LA COMMISSION DE PROTECTION DES DONNEES PERSONNELLES DU SENEGAL (CDP), réunie en session plénière, le 22 décembre 2022 sous la présidence de Madame Awa NDIAYE, Présidente :

VU la loi n° 2008-12 du 25 janvier 2008 portant sur les données à caractère personnel ; VU la loi n° 2008-08 du 25 janvier 2008 sur les transactions électroniques ;

VU le décret n° 2008-721 du 30 juin 2008 portant application de la loi n°2008-12 du 25 janvier 2008 portant sur les données à caractère personnel susvisée ;

VU la délibération modificative n°2016-00230/CDP du 26 aout 2016 portant règlement intérieur de la Commission de protection des Données Personnelles (CDP) ;

VU le procès-verbal de la session plénière du 22 décembre 2022 de la Commission de protection des Données Personnelles.

FIXE, PAR LA PRESENTE DELIBERATION, LES REGLES A RESPECTER POUR LE TRAITEMENT DE DONNEES A CARACTERE PERSONNEL A DES FINS DE PROSPECTION POLITIQUE

I.            Objet

Conformément à l’article premier de la loi n° 2008-12 du 25 janvier 2008 portant sur la protection des données à caractère personnel, tout traitement de données personnelles, sous quelque forme que ce soit, doit respecter les libertés et droits fondamentaux des personnes physiques.

La Commission de protection des Données Personnelles (CDP) veille au respect de la loi précitée.

Ainsi, la présente délibération a pour objet de fixer les règles applicables aux traitements de données à caractère personnel, mis en en œuvre à des fins de prospection politique.

II.           Champ d’application

2.1         La présente délibération encadre les traitements de données à caractère personnel mis en œuvre à des fins de prospection politique :

-             par un parti politique ou une coalition de partis ;

-             par un candidat indépendant à des fonctions électives ;

-             par tout organisme, association ou mouvement politique.

2.2         Est exclu de la présente délibération toute activité de prospection à caractère politique, qui vise directement les membres ou militants d’un parti politique, d’une coalition de partis, de tout organisme, association ou mouvement politique.

III.         Définitions

Au sens de la présente délibération, on entend par :

Prospection politique : toute sollicitation effectuée au moyen de l’envoi de message, quel qu’en soit le support, destinée à promouvoir l’image, les activités et programmes politiques, d’un candidat indépendant, d’un parti politique, d’une coalition de partis, de tout organisme, association ou mouvement politique, ou à recueillir le soutien électoral.

Responsable de la prospection politique : tout parti politique, coalition de partis, candidats indépendants, candidats officiels de partis politiques et tout organisme ou mouvement politique, qui collectent et traitent des données à caractère personnel à des fins de prospection politique.

Sous-traitant de la prospection politique : toute personne physique ou morale qui traite des données à caractère personnel, à des fins de prospection politique, pour le compte du responsable du traitement, ou qui fournit des outils et logiciels de traitement des données pour les finalités susmentionnées.

IV.         Respect des principes de traitement

4.1         Finalités du traitement

En application de l’article 35 de la loi n°2008-12 du 25 janvier 2008 portant sur les données à caractère personnel, les fichiers ou bases de données établis pour des finalités non politiques, ne peuvent être traités ultérieurement à des fins de prospection politique que lorsque les personnes concernées ont dûment été informées et leur consentement recueilli.

Il est proscrit le détournement de finalité des fichiers, registres et bases de données contenant des données à caractère personnel, de nature commerciale, administrative et sociale, pour leur réutilisation à des fins de prospection politique.

4.2         Consentement préalable des personnes concernées

En application de l’article 47 de la loi n°2008-12 précitée et de l’article 16 de la loi n°2008-08 du 25 janvier 2008 sur les transactions électroniques, il est interdit de procéder à la prospection directe, quel qu’en soit l’objet et sous quelque forme que ce soit, notamment par SMS, par courrier électronique, par téléphone, par automate d’appel ou sur les réseaux sociaux, sans le consentement préalable, libre et éclairé de la personne concernée.

Le responsable de la prospection politique doit être en mesure de prouver qu’il a recueilli formellement le consentement préalable des prospects.

Toute prospection de nature politique doit respecter le principe de consentement préalable, libre et éclairé de la personne concernée, dans les conditions suivantes :

-             Lorsque le responsable de la prospection politique collecte les données personnelles directement auprès de la personne concernée, celle-ci doit être clairement informée de la finalité de prospection et donner son consentement spécifique et non équivoque ;

-             Lorsque le responsable de la prospection politique ne collecte pas les données personnelles directement auprès de la personne concernée, mais auprès d’autres sources, notamment des courtiers en données, il doit informer la personne concernée au préalable de l’origine des données et recueillir son consentement avant tout envoi de messages de prospection politique.

-             Lors des opérations de parrainage pour des élections, les données personnelles des parrains collectées aux seules finalités de parrainage ne peuvent être traitées ultérieurement, à des fins de prospection politique que si les personnes concernées ont expressément donné leur consentement.

4.3         Licéité et loyauté de la collecte

Conformément à l’article 34 de la loi n°2008-12 précitée, la collecte de données personnelles auprès des électeurs ou potentiels électeurs, à des fins de prospection politique doit s’effectuer de manière licite, loyale et non frauduleuse, notamment dans les conditions suivantes :

-             Lorsqu’ils font campagne en personne en porte à porte, les militants doivent s’assurer qu’ils collectent et utilisent les données personnelles conformément à la législation en vigueur.

Les militants doivent être transparents quant aux objectifs de prospection politique, pour lesquels ils recueillent des données personnelles et ne collecter que les données strictement nécessaires à ces objectifs.

-             Avant d’utiliser les données venant de courtiers en données, les candidats, partis, coalitions de partis, et les mouvements politiques doivent vérifier, avec toute la diligence nécessaire, que les données ont été obtenues de façon licite et non frauduleuse et informer les personnes concernées de la finalité de la prospection politique.

4.4          Proportionnalité des données

Conformément à l’article 35 de la loi 2008-12, les données personnelles collectées à des fins de prospection politique doivent être pertinentes et non excessives au regard des finalités poursuivies.

Le responsable de la prospection politique doit se limiter à collecter les seules données nécessaires à identifier le prospect et envoyer le message objet de la prospection.

Dans le cadre des opérations de prospection politique, il est proscrit la collecte de toute donnée relative aux opinions et appartenance politiques, à l’ethnie, à la race et à la religion.

Pour les finalités de prospection politique, les catégories de données suivantes sont autorisées à être collectées :

-             Identification : prénom et nom ;

-             Adresse ;

-             Sexe ;

-             Tranche d’âge ;

-             Coordonnées : numéro de téléphone et adresse e-mail ;

-             Numéro d’identification nationale.

V.          Respect des droits des personnes

• Droit à l’information

La personne dont les données sont traitées à des fins de prospection politique, doit être clairement informée, de la finalité, des catégories de données concernées, des destinataires et de son droit d’opposition gratuit et sans motifs. L’origine des données doit être également communiquée en cas de collecte indirecte.

Elle doit aussi être informée du ou des moyens de communication à utiliser (SMS, courrier électronique, appel téléphonique, automate d’appel, etc.).

Ces informations doivent être fournies au plus tard lors de la collecte, en cas de collecte directe, ou dès la première prise de contact avec la personne, en cas de collecte indirecte.

• Droit d’accès

La personne dont les données sont utilisées à des fins de prospection politique, disposent d’un droit d’accès à ces données peut exercer directement auprès du responsable de traitement ou de son sous-traitant.

• Droit d’opposition

La personne destinataire des messages de prospection politique a le droit de s’opposer gratuitement et sans justification à la réception de sollicitation, et à la communication de ses données à des tiers pour les mêmes finalités.

• Droit de modification et de suppression

Les personnes concernées ont le droit d'exiger du responsable de la prospection politique ou de son sous-traitant que leurs données soient rectifiées, complétées ou supprimées.

Le responsable de la prospection politique ou son sous-traitant doivent informer les prospects des mesures mises en œuvre et présenter la preuve de la suppression des données.

• Délai de traitement des demandes

Les demandes d’accès, d’opposition, de rectification et de suppression doivent être traitées dans un délai qui ne peut excéder quinze (15) jours.

VI.         Conservation des données

En vertu de l’alinéa 3 de l’article 35 de la loi n° 2008-12 précitée, les données doivent être conservées pendant une durée nécessaire à la période de la campagne de prospection politique, qui ne peut excéder six (06) mois.

Au-delà de cette durée les données du prospect doivent être supprimées ou archivées.

Lorsque le responsable de la prospection politique souhaite traiter les données au-delà de la durée de conservation, le prospect doit préalablement être informé et son consentement recueilli.

VII.        Recours aux services d’un sous-traitant

7.1         Aux termes de l’article 39 de la loi n° 2008-12, lorsque le traitement est mis en œuvre pour le compte du responsable du traitement, celui-ci doit choisir un sous- traitant qui apporte des garanties suffisantes. A ce titre, un engagement écrit doit lier le sous-traitant au responsable du traitement, qui prévoit notamment que le sous- traitant n’agit que sur la seule instruction du responsable du traitement.

Il incombe au responsable du traitement ainsi qu’au sous-traitant de veiller au respect des mesures de sécurité définies à l’article 71 de la loi n° 2008-12.

7.2         Lorsqu’un candidat, un parti, une coalition de partis ou un mouvement politique fait appel à une personne physique ou morale spécialisée pour réaliser des actions de prospection politique, ce prestataire doit présenter des garanties suffisantes pour assurer la sécurité et la confidentialité des données.

Un engagement de confidentialité doit être signé par le sous-traitant.

7.3         Lorsque le sous-traitant prévoit de faire appel à un autre sous-traitant, il doit informer et recueillir l’autorisation préalable du responsable de la prospection politique.

7.4         Le sous-traitant doit se garder de conserver une copie des données collectées et doit restituer toutes les données recueillies au responsable de traitement selon les modalités garantissant la sécurité et la confidentialité des données.

VIII.       Mesures de sécurité et de confidentialité

8.1         Conformément aux articles 70 et 71 de la loi n° 2008-12, le responsable du traitement est tenu de prendre toute précaution utile au regard de la nature des données, notamment, pour empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisés y aient accès.

8.2         L’accès aux données collectées doit être limité aux personnes habilitées à accéder aux données des prospects.

8.3         Les outils, logiciels et plateformes de collecte, de traitement des données et d’envoi des messages de prospection doivent présenter des garanties nécessaires pour assurer la sécurité et la confidentialité des données.

IX.         Formalités préalables auprès de la CDP

Les fichiers sous support papier ou informatique, contenant des données à caractère personnel, régulièrement constitués à des fins de prospection politique, doivent faire l’objet d’une déclaration préalable auprès de la Commission de protection des Données Personnelles (CDP).

IX.         Dispositions finales

A compter de sa date de publication, toute activité de prospection politique doit être mise en œuvre conformément à la présente délibération.