La Commission de protection des Données Personnelles (CDP), Autorité administrative indépendante, instituée par la loi n° 2008-12 du 25 janvier 2008, est chargée de vérifier la légalité de la collecte et du traitement des données personnelles des sénégalais et de s'assurer que toutes les précautions sont prises pour qu’elles soient sécurisées.

Dans cette perspective, au cours de ce troisième trimestre de l’année 2024, et conformément à son programme annuel d’activités, la CDP a examiné plusieurs dossiers de demande d’autorisation, recueilli des plaintes et rendu visite à des acteurs clés dans le cadre de la protection des informations nominatives au Sénégal.

Le troisième trimestre de l’années 2024 a été marqué par l’augmentation des déclarations et demandes d’autorisation de traitement de données personnelles. Par ailleurs, sur le plan du contentieux, des cas de collecte illicite de données personnelles sont davantage constatés, à travers les plaintes et signalements reçus par la CDP. A cet effet, la CDP a accentué la sensibilisation auprès du grand public, par le canal de ses plateformes digitales.

Ainsi, après délibération des Commissaires de la Session plénière, la CDP publie le présent avis trimestriel qui décrit la situation actuelle de la protection des données personnelles au Sénégal.

1.  COMPTE RENDU DES ACTIVITES DECLARATIVES

Au cours de ce troisième trimestre 2024, la CDP a accueilli deux (02) structures venues s’imprégner de la législation sur les données à caractère personnel. 

 La Commission a traité cent trente-un (131) dossiers, dont quatre-vingt-et-un (81) déclarations, quarante-cinq (45) demandes d’autorisation, une (01) demande d’avis et cinq (05) dossiers réinscrits.

A l’issue des deux (02) Sessions plénières tenues à la CDP, quatre-vingt-et-un (81) récépissés de déclaration et quarante-sept (47) autorisations ont été délivrés. Par ailleurs, la Commission a auditionné deux (02) responsables de traitement et a décidé de surseoir à la décision de trois (03) dossiers.

La Commission a, en outre, émis un appel à la déclaration, reçu des plaintes, signalements et demandes d’avis :

- Appel à la déclaration : 01

- Plaintes et signalements reçus : 10

- Demande d’avis : 01

1. Les structures appelées à la déclaration de leurs fichiers et bases de données :

1.2- Décisions rendues par la Session Plénière :

1.2.1- Autorisations accordées 

1.2 - Récépissés délivrés : 

1.3 Demande d’avis :

1. BILAN DES PLAINTES ET SIGNALEMENTS TRAITES

1 – PLAINTES

2 – SIGNALEMENTS

1. QUESTIONS REÇUES DU GRAND PUBLIC

La CDP a reçu des questions du grand public sur les mesures à mettre en œuvre pour la conformité avec la loi n°2008-12 du 25 janvier 2008 portant protection des données à caractère personnel.

IV.BILAN DES MISSIONS DE CONTROLE

Au cours du troisième trimestre de l’année 2024, la Commission de protection des Données Personnelles (CDP) a effectué trois (3) missions de contrôle sur site en application de l’article 25 de la loi n°2008-12 du 25 janvier 2008 portant sur la protection des données à caractère personnel, et de la décision de la Session plénière.

1. Missions de contrôle des déclarations simplifiées

1. Les manquements les plus récurrents pour les traitements simplifiés :

A l’issue des missions de contrôle qui ont porté sur les déclarations simplifiées, les manquements suivants ont été constatés :

• Durée de conservation des données : Absence de politique définie concernant la durée de conservation des données personnelles des employés après leur départ.
• Exercice des droits des personnes : Procédures non formalisées pour l'exercice des droits des personnes concernées par les traitements de données.
• Déclarations auprès de la CDP : Absence de déclaration de certains traitements de données à caractère personnelle.

1. Focus sur la distinction des régimes juridiques pour les systèmes de contrôle d'accès ou de pointage par badge magnétique et par biométrie

La Commission de protection des Données Personnelles (CDP) souhaite rappeler la différence entre les régimes juridiques qui s’appliquent aux systèmes de contrôle d’accès ou de pointage, par badge magnétique et par biométrie.

En effet, la CDP a constaté lors des missions de contrôle sur site que les dispositifs déclarés relèvent du régime de l’autorisation, en raison de la collecte de données biométriques. 

Ainsi, la CDP tient à rappeler le régime juridique qui encadre ces deux dispositifs :

• Le système de pointage ou de contrôle d’accès par badge : Ce dispositif, moins intrusif, relève de la déclaration simplifiée auprès de la CDP. Il s’agit d’un traitement qui ne porte pas sur des données sensibles.
• Le système de contrôle d’accès ou de pointage par biométrie : Plus intrusif, ce système traite des données biométriques qui, par leur nature, sont considérées comme sensibles. En raison de l'impact significatif de ces traitements sur la vie privée des personnes concernées, une autorisation préalable de la CDP est obligatoire avant toute mise en œuvre. L’utilisation de ces technologies doit être rigoureusement encadrée, afin de garantir la protection des droits des personnes concernées.

La CDP invite les responsables de traitement à se conformer aux exigences légales, en particulier lors de l’utilisation de technologies impliquant le traitement de données sensibles.

1. COMMUNICATION ET SENSIBILISATION

Pour ce troisième trimestre de l’année 2024, la CDP a multiplié les activités de vulgarisation et de sensibilisation sur la protection des données personnelles. Ses agents ont sensibilisé en ligne ou en présentiel afin d’éclairer le grand public sur la problématique de la protection des données à caractère personnel.

1. Formation et vulgarisation de la loi sur les données personnelles

• Atelier de formation avec les sociétés d’assurances

La Commission de protection des données personnelles (CDP) a animé un atelier de formation sur la protection des données personnelles avec l’Association des Assureurs du Sénégal (AAS), les 8 et 9 juillet 2024. Cet événement qui, a réuni plus de cinquante sociétés d'assurances, visait à renforcer les compétences des assureurs face aux défis de la digitalisation.

M. Cheikh Oumar SECK, Président de la Commission Formation de l’AAS, a souligné l'importance de maîtriser le cadre juridique de la protection des données dans un milieu en perpétuelle évolution.

Le Président de la CDP, M. Ousmane THIONGANE, a présenté les implications de la santé digitale et de l’intelligence artificielle dans le secteur de l’assurance maladie.

Les échanges ont porté sur plusieurs thèmes : responsabilité des sous-traitants, clauses de confidentialité, et création de produits spécifiques liés à la protection des données. Des questions liées aux données de santé, à la sécurité numérique, aux véhicules autonomes et aux cyber-risques ont également été abordées. L’AAS et la CDP ont convenu de poursuivre leurs échanges à travers des rencontres en ligne régulières.

• Entretien avec l’Association Polaris

La CDP a eu un entretien en ligne avec Polaris Asso, une association engagée dans la protection, l’autonomisation des femmes et des jeunes dans le monde numérique.  Cette action s’inscrit dans la cadre de la convention signée avec Polaris Asso, et qui vise à renforcer la sensibilisation des jeunes, à protéger les citoyens contre l’utilisation abusive de leurs données personnelles, et accompagner les victimes, en particulier les jeunes femmes et filles, face aux violations de leurs droits en ligne.

• Visite de l’ONG PARADIGM INITIATIVE

Le Président de la CDP, M. Ousmane THIONGANE, a rencontré une délégation de l'ONG Paradigm Initiative (PIN), dirigée par M. Gbenga Sesan, en marge du Forum Ouest-Africain sur la Gouvernance de l'Internet (WAIGF) à Dakar. M. THIONGANE a salué le travail de PIN en faveur des droits numériques et a exprimé le souhait d'un partenariat pour sensibiliser les jeunes Sénégalais aux droits numériques, notamment à travers une campagne nationale dénommée ‘’Connaitre ses droits !  Connaitre ses données personnelles !’’. M. Sesan a manifesté son intérêt pour cette collaboration, proposant également un soutien à la formation et à la recherche de financements pour les activités au Sénégal.

• Visite courtoisie de l’Association Kinsiba

Le Président de la CDP, M. Ousmane THIONGANE a salué l'engagement humanitaire de l'Association KINSIBA, qu’il a reçu en audience le 3 septembre 2024. Il a mis en avant l'importance du soutien psychologique des patients dans la lutte contre le cancer. Il a également insisté sur la nécessité pour l'Association de respecter les normes en matière de protection des données personnelles, notamment les données de santé. La CDP se propose d'accompagner KINSIBA pour assurer la conformité de leurs pratiques à la législation sur la protection des données.

1. Communication à travers les médias

• Communiqué sur la protection des données personnelles des élèves et mineurs

La Commission de protection des Données Personnelles (CDP) a, dans un communiqué, exprimé sa préoccupation face à la diffusion de vidéos d'enfants sur les réseaux sociaux, citant un récent incident impliquant un enseignant ayant filmé une élève en difficulté et partagé la vidéo sans consentement. Elle déplore cette violation des droits à l'image et à la vie privée de l'enfant, rappelant que la diffusion d'images de mineurs, sans autorisation parentale est interdite. La CDP appelle les éducateurs à être plus responsables dans l'usage des technologies et encourage les autorités à renforcer les mesures de prévention et de sanction.

• Intervention dans les médias

La publication de ce communiqué a suscité des sorties dans les organes de presse. Outre les publications sur les quotidiens et sites en ligne, le Président de la Commission de protection des Données Personnelles (CDP), M. Ousmane THIONGANE, s’est exprimé sur les ondes de la radio RFM et de SUD FM après la publication du communiqué de la CDP concernant la diffusion de vidéos de mineurs sur les réseaux sociaux.

Lors de cette interview en wolof, il a appelé à une vigilance accrue de la part de tous les membres de la société pour prévenir de tels agissements. Il a souligné l’importance de préserver la dignité et la vie privée des enfants, en évitant le partage de vidéos ou d’images susceptibles de les exposer à des moqueries ou au cyberharcèlement.

1. Communication sur les plateformes digitales

La Direction de la Communication et des Relations publiques (DCRP) a poursuivi son programme de sensibilisation des internautes mettant particulièrement l’accent sur des vidéos didactiques publiées sur les réseaux sociaux. Des capsules illustratives des règlements juridiques sur la protection des données personnelles ont été régulièrement publiées ainsi que les activités de la Commission de Protection des Données (CDP). Ces publications sur les plateformes numériques de la Commission ont été bien appréciées par le public.

Sur la plateforme de Facebook, nous avons observé une augmentation significative de notre audience et de l’interaction. Nous avons gagné 170 nouveaux abonnés durant cette période, portant notre total à un nombre de 5015. De plus, l’interaction sur notre page a explosé, avec plus de 1 100 personnes s’engageant avec nos contenus, ce qui représente une hausse incroyable de 236,8%. Concernant les visites, près de 3 000 personnes ont visité notre page, ce qui marque une augmentation de 47%.

Dans un souci de sensibiliser un plus grand large public, la CDP a boosté sa présence sur TikTok. Le nombre de followers est passé à 176 abonnés avec un bond impressionnant à l’ouverture du compte. Cette progression témoigne de l’attractivité de nos vidéos et de l’efficacité de notre stratégie de contenu sur cette plateforme émergente.

Sur la plateforme X (ex-Twitter), le nombre de followers est passé de 2979 à 3062 soit une augmentation de 83 nouveaux followers.

Nos plateformes ont également reçu des demandes d’informations, des questions et des demandes d’avis liées à la protection des données personnelles, ainsi que différents manquements quant à l’usage de leurs données personnelles.  Elles ont porté sur la réception de SMS à vocation politique, la mise en place de dispositifs de vidéosurveillance par une université publique.

Les internautes ont été invités à formaliser leurs requêtes en saisissant la CDP, par le biais de son e-mail institutionnel ou en se rendant directement à notre siège.

1. COOPERATION ET PARTENARIAT

1. Au niveau international

• Réunions de la plateforme ‘’Kounlabal‘’

La CDP a pris part aux réunions mensuelles concernant la plateforme de sensibilisation regroupant des autorités de protection africaines ‘’Kounlabal’’. Ces discussions ont porté sur l’élaboration d’un livrable axé sur la sensibilisation :« Guide pratique destiné aux parents/tuteurs et enseignants sur la surveillance de l’utilisation malveillante d’Internet par les enfants ».

Le guide vise à sensibiliser les parents/tuteurs et enseignants afin de les aider à suivre leurs enfants en fonction de leur âge, que ce soit par le dialogue ou par l’élaboration de règles pratiques convenues avec les enfants pour atteindre un équilibre et optimiser les avantages d’internet et prévenir de ses risques.

1. Au niveau africain

• Atelier sur la révision et l’amélioration de l’Acte Additionnel A/SA.1/01/10 sur la protection des données personnelles dans l’espace de la CEDEAO

La Commission de la CEDEAO a organisé, les 17 et 18 juillet 2024 à Abuja, un atelier qui a regroupé onze (11) pays membres, pour le démarrage des travaux de révision l’Acte Additionnel A/SA.1/01/10 sur la protection des données personnelles.

Ainsi, les principales dispositions concernées par la révision portent sur :

• le champ d’application matériel et territorial de l’Acte Additionnel ;
• les principes fondamentaux de protection des données personnelles ;
• la définition de procédures de conformité des responsables de traitement ;
• les transferts de données à l’intérieur et à l’extérieur de l’espace CEDEAO ;
• la création d’un Organe régional en charge de la protection des données personnelles.

1. Au plan national

• Atelier organisé par la GIZ sur la promotion de l’État de droit et de l’accès à la justice en Afrique

La CDP a pris part, le 27 juillet 2024, à l’atelier de restitution sur la promotion de l’Etat de droit et de l’accès à la justice en Afrique dont les discussions tournaient autour des problématiques liées à l’accès à l’information juridique, à la digitalisation de la justice, entre autres. A cet effet, la CDP a eu l’occasion de rappeler l’existence de la loi de 2021 prévoyant la publication des textes légaux et réglementaires en ligne. Elle a également insisté sur la nécessité de mettre en œuvre des mécanismes d’anonymisation pour la publication des décisions de justice.

• Journées de concertation sur la régulation des communications électroniques

La CDP a participé, les 08 et 09 aout 2024, aux Journées de concertation sur la régulation des communications électroniques, rganisées par l’ARTP.

L'objectif de ces journées était de réunir les acteurs de l'écosystème, afin de mener des réflexions et d'émettre des recommandations sur les communications électroniques, l'accès au réseau, la réduction du coût des fréquences, entre autres.

• Atelier d'auto-évaluation de l'environnement des affaires

Cette rencontre, organisée par l'APIX, le 27 Aout 2024, a enregistré la participation de plusieurs entités.  Il était question de finaliser les contributions des administrations dans le cadre des travaux de préparation à la nouvelle évaluation de l'environnement des affaires au Sénégal, dénommées B-ready.

• Atelier de mise à jour du plan d’actions de protection des enfants en ligne (PAPEL)

Cet atelier organisé par le Ministère de la Communication, des Télécommunications et du Numérique (MCTN) s’est tenue les 19 et 20 Septembre 2024. L’Etat du Sénégal avait adopté en 2018 un Plan d’Actions national de protection des enfants en ligne (PAPEL) avec un comité de pilotage pour assurer l’équilibre de la protection des enfants dans le monde numérique, avec comme devoir de les responsabiliser par l’utilisation du mobile et des TIC.

Le MCTN, en partenariat avec l’ONUDC, a organisé un atelier de partage et de mise à jour des initiatives liées au PAPEL.

La CDP a activement participé aux travaux en rappelant sa mission de veille et de sensibilisation. En outre, elle est revenue sur les différentes actions et initiatives qu’elle a menées sur la protection des enfants en ligne.

• Forum du secteur privé de la santé avec la Direction Générale des Etablissements Privés de santé (DEPRS/MSAS)

La CDP a participé aux travaux du forum « Le secteur privé face aux défis de la souveraineté sanitaire et numérique » du 26 au 28 Septembre 2024, organisé par le Ministère de la Santé et de l’Action sociale.

L’objectif de cette activité était d’identifier des stratégies conjointes pour l’amélioration de l’offre de soins du secteur privé en vue d’une souveraineté sanitaire dans l’avancée du pays vers la couverture sanitaire universelle.

En effet des axes ont été dégagés et discutés par différentes commissions constituées par les parties prenantes. La CDP a participé aux travaux de la commission Système d’Information et Digitalisation du secteur privé.

• Atelier de validation du cahier de charge de la digitalisation du carnet de santé de la mère et de l’enfant

La CDP a pris part à l’atelier de validation du cahier de charge de la digitalisation du carnet de santé de la mère et de l’enfant organisé par le Ministère de la Santé et de l’Action Sociale le 02 Juillet 2024.

En tant que partenaire du MSAS, la CPD a rappelé la nécessité pour les équipes du Ministère de la Santé et de l’Action sociale de prévenir les risques liés à la sécurité et la confidentialité des données traitées.