La Commission de protection des données personnelles (CDP), Autorité administrative indépendante (AAI), instituée par la loi n° 2008-12 du 25 janvier 2008, est chargée de vérifier la légalité de la collecte et du traitement des données personnelles des sénégalais et de s’assurer que toutes les précautions sont prises pour qu’elles soient sécurisées. Elle a, au cours de ce trimestre, traité 51 dossiers dont 28 déclarations et 23 demandes d’autorisation, portant sur la vidéosurveillance ; les Base de données clients ; les Bases de données du personnel ; les Jeux sms ; les Sites Internet ; la Biométrie ; le Cloud ; les Plateformes de transfert d’argent et les Enquêtes.

Dans cette perspective, au cours de ce premier trimestre de l’année 2016, et conformément à son programme d’activités annuel, la CDP a lancé plusieurs appels à la déclaration aux responsables de traitements des secteurs public et privé, examiné plusieurs dossiers de demande d’autorisation, reçu des plaintes et rendu visite à des acteurs clés dans le mécanisme de protection des informations nominatives au Sénégal.

Ainsi, conformément à l’article 43 du Règlement intérieur de la Commission, et après en avoir délibéré en sa séance plénière du 03 Juin 2016, la CDP rend public le présent avis trimestriel qui décrit la situation actuelle de la protection des données personnelles au Sénégal.

1 – Compte rendu des activités

Au cours de ce premier trimestre, la CDP a reçu 26 structures qui sont venues s’imprégner de la législation sur les données personnelles et connaitre leurs obligations déclaratives.

La Commission a traité 51 dossiers dont 28 déclarations et 23 demandes d’autorisation portant sur :

• La vidéosurveillance ;
• Les Base de données clients ;
• Les Bases de données du personnel ;
• Les Jeux sms
• Les Sites Internet
• La Biométrie ;
• Le Cloud ;
• Les Plateformes de transfert d’argent ;
• Les Enquêtes

A l’issue des 04 sessions plénières tenues à la CDP, 26 récépissés de déclaration et 16 autorisations ont été émis.

26 récépissés de déclaration délivrés

16 autorisations accordées

(Demande d’autorisation modificative)

Au titre des signalements et des plaintes, la CDP a enregistré trois (03) SMS de prospection sans autorisation et un (01) déploiement de vidéosurveillance sans information préalable. Ces cas d’atteinte à la vie privée ont donné lieu à des demandes d’explication qui ont abouti à des déclarations et régularisations devant la CDP. Par ailleurs, la CDP a prononcé une (01) mise en demeure à la société ABDXMEDIA pour manquements à la législation sur la protection des données personnelles.

1 refus de délivrance de récépissé de déclaration

Structure : ABDXMEDIA
Dénomination du traitement : Site web abdxmedia.com qui présente les formations proposées et organisées, image des participants
Motifs du rejet :

– la collecte déloyale des données personnelles à partir de recherches d’adresses sur des pages web et réseaux sociaux ;
– l’absence d’information préalable des personnes concernées par la collecte de leurs données personnelles et de la finalité de ladite collecte ;
– l’envoi de courriers électroniques de prospection commerciale en violation des exigences légales en matière de prospection directe.

N° de délibération : 2016-00302/CDP – Session plénière du 19 Février 2016
Autres observations : En application des articles 29.2 et 31.3 de la loi n°2008-12, la CDP met en demeure la société ABDXMEDIA

01 plainte

03 signalements

2- Volet sensibilisation, Relations extérieures et collaboration avec d’autres organismes

La CDP a, comme à son habitude, mené des actions de communication dans le but de promouvoir et faire mieux connaitre la législation sur les données personnelles.

L’Institut de Recherches pour le Développement (IRD) a reçu le Mardi 12 Janvier 2016 une délégation de la Commission de protection des Données Personnelles (CDP) pour une journée de sensibilisation axée sur le traitement des données personnelles à des fins scientifiques.

La CDP a célébré à l’instar de la communauté internationale la Journée mondiale de la protection des données à caractère personnel le Jeudi 28 Janvier 2016. Une occasion mise à profit pour recevoir dans ses locaux le représentant de Google Afrique Francophone qui a animé un débat sur le thème ‘’les services de Google et la protection des données personnelles’’ avec comme invités les étudiants des principaux instituts supérieurs d’enseignement de Dakar. A cet effet, la CDP a publié une délibération portant sur la vidéosurveillance.

Au lendemain de la passation de service entre le Président sortant, Dr Mouhamadou Lo et Mme Awa Ndiaye, la nouvelle Présidente, cette dernière a entamé une série de visites à des acteurs majeurs dont l’ARTP et l’ADIE. Ceci dans le but de développer des partenariats pour la réussite des missions de la CDP.

La Présidente de la CDP, Mme Awa Ndiaye a également pris part le 10 Mars 2016 à la cérémonie de lancement de l’Autorité de Protection des Données Personnelles du Mali (APDP). Occasion d’entretenir les autorités de protection sœurs des avancées sur la mise en place du Réseau africain des autorités de protection des données personnelles.

La CDP a assisté aux journées de la cybersécurité, les ‘’Security Day’’, les 15 et 16 mars, organisées par Kubuk et l’Ambassade de France et qui ont connu un grand succès. Enfin, la CDP a accueilli des membres de l’Autorité Malienne de Protection des Données Personnelles(APDP) pour une formation axée sur le volet juridique et technique des traitements des données personnelles.

3 – Observations/Constats

A la lumière de l’instruction des dossiers traités, il a été relevé différents manquements à la législation :

• la collecte déloyale des données personnelles à partir de recherches d’adresses sur des pages web et réseaux sociaux ;
• l’absence d’information préalable des personnes concernées par la collecte de leurs données personnelles et de la finalité de ladite collecte ;
• l’envoi de courriers électroniques de prospection commerciale sans le consentement des personnes concernées ;
• l’utilisation d’une base de données non déclarée à des fins de prospection ;
• la durée inexacte de conservation des données traitées ;
• l’installation d’une caméra dans une cuisine d’un restaurant ;
• le déploiement d’un système de vidéosurveillance non déclaré ;
• la publication de photo dans un réseau social sans le consentement de la personne concernée ;
• L’absence d’un engagement de confidentialité du sous-traitant vis-à-vis du responsable de traitement.

Recommandations

Se basant sur les dossiers traités, la CDP formule à l’intention des responsables de traitement des secteurs public et privé, des organismes de la société civile ainsi que de tous les autres acteurs, les recommandations suivantes :

• Ne pas installer de caméras de surveillance sur un poste de travail et dans des lieux privés ;
• Demander le consentement des personnes et les informer préalablement à la collecte de leurs données personnelles sur les réseaux sociaux (Facebook, Twitter, LinkedIn, Viadeo, etc.) sur des pages web à des fins de prospection commerciale ;
• Mettre à la disposition des prospects un canal de désinscription simple et gratuit à toute campagne de prospection ;
• Déclarer préalablement toute base de données destinée à la prospection directe et se conformer à la délibération n°2014-20 du 30 mai 2014 sur les conditions de la prospection directe publiée sur le site Internet de la CDP ;
• Définir une durée limitée de conservation des données traitées ;
• Signer un engagement de confidentialité avec les sous-traitants ;
• Déclarer tout système de vidéosurveillance avant son déploiement.

(Source : CDP, juin 2016)