La Commission de protection des Données Personnelles (CDP), autorité administrative indépendante, instituée par la loi n° 2008-12 du 25 janvier 2008, est chargée de vérifier la légalité de la collecte et du traitement des données personnelles des sénégalais et de s'assurer que toutes les précautions sont prises pour qu’elles soient sécurisées.

Dans cette perspective, au cours de ce deuxième trimestre de l’année 2024, et conformément à son programme annuel d’activités, la CDP a examiné plusieurs dossiers de demande d’autorisation, recueilli des plaintes et rendu visite à des acteurs clés dans le cadre de la protection des informations nominatives au Sénégal.

Ainsi, après délibération des Commissaires de la Session plénière, la CDP publie le présent avis trimestriel qui décrit la situation actuelle de la protection des données personnelles au Sénégal.

1.  COMPTE RENDU DES ACTIVITES DECLARATIVES

Au cours du deuxième trimestre 2024, la CDP a accueilli deux (02) structures venues s’imprégner de la législation sur les données à caractère personnel. 

 La Commission a traité trente (30) dossiers, dont quinze (15) déclarations, douze (12) demandes d’autorisation et trois (03) dossiers réinscrits.

A l’issue de la Session plénière tenue à la CDP, seize (16) récépissés de déclaration ont été émis, dix (10) autorisations délivrées et six (6) plaintes et signalements reçus.

Par ailleurs, la Commission a auditionné un (01) responsable de traitement, décidé de surseoir à la décision de trois (03) dossiers.et interdit la mise en œuvre d’un (01) traitement.

1.  Décisions rendues par la Session Plénière :

1.1- Autorisations accordées :

1.2 - Récépissés délivrés: 

1.3 Refus d’autorisation :

1. BILAN DES PLAINTES ET SIGNALEMENTS TRAITES

1 – PLAINTES

2 – SIGNALEMENTS

III- BILAN DES MISSIONS DE CONTRÔLE

Au cours du deuxième trimestre 2024, la Commission de Protection des Données Personnelles (CDP) a effectué six (6) missions de contrôle sur site en application de l’article 25 de la loi n°2008-12 et de la décision de la session plénière du 24 juin 2021.

Détails des Missions

1. Ecole Supérieure Polytechnique de Dakar (ESP)
   • Date : 17 avril 2024
   • Objet : Conformité du système d’archivage des dossiers des étudiants.
2. LONASE
   • Date : 25 avril 2024
   • Objet : Gestion des fournisseurs, prestataires, et base de données des demandeurs d’emploi.
3. ORABANK Sénégal
   • Date : 26 avril 2024
   • Objet : Système de contrôle d’accès et pointage par badge, registre des entrées et sorties.
4. Innovebox
   • Date : 15 mai 2024
   • Objet : Registre des entrées et sorties, gestion du personnel, système de contrôle d’accès et de pointage par badge.
5. Compagnie Ouest Africaine de Crédit-Bail – Locafrique SA
   • Date : 16 mai 2024
   • Objet : Registre des entrées et sorties, gestion du personnel, gestion des fournisseurs et prestataires.
6. IT Mobile Afrique SARL
   • Date : 5 juin 2024
   • Objet : Traitement des données issues des caméras embarquées via le logiciel Smartfleet.

IV- BILAN DES ACTIVITES DE COMMUNICATION ET DE SENSIBILISATION

Pour ce trimestre de l’année 2024, la CDP a favorisé les actions de sensibilisation, avec un focus sur la communication digitale, mais aussi par des formations dispensées pour une meilleure vulgarisation de la loi sur la protection des données personnelles.

1. Communication sur les plateformes digitales

Dans le cadre de sa mission de sensibilisation, la Direction de la Communication et des Relations publiques a intensifié ses efforts durant le trimestre de l’année 2024, en mettant particulièrement l'accent sur les réseaux sociaux pour diffuser des informations clés. Des capsules illustratives ont été régulièrement publiées pour informer sur les activités de la Commission de Protection des Données (CDP) et sur les points essentiels du dernier avis trimestriel 2024. Ces publications ont été largement relayées sur les plateformes numériques de la Commission.

Sur Facebook, la communauté a considérablement grandi, atteignant plus de 4 850 abonnés, témoignant d'un intérêt et d'un engagement croissants envers nos actions de sensibilisation. De même, sur LinkedIn, notre réseau professionnel s'est élargi avec plus de 2 590 abonnés, renforçant notre présence dans ce milieu. Sur le réseau social X (anciennement Twitter), nos publications ont suscité de nombreuses réactions et interactions, augmentant notre nombre d’abonnés à 2970.

1. Assistance des internautes

Ces plateformes en ligne ont servi de canal pour les internautes cherchant de l'assistance ou souhaitant signaler des problèmes liés à la protection de leurs données personnelles. À la fin de ce trimestre 2024, la CDP a reçu une dizaine de signalements, principalement liés à des menaces de diffusion d'images embarrassantes, des commentaires diffamatoires, et des arnaques.

Les internautes ont posé diverses questions concernant la protection de leur vie privée, telles que le stockage et la sécurité de leurs informations biométriques, de leurs comptes sur les réseaux sociaux, et de leurs images capturées par les dispositifs de vidéosurveillance. D'autres interrogations portaient sur la possibilité de suppression de ces données et le droit d'exiger des preuves de cette suppression ; des préoccupations auxquelles les agents de la CDP ont répondu avec précision.

En cas de non-respect de la loi, les internautes ont été encouragés à saisir formellement la Commission de Protection des Données (CDP) en déposant une plainte via le modèle disponible sur le site www.cdp.sn. Pour certaines situations particulières, la CDP a conseillé de déposer plainte directement auprès de la Police, de la Gendarmerie, ou de la Division de la Cybersécurité. Ainsi, les efforts de sensibilisation sur les réseaux sociaux ont, non seulement, permis d'informer et de protéger le public, mais également renforcé l'engagement et la réactivité de la communauté envers les enjeux de protection des données personnelles.

1. Formation et vulgarisation sur la loi

• Formation des agents de l’OFNAC

La Commission de Protection des Données Personnelles (CDP) du Sénégal a organisé une formation sur la protection des données personnelles pour une trentaine d’agents de l'Office National de Lutte contre la Fraude et la Corruption (OFNAC) le 25 juin 2024. Les participants, provenant de divers services de l’OFNAC, collectent et traitent régulièrement des données personnelles dans leurs missions de prévention et d’investigation.

Présidée par le Vice-Président Babacar BA, la session a souligné l'importance de cette formation pour renforcer la confiance entre l’OFNAC et les administrés. Le Secrétaire Permanent a transmis les remerciements du Président de la CDP pour cette initiative. Les présentations ont couvert le cadre général de la protection des données, la conformité et les aspects sécuritaires, suscitant de nombreuses questions des agents, notamment sur les réglementations liées à la déclaration de patrimoine. Cette formation s'inscrit dans le cadre d'un partenariat de longue date entre la CDP et l’OFNAC, qui ont réitéré leur engagement à une collaboration étroite et continue.

• Intervention lors du SIPEN 2024

Le secrétaire Permanent de la CDP a modéré, le 27 Juin 2024, lors du Salon International des Professionnels de l’Économie Numérique - SIPEN 2024, le panel sur le thème : « Mécanisme de coopération entre Opérateurs et Régulateur : Alerte précoce et mesures de riposte contre les transactions illicites, le blanchiment d’argent et financement du terrorisme ». Un événement qui a enregistré la présence d’opérateurs de services financiers tels que WAVE mais aussi les régulateurs tels que l’Autorité de régulation des Télécommunications et des Postes (ARTP), l’Observatoire qualité des services financiers (OQSF).

Le secteur des services financiers au Sénégal connaît une croissance rapide, stimulée par l'innovation technologique et l'expansion des services financiers numériques. Suite au diagnostic des défis et opportunités du secteur, les acteurs ont de manière unanime plaidé pour une mise à jour de la réglementation ; mais également plaidé pour une co-régulation afin de conserver cette dynamique, en plus d’une coopération étroite pour garantir un développement harmonieux. Ils n’ont pas manqué de souligner l’importance cruciale d’une collaboration efficace entre acteurs de l’écosystème financier régional notamment dans sa dimension sécuritaire. Le Secrétaire Permanent de la CDP a insisté sur le partage d'informations et les contrôles réguliers qui permettront d’améliorer la sécurité des transactions financières et réduire les risques de fraude et de blanchiment d'argent.

1. Communication avec les médias

• Traitement du dernier Avis trimestriel

Le traitement médiatique de la publication de l'avis trimestriel de la CDP du premier trimestre 2024 a été marqué par une couverture exhaustive et diversifiée. Selon une analyse de contenu, plus d’une quinzaine articles ont été publiés ou republiés dans la presse écrite au cours de la semaine suivant la publication de l'avis. Ces articles ont mis en avant les statistiques clés de la CDP telles que des violations de données personnelles qui ont été enregistré au cours du premier trimestre de 2024, soit une augmentation de 15 % par rapport au trimestre précédent. Les médias ont utilisé divers formats pour sensibiliser et éduquer le public sur les enjeux soulevés par la CDP. Des émissions télévisées telles ‘’Miroir du Sénégal’’ ont permis aux agents de la CDP de vulgariser la loi. Ces interventions ont contribué à une meilleure compréhension des droits des citoyens en matière de protection des données personnelles.

• Interview du Président par le magazine CIO Mag

Le Président de la CDP, M. Ousmane Thiongane a accordé sa première sortie médiatique au magazine CIO Mag dans le cadre d’un dossier portant sur la réglementation des données personnelles à l’ère de l’intelligence artificielle (IA). M. Thiongane a souligné que l'IA transforme radicalement la manière dont les données sont collectées, analysées et utilisées, posant ainsi de nouveaux défis pour la protection des données personnelles. Il a insisté sur la nécessité d'une régulation adaptative et proactive pour garantir que les technologies d'IA respectent les droits des individus.

Il a également évoqué l'importance de la coopération internationale pour établir des normes communes et renforcer la protection des données à l'échelle mondiale. Le Président de la CDP a appelé à une vigilance accrue des régulateurs et des entreprises pour s'assurer que l'innovation technologique se fasse en respectant les principes fondamentaux de la vie privée et de la sécurité des données.

1. COOPERATION ET PARTENARIAT

1. Au niveau international

Réunion groupe de travail sur l’économie et la société numérique (GPA)

Le groupe de travail sur l’économie et la société numérique (GPA) a tenu une réunion en ligne le 11 avril 2024 par laquelle la CDP a pris part.

En marge des discussions, plusieurs points ont été soulevés relatifs à l’ordre du jour dont l’invitation à intégrer les nouveaux sous-groupes de travail, proposés par certaines autorités. Ainsi, la CDP a manifesté son intérêt à joindre le sous-groupe surveillance de masse compte tenu des missions qu’elle mène en ce sens et des enjeux liés à la confidentialité des données personnelles. Mais également ce choix se justifie à cause des risques que la surveillance de masse pourrait entrainer sur la vie privée et d’autres droits associés tels que la liberté d’expression, de communication, d’association et d’accès à l’information notamment par le biais des technologies de l’information et de la communication.

Webinaire Forum Information et Démocratie/l’OIF

La CDP a participé le 16 avril 2024 au Webinaire organisé par le Forum Information et Démocratie et l’OIF, tenu en ligne, portant sur le thème « l’IA et l’intégrité de l’information : les défis de la résilience électorale dans un monde numérique.

Plusieurs participants venus d’horizons divers ont pu donner leurs avis sur ce sujet. Pour la CDP, les défis liés à l’utilisation des données sensibles notamment en termes d’inscription et d’authentification dans le cadre du vote, par laquelle un traitement des données biométriques est effectué ; sont évolutifs. Par conséquent, ceci devrait amener les autorités de protection, les organes en charge des élections et la société civile à davantage prévenir et sensibiliser les acteurs (parties politiques, électeurs et gouvernements) sur les risques que présente le recours à l’IA à des fins de détournement de finalité de traitement des données issues du cadre électoral.

Participation à la 46ème plénière du Comité Consultatif de la convention de 108+

Le président de la CDP a pris part à la 46ieme réunion plénière du Comité Consultatif de la Convention 108 à Strasbourg du 5 au 7 juin 2024. Au titre de l’ordre du jour, le Comité a fait un point sur la situation de la convention 108+ (signatures et ratifications).

Le Comité a examiné les observations fournies par les membres sur les clauses contractuelles types pour le transfert des données à caractère personnel (module I et II ; module III avec une compilation des commentaires). Il a également abordé les aspects liés à la protection des données, y compris biométriques, dans le cadre des élections.

Enfin, le Comité est revenu également sur l’interprétation de l’article 11 de convention 108+ (exception et restrictions), sur la protection des données dans le contexte des neurosciences (éthiques et droit nouveaux consacrés) et d’autres points divers.

1. Au niveau africain

9ème Conférence du Réseau des Autorités Africaines de Protection des Données (RAPDP)/ 7ème Assemblée Générale du NAPDA-RAPDP

Du 7 au 9 mai 2024, le Kenya a accueilli concomitamment la 9ème Conférence du Réseau des Autorités Africaines de Protection des Données (RAPDP) sur le thème suivant :« Promouvoir la gouvernance régionale des données pour la transformation numérique » et la 7ème Assemblée Générale du NAPDA-RAPDP.

La délégation sénégalaise a été conduite par le Président de la Commission de protection des données personnelles (CDP) du Sénégal, M. Ousmane Thiongane.  Le Professeur Mamoudou Niane, Secrétaire Permanent faisait partie de la délégation. Cette rencontre, qui s’est déroulée pour la première fois en terre kenyane, a vu la participation de plusieurs autorités de protection africaines. Le Sénégal est intervenu pour inviter l’Assemblée Générale à accepter les pays qui ne disposent pas d’une Autorité de protection des données personnelles spécifiques à être membre. Un plaidoyer salué et soutenu par la majorité des participants.

Par ailleurs, des discussions enrichissantes ont eu lieu avec les représentants de l’Autorité de protection somalienne nouvellement installée. Ainsi, des perspectives de collaboration en vue de nouer une coopération entre les deux autorités ont été avancées.

Au plan national

Invitation au lancement 5G du Groupe Sonatel-Orange

La CDP a été conviée à prendre part à la cérémonie de lancement 5G d’Orange le mardi 21 mai 2024.Un moment d’échanges et de communions avec les acteurs de l’écosystéme numérique ; ce qui réaffirme encore le dynamisme de l’évolution fulgurante du secteur des télécommunications au Sénégal.

En outre, il a été opportun pour la CDP de rappeler que le déploiement de cette nouvelle technologie ; qui assure une réduction drastique du temps de latence, augmenterait une production massive de métadonnées. D’où la nécessité d’accorder davantage une attention particulière au respect de la vie privée et à la protection des données personnelles d’une part, et d’autre part, ; de manifester le respect au principe accountability et la compliance à la charge des entreprises concernées. 

Panel sur l'accès à l'information organisé par l’ONG Article 19

L'Autorité a participé le 05 juin 2024 au panel sur l'accès à l'information et a pu aborder les points suivants :

• Rappel sur l’existence d’un cadre juridique général garantissant la protection des personnes.
• Précision sur le fait que le droit d’accès à l’information n’est pas d’application absolue et ne peut justifier la publication d’informations personnelles sans buts légitimes et sans soubassement juridique.
• Rappel sur l’implication de la CDP dans bon nombre de projets étatiques
• Rappel sur l’existence d’un cadre de coopération entre la CDP et plusieurs structures publiques.

VII - POINT DES REUNIONS SUR DES PROJETS IMPORTANTS

• Atelier sur l’identification des orientations du projet de loi d’orientation sur les données et leur sécurisation

Le Ministère de la Communication, des Télécommunications et du Numérique (MCTN) a organisé l’atelier d’identification des orientations de la loi d’orientation sur les données et leur sécurisation, les 20 et 21 juin 2024 à la Maison de la presse.

L'objectif principal de l'atelier était d'identifier et de définir les orientations stratégiques de la future loi sur les données et leur sécurisation au Sénégal, de discuter des enjeux, des défis et des opportunités liés à la gestion et à la sécurisation des données.

• Atelier sur le Plan stratégique Santé Digitale

Le Ministère de la Santé et de l'Action sociale du Sénégal a organisé un atelier pour finaliser l'algorithme d'identification nationale

unique des patients et des prestataires de santé. L'objectif était de mettre en place un système d'identification fiable et sécurisé

pour la gestion des informations de santé. La Commission de Protection des Données Personnelles (CDP) a activement participé

au projet recommandant des mesures de sécurisation et de protection des données des citoyens sénégalais.

CONCLUSION

Le deuxième trimestre de l'année 2024 a été caractérisé par une augmentation significative du nombre de signalements et de plaintes concernant les violations de données personnelles. Le trimestre a été marqué par des plaintes et signalements relatifs à la collecte et aux menaces de divulgation de données personnelles, ainsi qu'à la prospection directe non sollicitée.

 Par ailleurs, la Commission de protection des données personnelles (CDP) a participé à de nombreuses rencontres nationales et internationales axées sur des projets innovants sollicitant des données personnelles. Une attention particulière a été accordée par les agents de la CDP lors des communications à ces événements, avec un plaidoyer en faveur d'une prise en compte accrue des enjeux et défis relatifs à la sécurisation des données, en particulier des données personnelles. Enfin, en ce qui concerne les missions de contrôle, la CDP a réalisé plusieurs interventions conformément au plan de travail de 2024.