Avis Trimestriel N°02-2015 de la Commission de Protection des Données Personnelles du Sénégal (CDP)

Le présent avis trimestriel de la CDP concerne la période allant du 1er avril au 30 juin 2015. Il décrit les activités au sein de la Commission et les constats sur le traitement des données personnelles par les acteurs des secteurs public et privé au Sénégal.

La Commission publie ainsi ledit avis trimestriel conformément à l’article 43 de son Règlement intérieur et après en avoir délibéré en sa séance plénière du 10 juillet 2015.

1 – Compte rendu des activités :

Au cours de ce deuxième trimestre 2015, la CDP a constaté une meilleure prise de conscience des responsables de traitement. En effet, 38 structures se sont rapprochées de l’Autorité de protection afin de mieux s’imprégner de la législation et de connaitre leurs obligations déclaratives.

La Commission a traité 134 dossiers dont 89 déclarations et 45 demandes d’autorisation. A l’issue des 06 sessions plénières, les commissaires ont délivré 54 récépissés de déclaration et 28 autorisations.

Au titre des signalements et des plaintes, la CDP a enregistré l’usage illégitime de numéros courts, une arnaque sur le réseau d’un opérateur de télécommunications, la collecte non autorisée d’empreintes digitales dans un système financier décentralisé, la diffusion de fausses nouvelles, l’arnaque et le chantage sur le net, l’utilisation abusive et sans autorisation de photos et la publication dans la presse de données personnelles d’employés sans leur consentement. Ces cas d’atteinte à la vie privée ont donné lieu à des demandes d’explication qui ont abouti à des déclarations et régularisations devant la CDP. Par ailleurs, la CDP a prononcé un (01) avertissement à l’endroit d’une structure pour envoi répété de courriels et de SMS non sollicités sans mise à disposition d’une possibilité de désabonnement fonctionnel.

Dans le cadre de sa mission de sensibilisation, la Commission a initié des visites de courtoisie auprès d’acteurs institutionnels. C’est ainsi qu’elle a été reçue par la Cellule Nationale de Traitement des Informations Financières(CENTIF), l’Agence nationale de la Banque Centrale des Etats de l’Afrique de l’Ouest(BCEAO), l’Office national de Lutte contre la Fraude et la Corruption(OFNAC) et en fin le Conseil Economique Social et Environnemental(CESE). De même, la phase pilote de la campagne de sensibilisation ‘’Internet, c’est moi qui décide’’ a été lancée en partenariat avec la société Computech Groupe au sein d’établissements secondaires de Dakar.

Enfin, la CDP a organisé un Forum africain sur la protection des données personnelles (FAPDP 2015) à Dakar les 19 et 20 mai 2015. Cet évènement a enregistré la participation de plus de 350 personnes dont des autorités de protection de 13 pays africains (33 délégués), le Conseil de l’Europe et l’Association francophone des autorités de protection des données personnelles (AFAPDP).

2 – Observations /constats :

A l’examen des dossiers reçus à la CDP, des manquements ont été relevés dans le traitement des données personnelles de quelques structures.

Du point de vue juridique, on note :

• l’installation dans un lieu de travail d’un nombre disproportionné de caméras de surveillance ;
• le non-respect des conditions de la prospection directe notamment, les droits des personnes concernées (consentement, opposition, etc.) ;
• le non accomplissement des  formalités déclaratives devant la CDP préalables au traitement des données ;
• la durée illimitée de conservation des données traitées ;
• l’absence d’engagement de confidentialité entre le responsable de traitement et son sous-traitant.

Sur le plan technique, la pratique de l’externalisation reste une préoccupation pour la Commission. Cette situation constitue un défi supplémentaire pour la protection des données en ce sens que le responsable de traitement n’a plus le total contrôle de son système d’information.

Concernant le traitement des données sensibles comme les données de santé et la biométrie, les responsables de traitement devraient mettre une authentification forte au lieu de recourir simplement à un login et un mot de passe.

Enfin, il a été relevé dans certaines structures, l’absence de politique formalisée d’accès aux données et de mécanismes de sensibilisation des usagers sur les mesures de sécurité mises en place. Il est important que de telles dispositions soient prises par le responsable de traitement conformément à l’article 71 de la loi n° 2008-12 du 25 janvier 2008 portant sur les données à caractère personnel et la délibération n°2014–014/CDP du 3 avril 2014 portant sur les mesures de sécurité applicables aux traitements des données à caractère personnel.

3 – Recommandations :

Au regard des constats à l’examen des dossiers instruits, la CDP formule au profit de toutes les parties prenantes, les responsables de traitement du secteur public, du secteur privé, des organismes de la société civile et autres acteurs, les recommandations suivantes :

• Préciser le lieu exact (ville ou pays) de stockage du serveur contenant les données selon qu’il appartient à la structure ou à l’hébergeur (serveur mutualisé, serveur dédié);

• Signer obligatoirement un engagement de confidentialité en cas d’intervention d’un tiers dans le système mis en place afin d’augmenter le niveau de sécurité des données;

• Utiliser un langage codé et accessible uniquement au corps médical pour les dossiers de santé et mettre en place une authentification forte dans le cadre de la collecte de données de santé ;

• Informer les personnes concernées de la présence de caméras de vidéosurveillance (affiches avec indication du numéro du récépissé de la CDP, panneau de signalement) et veiller à positionner les caméras uniquement sur les parties communes et s’assurer que les parties privées ne soient pas filmées;

• Désinscrire gratuitement et systématiquement, dans le cadre de la prospection commerciale, les personnes qui en font la demande avec effet immédiat ;

• Veiller à assurer une protection des données transférées dans des serveurs à l’étranger en mettant en place des mécanismes de sauvegarde et de réplication/duplication;

• Recueillir le consentement, libre et éclairé des personnes qui font l’objet de prospection, tout comme le consentement des personnes concernées avant toute publication ou communication à des tiers de leurs données personnelles (photos, vidéos, etc.) ;

• Ne pas publier dans la presse des décisions individuelles mettant en cause les employés/salariés sans leur consentement ;

• Saisir la CDP pour la suppression de tout contenu pouvant nuire à la réputation des personnes ;

• Etre prudent sur les informations à communiquer sur les réseaux sociaux ;

• Se rapprocher de la CDP pour une meilleure connaissance de la législation sénégalaise sur la protection des données personnelles.

La Commission de Protection des Données Personnelles du Sénégal (CDP)
www.cdp.sn