De l’intelligence artificielle appliquée à la finance jusqu’à la numérisation des données médicales, la Commission de protection des Données Personnelles (CDP) a examiné 195 dossiers au cours du deuxième trimestre 2026.

Dans son Avis trimestriel N°02-2026, couvrant les mois d’avril, mai et juin, la Commission de protection des Données Personnelles (CDP) dresse le bilan de son activité de régulation et donne un aperçu des nouveaux usages des données personnelles au Sénégal. Au total, l’autorité a examiné 195 dossiers au cours de ses deux sessions plénières, délivrant 153 récépissés de déclaration et 39 autorisations de traitement.

Derrière ces chiffres se dessine surtout la diversification des traitements soumis au régulateur. Applications mobiles, services financiers numériques, intelligence artificielle, recherche médicale, géolocalisation ou encore vidéosurveillance figurent désormais parmi les dossiers examinés par la CDP.

L’autorité a notamment autorisé plusieurs dispositifs liés aux services financiers numériques. Parmi eux figurent le service de fourniture de cartes bancaires prépayées virtuelles et physiques Mastercard d’Orange Money, ainsi qu’un système de prédiction de la solvabilité par SMS proposé par Mobile Cash Mix By Yass.

Autre dossier révélateur de cette évolution : la plateforme « Sama Kopar », développée par Innovatech, qui utilise l’intelligence artificielle pour proposer une analyse financière personnelle. L’examen de ce type de dispositif illustre les nouvelles problématiques auxquelles est confronté le régulateur lorsque les données personnelles sont utilisées pour établir des profils, effectuer des analyses ou contribuer à des décisions concernant les individus.

Des données de santé particulièrement sensibles

Le secteur médical occupe également une place importante dans les décisions prises durant le trimestre. La CDP a notamment autorisé le projet Emprise4, porté par le CRCF, consacré au VIH chez les enfants et les adolescents.

Ces dossiers revêtent une sensibilité particulière en raison de la nature des informations traitées. Les données relatives à la santé font partie des informations personnelles les plus sensibles et nécessitent, à ce titre, des garanties renforcées en matière de collecte, de conservation, d’accès et de partage.

La CDP a également examiné des projets faisant intervenir la géolocalisation et la vidéosurveillance, y compris dans des situations impliquant le transfert de données vers l’étranger.

Le cas Arma Care

L’un des dossiers les plus significatifs du trimestre concerne toutefois le rejet d’une demande d’autorisation déposée pour le site internet Arma Care, porté par Actuarial AI Consulting.

Le projet visait notamment la gestion dématérialisée des soins, des sinistres et de la facturation médicale. La CDP a refusé l’autorisation en relevant plusieurs insuffisances dans le dispositif présenté.

L’autorité a notamment pointé l’absence d’identification suffisamment claire des catégories de personnes concernées, une durée de conservation des données qui n’était pas explicitement définie, ainsi que la possibilité d’accès aux données par des tiers non habilités.

Le régulateur a également relevé l’absence de recueil préalable du consentement avant le transfert de données vers un pays tiers.

Ce rejet illustre concrètement la manière dont la CDP exerce son rôle de régulation : l’innovation numérique ne dispense pas les responsables de traitement de démontrer que leurs dispositifs respectent les exigences applicables à la protection des données.

Huit plaintes et des cas d’usurpation d’identité

Au-delà de l’examen des demandes d’autorisation, la CDP a enregistré huit plaintes au cours du trimestre. Les dossiers portent notamment sur des violations de données personnelles, des cas d’usurpation d’identité, du harcèlement, de la diffamation ou encore de la prospection commerciale non sollicitée.

Certains dossiers présentant des faits susceptibles de relever de la cybercriminalité ont été transmis à la Division spéciale de cybersécurité (DSC), avec information du Procureur de la République.

La CDP a également saisi des plateformes numériques, notamment Meta, dans le cadre de signalements concernant de faux comptes.

Ces dossiers montrent que les atteintes aux données personnelles ne relèvent plus uniquement de problématiques administratives ou techniques. Elles peuvent également se traduire par des conséquences directes pour les victimes : usurpation d’identité, chantage, menaces ou exposition non consentie d’informations personnelles.

L’activité de contrôle confirme par ailleurs plusieurs difficultés persistantes. Cinq missions de contrôle sur site ont été réalisées durant le trimestre.

Les vérifications ont notamment mis en évidence l’absence de formalisation suffisante de l’exercice des droits des personnes, des traitements non déclarés ainsi que des pratiques problématiques en matière de vidéosurveillance.

L’installation de caméras dans certains espaces collectifs ou bureaux fermés figure notamment parmi les situations ayant retenu l’attention du régulateur.

Pour les entreprises et organismes concernés, l’enjeu ne consiste donc pas seulement à déclarer un traitement à la CDP. Ils doivent également être en mesure de garantir aux personnes concernées l’exercice effectif de leurs droits et de respecter les règles applicables à la collecte et à l’utilisation des données.

Vers une nouvelle étape de la régulation

Face à l’accélération de la transformation numérique, la CDP cherche parallèlement à renforcer son action préventive et partenariale.

Au cours du deuxième trimestre, l’institution a notamment conclu des conventions avec le ministère de l’Éducation nationale pour renforcer la protection des données dans le milieu scolaire et avec l’Observatoire de la qualité des services financiers (OQSF) afin de mieux protéger les usagers des services financiers.

La CDP a également lancé les travaux de son Plan stratégique de développement (PSD) 2026-2028 avec l’appui du Bureau Organisation et Méthodes (BOM).

Sur le plan international, l’institution a poursuivi ses actions de coopération et de renforcement des capacités, notamment à travers des formations de formateurs sur la biométrie avec Interpol, des ateliers consacrés à la gouvernance des données et des échanges avec les autorités homologues du Bénin et du Burkina Faso.

Au total, l’Avis trimestriel N°02-2026 donne à voir une CDP confrontée à des dossiers de plus en plus complexes. L’intelligence artificielle, les services financiers numériques, les données de santé et les dispositifs de surveillance élargissent rapidement le champ de la régulation. Dans le même temps, les plaintes et les contrôles montrent que les atteintes aux données personnelles restent une réalité concrète pour les citoyens.

L’enjeu pour le régulateur est désormais de suivre le rythme de cette transformation numérique tout en faisant respecter les principes de protection des personnes au cœur de son mandat.

(Source : SenePlus, 1er septembre 2026)