La Commission de protection des Données Personnelles (CDP), autorité administrative indépendante, instituée par la loi n° 2008-12 du 25 janvier 2008, est chargée de vérifier la légalité de la collecte et du traitement des données personnelles des sénégalais et de s'assurer que toutes les précautions sont prises pour qu’elles soient sécurisées.

Dans cette perspective, au cours de ce premier trimestre de l’année 2024, et conformément à son programme annuel d’activités, la CDP a examiné plusieurs dossiers de demande d’autorisation, recueilli des plaintes et rendu visite à des acteurs clés dans le cadre de la protection des informations nominatives au Sénégal.

Ainsi, après délibération des Commissaires de la Session plénière, la CDP publie le présent avis trimestriel qui décrit la situation actuelle de la protection des données personnelles au Sénégal.

1.  COMPTE RENDU DES ACTIVITES DECLARATIVES

Au cours de ce premier trimestre 2024, la CDP a accueilli sept (07) structures venues s’imprégner de la législation sur les données à caractère personnel. 

 La Commission a traité cent-neuf (109) dossiers, dont soixante-onze (71) déclarations, trente-trois (33) demandes d’autorisation et cinq (05) dossiers réinscrits.

A l’issue des deux (02) Sessions plénières tenues à la CDP, soixante-onze (71) récépissés de déclaration et vingt-sept (27) autorisations ont été délivrés. Par ailleurs, la Commission a auditionné quatre (04) responsables de traitement et a décidé de surseoir à la décision de six (06) dossiers. En outre, la Commission a mis en demeure une (01) structure et avertit un (01) responsable de traitement.

La Commission a, en outre, émis des appels à la déclaration, reçu des plaintes, signalements et pétitions :

- Appel à la déclaration : 02

- Plaintes et signalements reçus : 09

- Pétition : 01

1.  Les structures appelées à la déclaration de leurs fichiers et bases de données :

1. Décisions rendues par la Session Plénière :

2.1- Autorisations accordées :

2.2 - Récépissés délivrés : 

2.3 Refus d’autorisation :

                          2.4- Avertissement

2.5 Mise en demeure

1. Questions reçues du grand public

La CDP a reçu des questions du grand public sur les mesures à mettre en œuvre pour la conformité avec la loi n°2008-12 du 25 janvier 2008 portant protection des données à caractère personnel.

1. BILAN DES PLAINTES ET SIGNALEMENTS TRAITES

1 – PLAINTES

2 - SIGNALEMENTS

1. PETITION

III- BILAN DES MISSION DE CONTROLE SUR SITES

En application de l’article 25 de la loi n° 2008-12 du 25 janvier 2008, et de la décision de la Session plénière du 24 juin 2021, la Commission de protection des Données Personnelles (CDP) a décidé d’effectuer une série de missions de contrôle.

L’objet de ces missions est de vérifier que les traitements de données à caractère personnel mise en place par les responsables de traitement respectent les dispositions de la loi n°2008-12 sur la protection de données à caractère personnel. 

Au cours du premier trimestre 2024, la CDP a effectué trois (03) missions de contrôle sur site. Il s’agit de la mission de contrôle auprès de la société Sabadola Gold Opérations (SGO) (SABADOLA), sise à Kédougou, la pharmacie nouvelle Baobabs et l’hôtel Terrou-Bi. Ci-dessous le tableau des missions de contrôle du premier trimestre 2024 :

1. Tableau des missions de contrôle du premier trimestre

• Société Sabadola Gold Operations (SGO) : La mission de contrôle a permis de vérifier la conformité du système de vidéosurveillance, de contrôle d'accès par badge et de la vidéosurveillance embarquée de la société SGO. Cette mission s'inscrit dans le cadre du programme annuel de la CDP visant à contrôler la conformité des systèmes de surveillance et de sécurité des entreprises et organisations.
• Pharmacie Nouvelle Baobabs : Suite à l'installation d'un nombre excessif de caméras à l'intérieur de la pharmacie, la session plénière a demandé d’effectuer une mission de contrôle. Cette mission a permis de vérifier la conformité du système de vidéosurveillance de la pharmacie et de s'assurer du respect des règles relatives à la protection des données personnelles.
• Hôtel Terrou-Bi : La mission de contrôle avait pour objet de vérifier la conformité de l'hôtel Terrou-Bi aux décisions de la CDP. En effet, l'hôtel avait saisi la CDP d'une demande de dérogation relative à son dispositif biométrique de contrôle d'accès et de pointage par reconnaissance faciale. La session plénière de la CDP avait refusé d'accorder la dérogation et avait invité l'hôtel à utiliser un dispositif alternatif, notamment les badges magnétiques. La mission de contrôle a permis de vérifier que l'hôtel Terrou-Bi n'a pas installé de dispositif de reconnaissance faciale, suite aux injonctions de la CDP.

Conclusion

Des manquements ont été relevés lors de ces missions de contrôle. Ces manquements feront l'objet d'échanges et de discussions lors de la session plénière de la CDP pour avis et décision.

IV- BILAN DES ACTIVITES DE COMMUNICATION ET DE SENSIBILISATION

Au cours de ce premier trimestre 2024, la CDP a favorisé les actions de sensibilisation, avec un focus sur la célébration de la Journée mondiale de protection des données personnelles, mais également sur la communication digitale.

1. Communication sur les plateformes digitales

Dans sa mission de sensibilisation, la Direction de la Communication et des Relations publiques a poursuivi, durant premier trimestre de l’année 2024, les publications en capsules illustratives des informations du dernier avis trimestriel 2023, des activités menées par la CDP. Les actualités publiées sur le site internet (www.cdp.sn ) ont été relayées sur les différentes pages des plateformes numériques de la Commission.

Dans le même sillage, notre communauté sur Facebook s'est notamment renforcée, avec une audience de près de 4696 abonnés, affichant ainsi un engagement croissant. Idem sur LinkedIn où nous avons établi des connexions significatives avec près de 2435 professionnels, consolidant ainsi notre présence au sein du réseau professionnel. Sur le réseau social X (ex Twitter), nos publications ont suscité plusieurs réactions et porté le nombre d’abonnés à 2847 abonnés.
 

Les internautes ont utilisé les plateformes en ligne de la CDP pour demander une assistance ou signaler des problèmes liés au traitement de leurs données personnelles. A la fin de ce premier trimestre 2024, la CDP a ainsi reçu 15 signalements portant pour la plupart sur des menaces de diffusion d'images embarrassantes ou de commentaires diffamatoires sur internet. Ces derniers ont également interpellé la Commission sur diverses questions concernant la protection de leurs données de santé, notamment le stockage et la sécurité de leurs informations médicales par des cliniques et des pharmacies sur des ordinateurs. D’autres questions sur la demande de suppression de ces données en cas de besoin, et s'ils ont le droit d'exiger des preuves de cette suppression ont été expliqué par les agents de la CDP dans leurs réponses.

En cas de non-respect de la loi, les internautes ont été encouragés à formellement saisir la Commission de Protection des Données (CDP) en déposant une plainte via le modèle disponible sur le site www.cdp.sn. Pour les situations les plus urgentes, la CPD a préconisé aux internautes de déposer plainte directement auprès de la Police, de la Gendarmerie, ou de la Division de la Cybersécurité.
 

1. Célébration de la Journée mondiale de protection de données personnelles

Le 28 janvier de chaque année marque la Journée internationale de la protection des données. C’est un événement annuel destiné aux personnes intéressées par la protection des données et de la vie privée. Elle vise à sensibiliser et à promouvoir les meilleures pratiques en matière de confidentialité et de protection des données au niveau national et international.

Le « Privacy day » est l’occasion pour les Autorités de protection des données personnelles de discuter des tendances actuelles, des aspects juridiques et pratiques ainsi que des contextes techniques de la confidentialité et de la protection des données. 

La Commission de protection des données personnelle a organisé le mardi 30 janvier 2024 un Webinaire sur le thème : ‘’ Protection des données personnelles et Fintech : enjeux et défis de conformité’’. 

Cette activité qui s’est déroulée en marge de la célébration de la Journée internationale de la protection des données communément appelé ‘’Privacy day’’, a réuni les acteurs tels que les régulateurs que sont la Banque Centrale des Etats de l'Afrique de l'Ouest (BCEAO), l’Autorité de régulation des télécommunications et des Postes (ARTP), l’Observatoire de la Qualité des Services Financiers (OQSF) et enfin la SEN FINTECH, créée en 2022 avec une trentaine de membres qui interviennent dans plusieurs domaines.

 Les panelistes ont débattu des enjeux numériques surtout dans un secteur aussi névralgique que les finances. La protection des données personnelles reste un enjeu majeur dans le secteur de la Fintech (technologies financières), où l'utilisation de données sensibles est omniprésente. Les entreprises de Fintech traitent souvent des informations financières, des données d'identification personnelle, des historiques de transactions, et d'autres données sensibles. La cartographie du secteur jugé quelque peu ouvert a permis de relever un certain nombre de risques en particulier cybercriminels. Outre cela, les risques potentiels notamment la manipulation des données, l’externalisation qui n’est pas encadré, des interconnexions en plus des risques informatiques, les acteurs notent également l’absence d’harmonisation des textes de régulation au niveau sous régional. D’où un plaidoyer pour une co-régulation alliant souplesse, agilité des autorités en charge de la réglementation.

1. La CDP par les médias

Le dernier avis trimestriel de l’année 2023 de la CPD publié au début du mois de janvier 2024 a fait l’objet d’un traitement médiatique de la part des organes de presse de la place. On dénombre une dizaine d’articles parus.

Au cours de ces premiers mois de l’année 2024, l’actualité de la CDP traité dans les médias a été marqué par la nomination du nouveau Président de la CDP, M. Ousmane Thiongane en remplacement de Mme Awa Ndiaye, au terme de son mandat.

M. Ousmane Thiongane, juriste, Conseiller Spécial à la Présidence de la République du Sénégal en charge du numérique occupe désormais les fonctions de Président de la Commission de protection des données personnelles (CDP). Sa nomination intervient avec le renouvellement de certains Commissaires de la Session plénière qui est l’organe délibérant de la CDP.

1. COOPERATION ET PARTENARIAT

1. Au niveau international

Préparation de la 61ème réunion du Bureau consultatif de la convention de 108+

Le Bureau du Comité de la Convention 108 a tenu sa 61ème réunion à Paris du 13 au 15 mars 2024. Au titre de l’ordre du jour, le Bureau consultatif a fait un point sur la situation de la convention 108+ (signatures et ratifications).

Le Bureau a examiné les observations fournies par les membres sur les clauses contractuelles types pour le transfert des données à caractère personnel entre sous-traitant. Il a, également, abordé les aspects liés à la protection des données, y compris biométriques, dans le cadre des élections.

Enfin, le Bureau est revenu également sur l’interprétation de l’article 11 de convention 108+ (exception et restrictions) et sur la protection des données dans le contexte des neurosciences (éthiques et droit nouveaux consacrés).

1. Au niveau africain

Séminaire en ligne : « Protéger les femmes en ligne : combattons ensemble les violences numériques »

La CNDP du Maroc et le comité de contributeurs de la plateforme « Koun3labal » dont la CDP fait partie, ont organisé le mercredi 20 mars 2024, un séminaire en ligne sur la protection des femmes contre les violences numériques. Ce séminaire présidé par le Président de l’Autorité du Maroc, M. Omar Seghrouchni, a enregistré la participation des autorités sœurs tels que l’ANSICE du Tchad, la HAPDP du Niger, l’ARTCI de la Côte d’Ivoire, l’APDP du Bénin et la CIL du Burkina Faso. L’occasion de partager des expériences entre les autorités de protection de données personnelles sur la protection des femmes contre les violences numériques notamment :

• Identification des défis communs et des conséquences psychologiques, émotionnelles et juridiques des violences numériques à l’égard des femmes ;
• Présentation des lois existantes liées aux violences numériques ainsi que les recours juridiques disponibles ;
• Partage de ressources disponibles par chaque autorité pour le soutien psychologique, juridique et technique des femmes victimes de violence numérique ;
• Partage des actions de sensibilisation émises par chaque autorité pour sensibiliser les femmes ;
• Exploration des solutions, en fournissant des conseils et des bonnes pratiques pour prévenir les violences numériques et se protéger en ligne par chaque autorité.

La CDP a fait part de son expérience, en collaboration avec les acteurs étatiques et la société civile, dans la sensibilisation des femmes contre les violences numériques.

 Au plan national

Réunions du Comité de suivi des activités du Sommet Mondial pour la Société de l’Information (SMSI) édition 2024

La CDP a pris part aux réunions du comité de suivi des activités du SMSI pour édition 2024.  L’ordre du jour de la première réunion tournait autour des points suivants :

• Le prix SMSI et l’organisation du concours national
• La mise à jour sur les informations du sommet
• Questions Diverses

L’essentiel des discussions ont porté sur la méthodologie d’évaluation d’une part, et d’autre part, il a été question de définir une approche, puis trouver un consensus sur les barèmes de notation provisoire.

La CDP a saisi cette occasion pour fournir un apport scientifique sur des domaines suivants :

• Orienter le choix sur les critères d’évaluation en rapport avec la protection de vie privée et les données personnelles.
• Identifier les lignes directrices compatibles avec la promotion de la protection des données personnelles et leur sécurité.

Identifier les ODD compatibles avec les droits fondamentaux en soutien à la protection de la vie privée et des données personnelles.

Dans la même foulée, la CDP a assisté à la troisième réunion du comité de suivi des activités du SMSI pour édition 2024 qui s’est tenu le 28 Janvier 2024. La réunion avait pour ordre du jour la Délibération du jury portant sur le prix SMSI et de l’organisation du concours national. Enfin, une dernière réunion du comité de suivi des activités du SMSI a été réorganisée le 14 mars 2024 en ligne. Plusieurs points étaient retenus à l’ordre du jour dont les suivants :

• Présentation du rapport du prix SMSI ;
• Mise à jour du tableau de suivi de la mise en œuvre des lignes d’action du SMSI ;
• Participation au prix de l’innovation digital et du prix de l’innovation pour le vieillissement en bonne santé ;
• Identification de panels pour la participation du Sénégal.

Les points de discussions ayant fait l’objet d’analyse mutuelles et concertées sont les suivants :

• Définir une approche consensuelle sur la façon de rendre audible et compréhensible les actions menées par le Sénégal
• Chercher des sponsors ou Contributed Partners pour les lauréats du concours national pour le prix SMSI et le concours photos SMSI
• Intérêt pour le Sénégal dans sa participation au panel de haut niveau.

Plusieurs points ont été soulevés au cours des discussions, notamment la question de cybersécurité qui constitue une des thématiques retenues pour le panel de haut niveau qui se tiendra durant le sommet SMSI 2024. C’est à ce titre que la CPD a rappelé la nécessité de soutenir les stratégies de cybersécurité. Car celle-ci constitue un volet important dans la gouvernance de l’écosystéme numérique y compris dans la politique de protection des données personnelles, levier sur lequel repose désormais plusieurs axes ODD.

1. POINT DES REUNIONS SUR DES PROJETS IMPORTANTS

Plateforme d'interopérabilité des Systèmes d'Information de l'Administration

Le mercredi 14 février 2024, un atelier passionnant sur la Plateforme d'Interopérabilité des Systèmes d'Information de l'Administration du Sénégal s'est tenu avec succès dans les locaux de SENUM SA. Le projet " Doolel Admin", mis en place dans le cadre du partenariat Sénégalo-Allemand, vise à développer un prototype de plateforme permettant l'interopérabilité des systèmes d'information de l'Administration sénégalaise. Cette plateforme permettra de faciliter l'échange de données entre les administrations et d'améliorer la collaboration entre les services.

La CDP a joué un rôle actif dans le projet en participant aux travaux du comité de pilotage et en contribuant à la définition des exigences de sécurité de la plateforme.

Atelier 5G pour les Forces de Défense et de Sécurité

L'atelier 5G pour les forces de défense et de sécurité (FDS) a été organisé pour explorer les opportunités offertes par la 5G dans le domaine de la défense et de la sécurité. L'atelier a permis d'identifier les cas d'utilisation potentiels de la 5G et d'élaborer une feuille de route pour son déploiement au sein des FDS.

Atelier de partage des connaissances pour le renforcement des capacités des services d’enquête et de lutte contre la cybercriminalité dans le domaine des services de mobile money

Les 14 et 15 février 2024 la Division spéciale de la Cybersécurité (DSC) a organisé, en collaboration avec Wave Digital Finance, un atelier de partage avec les Forces de défense et de sécurité, et les sociétés de transfert d’argent sur les actions de lutte contre la cybercriminalité dans le domaine des Fintech.

La CDP a participé à l’atelier pour revenir sur les enjeux de la protection des données personnelles dans les services de mobile money. A ce titre, la CDP est revenue sur la nécessité pour les entreprises de mobile money d’assoir des politiques de protection des données personnelles des clients.  Par ailleurs, les Forces de défense et de sécurité ont été sensibilisées par la CDP sur la gestion des données personnelles des clients, collectées à l’occasion des enquêtes des infractions liées aux services de mobile money.

Atelier du Comité Technique du Secrétariat général du Gouvernement sur le projet de loi relatif à l’introduction des procédés informatiques dans la gestion de l’état civil

La CDP a pris part, du 07 au 09 mars 2024, à l’atelier du Comité technique du Secrétariat général du Gouvernement sur le projet de loi relatif à l’informatisation de l’état civil. Les participants ont échangé sur les dispositions du projet de loi, notamment sur l’encadrement juridique de la dématérialisation des procédures d’enregistrement des faits d’état civil, de demandes et délivrance d’actes d’état civil.  Le Comité technique a validé le projet de loi, qui sera transmis à la CDP pour avis.

CONCLUSION

Le premier trimestre de l’année 2024 est marqué par l’augmentation du nombre d’auditions de responsables de traitement par la Session plénière de la CDP. Les auditions constituent un levier de contrôle de la conformité des traitements, que la Session plénière utilise pour prendre des décisions éclairées sur certains dossiers assez sensibles, ou projets stratégiques de l’État.

Par ailleurs, la Session plénière a accordé une attention particulière aux transferts de données personnelles en dehors du Sénégal, notamment pour des traitements concernant l’Administration. C’est à ce titre que les entités publiques effectuant des transferts de données vers des pays tiers ont été auditionnées durant ce trimestre, en vue de les amener à héberger au Sénégal, les données personnelles qu’elles traitent.

Sur le volet du contentieux, le premier trimestre a été marqué par des plaintes et signalements portant sur des fuites de données personnelles, ainsi que sur la prospection à caractère politique.  Enfin, sur les missions de contrôle, la CDP a démarré les missions prévues, au titre du planning de 2024.