personnel |
04 |
|
Base de données des partenaires |
01 |
|
Évaluation du projet « accès à la l’électricité » au Sénégal |
02 |
|
1.3 Refus d’autorisation :
Responsable de traitement |
Traitement déclaré |
|
Motifs de rejet |
FRATERNITE ÉVANGELIQUE DU SENEGAL |
Campagne médiatique d’évangélisation |
La présentation de l’objet de la foi chrétienne à travers des témoignages individuels. Il s’agira pour les personnes qui acceptent de témoigner, de dire ce qu’est la foi chrétienne en racontant comment elles ont découvert cette foi, comment elles la perçoivent, comment elles la vivent et comment elle leur permet de vivre en paix et en harmonie dans la société. Les témoignages seront diffusés à travers les médias et internet, sous forme d’écrits (livrets) et de vidéos, accompagnés de photos. Cela contribuera en outre à faire connaitre Dieu et les prodiges qu’il réalise dans la vie des humains, et à encourager la foi |
La Session Plénière a décidé de rejeter, en l’état, le traitement car elle estime que les données collectées rentrent dans la catégorie des interdictions posées par l’article 40 la loi n°2008-12 du 25 janvier 2008 relative à la protection des données personnelles. |
1 – PLAINTES
N° |
PLAIGNANT |
MIS EN CAUSE |
MOTIFS |
OBSERVATIONS |
01 |
O.K |
SUNU BICIS |
Violation de données personnelles |
La CDP a reçu une plainte de Monsieur O.K contre la banque SUNU BICIS, relative à l’utilisation de son numéro de téléphone personnel par des clients de Sunu BICIS. Il a été constaté qu’il s’agirait d’une erreur lors de la transmission du numéro professionnel d’un des Conseillers clients de la banque. A cet effet, la CDP a invité la Direction Générale de la banque, à prendre les dispositions nécessaires pour communiquer aux clients le bon numéro et corriger ainsi le dysfonctionnement dont il est question.
Le dossier est en cours d’instruction. |
02 |
S.S |
SONATEL |
Prospection directe non sollicitée |
S.S a saisi la CDP d’une plainte à l’encontre de la SONATEL pour envois répétitifs de SMS de prospection commerciale non sollicitée. La CDP a exigé auprès de la SONATEL, la résiliation de l’abonnement non souscrit par le plaignant. En outre, elle a demandé des explications sur le service BEST ENGLISH COURSE.
Le dossier est en cours d’instruction. |
03 |
B.M |
X |
Collecte et menaces de divulgation de données personnelles |
La CDP a reçu une plainte de Monsieur B.M contre X pour collecte illicite et menaces de divulgation de ses données personnelles. En application des articles 16-2c et 75 de la loi sur la protection des données personnelles, la CDP a transmis la plainte au Procureur de la République et à la Division Spéciale de Cybersécurité (DSC) pour enquêtes et suites à donner.
La CDP suit le dossier auprès de ces services. |
04 |
D |
X |
Collecte illicite et menaces de divulgation de données personnelles |
La CDP a reçu une plainte de Monsieur D contre X pour menaces de divulgation de ses données personnelles compromettantes, en échange d’une somme d’argent.
La CDP a recommandé au plaignant de rompre tout contact avec la personne mise en cause et d’éviter de verser une quelque somme d’argent.
Par ailleurs, en application des articles 16-2c et 75 de la loi sur la protection des données personnelles, la CDP a transmis la plainte au Procureur de la République et à la Division Spéciale de Cybersécurité (DSC) pour enquêtes et suites à donner.
La CDP suit le dossier auprès de ces services.
|
05 |
A.G |
DGTT |
Demande d’accès à ses données |
La CDP a reçu de Monsieur A.G une demande relative à l’accès à ses données personnelles traitées par la DGTT.
Conformément aux dispositions de la loi n°2008-12 du 25 janvier 2008 portant sur la protection des données personnelles, la CDP a invité la direction à prendre les dispositions nécessaires pour la communication des informations sollicitées par le plaignant.
Le dossier est en cours d’instruction.
|
2 – SIGNALEMENTS
AUTEUR DU SIGNALEMENT |
MIS EN CAUSE |
MOTIFS |
OBSERVATIONS |
S.T |
X |
Usurpation de la page Facebook du Ministère du commerce |
La CDP a reçu un signalement relatif à une potentielle usurpation de la page Facebook du Ministère du commerce. En application de l’article 431-57 de la loi n°2016-29 du 08 novembre 2016 modifiant le Code pénal, elle a saisi la Division Spéciale de la Cybersécurité (DSC) de la Police. Par ailleurs, la CDP a fait le signalement auprès des équipes de Meta (Facebook). |
III- BILAN DES MISSIONS DE CONTRÔLE
Au cours du deuxième trimestre 2024, la Commission de Protection des Données Personnelles (CDP) a effectué six (6) missions de contrôle sur site en application de l’article 25 de la loi n°2008-12 et de la décision de la session plénière du 24 juin 2021.
IV- BILAN DES ACTIVITES DE COMMUNICATION ET DE SENSIBILISATION
Pour ce trimestre de l’année 2024, la CDP a favorisé les actions de sensibilisation, avec un focus sur la communication digitale, mais aussi par des formations dispensées pour une meilleure vulgarisation de la loi sur la protection des données personnelles.
Dans le cadre de sa mission de sensibilisation, la Direction de la Communication et des Relations publiques a intensifié ses efforts durant le trimestre de l’année 2024, en mettant particulièrement l'accent sur les réseaux sociaux pour diffuser des informations clés. Des capsules illustratives ont été régulièrement publiées pour informer sur les activités de la Commission de Protection des Données (CDP) et sur les points essentiels du dernier avis trimestriel 2024. Ces publications ont été largement relayées sur les plateformes numériques de la Commission.
Sur Facebook, la communauté a considérablement grandi, atteignant plus de 4 850 abonnés, témoignant d'un intérêt et d'un engagement croissants envers nos actions de sensibilisation. De même, sur LinkedIn, notre réseau professionnel s'est élargi avec plus de 2 590 abonnés, renforçant notre présence dans ce milieu. Sur le réseau social X (anciennement Twitter), nos publications ont suscité de nombreuses réactions et interactions, augmentant notre nombre d’abonnés à 2970.
Ces plateformes en ligne ont servi de canal pour les internautes cherchant de l'assistance ou souhaitant signaler des problèmes liés à la protection de leurs données personnelles. À la fin de ce trimestre 2024, la CDP a reçu une dizaine de signalements, principalement liés à des menaces de diffusion d'images embarrassantes, des commentaires diffamatoires, et des arnaques.
Les internautes ont posé diverses questions concernant la protection de leur vie privée, telles que le stockage et la sécurité de leurs informations biométriques, de leurs comptes sur les réseaux sociaux, et de leurs images capturées par les dispositifs de vidéosurveillance. D'autres interrogations portaient sur la possibilité de suppression de ces données et le droit d'exiger des preuves de cette suppression ; des préoccupations auxquelles les agents de la CDP ont répondu avec précision.
En cas de non-respect de la loi, les internautes ont été encouragés à saisir formellement la Commission de Protection des Données (CDP) en déposant une plainte via le modèle disponible sur le site www.cdp.sn. Pour certaines situations particulières, la CDP a conseillé de déposer plainte directement auprès de la Police, de la Gendarmerie, ou de la Division de la Cybersécurité. Ainsi, les efforts de sensibilisation sur les réseaux sociaux ont, non seulement, permis d'informer et de protéger le public, mais également renforcé l'engagement et la réactivité de la communauté envers les enjeux de protection des données personnelles.
La Commission de Protection des Données Personnelles (CDP) du Sénégal a organisé une formation sur la protection des données personnelles pour une trentaine d’agents de l'Office National de Lutte contre la Fraude et la Corruption (OFNAC) le 25 juin 2024. Les participants, provenant de divers services de l’OFNAC, collectent et traitent régulièrement des données personnelles dans leurs missions de prévention et d’investigation.
Présidée par le Vice-Président Babacar BA, la session a souligné l'importance de cette formation pour renforcer la confiance entre l’OFNAC et les administrés. Le Secrétaire Permanent a transmis les remerciements du Président de la CDP pour cette initiative. Les présentations ont couvert le cadre général de la protection des données, la conformité et les aspects sécuritaires, suscitant de nombreuses questions des agents, notamment sur les réglementations liées à la déclaration de patrimoine. Cette formation s'inscrit dans le cadre d'un partenariat de longue date entre la CDP et l’OFNAC, qui ont réitéré leur engagement à une collaboration étroite et continue.
Le secrétaire Permanent de la CDP a modéré, le 27 Juin 2024, lors du Salon International des Professionnels de l’Économie Numérique - SIPEN 2024, le panel sur le thème : « Mécanisme de coopération entre Opérateurs et Régulateur : Alerte précoce et mesures de riposte contre les transactions illicites, le blanchiment d’argent et financement du terrorisme ». Un événement qui a enregistré la présence d’opérateurs de services financiers tels que WAVE mais aussi les régulateurs tels que l’Autorité de régulation des Télécommunications et des Postes (ARTP), l’Observatoire qualité des services financiers (OQSF).
Le secteur des services financiers au Sénégal connaît une croissance rapide, stimulée par l'innovation technologique et l'expansion des services financiers numériques. Suite au diagnostic des défis et opportunités du secteur, les acteurs ont de manière unanime plaidé pour une mise à jour de la réglementation ; mais également plaidé pour une co-régulation afin de conserver cette dynamique, en plus d’une coopération étroite pour garantir un développement harmonieux. Ils n’ont pas manqué de souligner l’importance cruciale d’une collaboration efficace entre acteurs de l’écosystème financier régional notamment dans sa dimension sécuritaire. Le Secrétaire Permanent de la CDP a insisté sur le partage d'informations et les contrôles réguliers qui permettront d’améliorer la sécurité des transactions financières et réduire les risques de fraude et de blanchiment d'argent.
Le traitement médiatique de la publication de l'avis trimestriel de la CDP du premier trimestre 2024 a été marqué par une couverture exhaustive et diversifiée. Selon une analyse de contenu, plus d’une quinzaine articles ont été publiés ou republiés dans la presse écrite au cours de la semaine suivant la publication de l'avis. Ces articles ont mis en avant les statistiques clés de la CDP telles que des violations de données personnelles qui ont été enregistré au cours du premier trimestre de 2024, soit une augmentation de 15 % par rapport au trimestre précédent. Les médias ont utilisé divers formats pour sensibiliser et éduquer le public sur les enjeux soulevés par la CDP. Des émissions télévisées telles ‘’Miroir du Sénégal’’ ont permis aux agents de la CDP de vulgariser la loi. Ces interventions ont contribué à une meilleure compréhension des droits des citoyens en matière de protection des données personnelles.
Le Président de la CDP, M. Ousmane Thiongane a accordé sa première sortie médiatique au magazine CIO Mag dans le cadre d’un dossier portant sur la réglementation des données personnelles à l’ère de l’intelligence artificielle (IA). M. Thiongane a souligné que l'IA transforme radicalement la manière dont les données sont collectées, analysées et utilisées, posant ainsi de nouveaux défis pour la protection des données personnelles. Il a insisté sur la nécessité d'une régulation adaptative et proactive pour garantir que les technologies d'IA respectent les droits des individus.
Il a également évoqué l'importance de la coopération internationale pour établir des normes communes et renforcer la protection des données à l'échelle mondiale. Le Président de la CDP a appelé à une vigilance accrue des régulateurs et des entreprises pour s'assurer que l'innovation technologique se fasse en respectant les principes fondamentaux de la vie privée et de la sécurité des données.
Réunion groupe de travail sur l’économie et la société numérique (GPA)
Le groupe de travail sur l’économie et la société numérique (GPA) a tenu une réunion en ligne le 11 avril 2024 par laquelle la CDP a pris part.
En marge des discussions, plusieurs points ont été soulevés relatifs à l’ordre du jour dont l’invitation à intégrer les nouveaux sous-groupes de travail, proposés par certaines autorités. Ainsi, la CDP a manifesté son intérêt à joindre le sous-groupe surveillance de masse compte tenu des missions qu’elle mène en ce sens et des enjeux liés à la confidentialité des données personnelles. Mais également ce choix se justifie à cause des risques que la surveillance de masse pourrait entrainer sur la vie privée et d’autres droits associés tels que la liberté d’expression, de communication, d’association et d’accès à l’information notamment par le biais des technologies de l’information et de la communication.
Webinaire Forum Information et Démocratie/l’OIF
La CDP a participé le 16 avril 2024 au Webinaire organisé par le Forum Information et Démocratie et l’OIF, tenu en ligne, portant sur le thème « l’IA et l’intégrité de l’information : les défis de la résilience électorale dans un monde numérique.
Plusieurs participants venus d’horizons divers ont pu donner leurs avis sur ce sujet. Pour la CDP, les défis liés à l’utilisation des données sensibles notamment en termes d’inscription et d’authentification dans le cadre du vote, par laquelle un traitement des données biométriques est effectué ; sont évolutifs. Par conséquent, ceci devrait amener les autorités de protection, les organes en charge des élections et la société civile à davantage prévenir et sensibiliser les acteurs (parties politiques, électeurs et gouvernements) sur les risques que présente le recours à l’IA à des fins de détournement de finalité de traitement des données issues du cadre électoral.
Participation à la 46ème plénière du Comité Consultatif de la convention de 108+
Le président de la CDP a pris part à la 46ieme réunion plénière du Comité Consultatif de la Convention 108 à Strasbourg du 5 au 7 juin 2024. Au titre de l’ordre du jour, le Comité a fait un point sur la situation de la convention 108+ (signatures et ratifications).
Le Comité a examiné les observations fournies par les membres sur les clauses contractuelles types pour le transfert des données à caractère personnel (module I et II ; module III avec une compilation des commentaires). Il a également abordé les aspects liés à la protection des données, y compris biométriques, dans le cadre des élections.
Enfin, le Comité est revenu également sur l’interprétation de l’article 11 de convention 108+ (exception et restrictions), sur la protection des données dans le contexte des neurosciences (éthiques et droit nouveaux consacrés) et d’autres points divers.
9ème Conférence du Réseau des Autorités Africaines de Protection des Données (RAPDP)/ 7ème Assemblée Générale du NAPDA-RAPDP
Du 7 au 9 mai 2024, le Kenya a accueilli concomitamment la 9ème Conférence du Réseau des Autorités Africaines de Protection des Données (RAPDP) sur le thème suivant :« Promouvoir la gouvernance régionale des données pour la transformation numérique » et la 7ème Assemblée Générale du NAPDA-RAPDP.
La délégation sénégalaise a été conduite par le Président de la Commission de protection des données personnelles (CDP) du Sénégal, M. Ousmane Thiongane. Le Professeur Mamoudou Niane, Secrétaire Permanent faisait partie de la délégation. Cette rencontre, qui s’est déroulée pour la première fois en terre kenyane, a vu la participation de plusieurs autorités de protection africaines. Le Sénégal est intervenu pour inviter l’Assemblée Générale à accepter les pays qui ne disposent pas d’une Autorité de protection des données personnelles spécifiques à être membre. Un plaidoyer salué et soutenu par la majorité des participants.
Par ailleurs, des discussions enrichissantes ont eu lieu avec les représentants de l’Autorité de protection somalienne nouvellement installée. Ainsi, des perspectives de collaboration en vue de nouer une coopération entre les deux autorités ont été avancées.
Au plan national
Invitation au lancement 5G du Groupe Sonatel-Orange
La CDP a été conviée à prendre part à la cérémonie de lancement 5G d’Orange le mardi 21 mai 2024.Un moment d’échanges et de communions avec les acteurs de l’écosystéme numérique ; ce qui réaffirme encore le dynamisme de l’évolution fulgurante du secteur des télécommunications au Sénégal.
En outre, il a été opportun pour la CDP de rappeler que le déploiement de cette nouvelle technologie ; qui assure une réduction drastique du temps de latence, augmenterait une production massive de métadonnées. D’où la nécessité d’accorder davantage une attention particulière au respect de la vie privée et à la protection des données personnelles d’une part, et d’autre part, ; de manifester le respect au principe accountability et la compliance à la charge des entreprises concernées.
Panel sur l'accès à l'information organisé par l’ONG Article 19
L'Autorité a participé le 05 juin 2024 au panel sur l'accès à l'information et a pu aborder les points suivants :
VII - POINT DES REUNIONS SUR DES PROJETS IMPORTANTS
Le Ministère de la Communication, des Télécommunications et du Numérique (MCTN) a organisé l’atelier d’identification des orientations de la loi d’orientation sur les données et leur sécurisation, les 20 et 21 juin 2024 à la Maison de la presse.
L'objectif principal de l'atelier était d'identifier et de définir les orientations stratégiques de la future loi sur les données et leur sécurisation au Sénégal, de discuter des enjeux, des défis et des opportunités liés à la gestion et à la sécurisation des données.
Le Ministère de la Santé et de l'Action sociale du Sénégal a organisé un atelier pour finaliser l'algorithme d'identification nationale
unique des patients et des prestataires de santé. L'objectif était de mettre en place un système d'identification fiable et sécurisé
pour la gestion des informations de santé. La Commission de Protection des Données Personnelles (CDP) a activement participé
au projet recommandant des mesures de sécurisation et de protection des données des citoyens sénégalais.
CONCLUSION
Le deuxième trimestre de l'année 2024 a été caractérisé par une augmentation significative du nombre de signalements et de plaintes concernant les violations de données personnelles. Le trimestre a été marqué par des plaintes et signalements relatifs à la collecte et aux menaces de divulgation de données personnelles, ainsi qu'à la prospection directe non sollicitée.
Par ailleurs, la Commission de protection des données personnelles (CDP) a participé à de nombreuses rencontres nationales et internationales axées sur des projets innovants sollicitant des données personnelles. Une attention particulière a été accordée par les agents de la CDP lors des communications à ces événements, avec un plaidoyer en faveur d'une prise en compte accrue des enjeux et défis relatifs à la sécurisation des données, en particulier des données personnelles. Enfin, en ce qui concerne les missions de contrôle, la CDP a réalisé plusieurs interventions conformément au plan de travail de 2024.