Protection des données personnelles : La CDP a traité 195 dossiers au deuxième trimestre 2026

La Commission de protection des Données Personnelles (CDP) a traité 195 dossiers au cours du deuxième trimestre 2026, dont 154 déclarations et 41 demandes d’autorisation. Son avis trimestriel fait également état de huit plaintes, d’un signalement et de plusieurs manquements constatés lors de ses missions de contrôle.

Au cours du deuxième trimestre 2026, la Commission de protection des Données Personnelles (CDP) a poursuivi ses activités de contrôle et de régulation en matière de protection des données personnelles au Sénégal. Selon son avis trimestriel, l’institution a traité 195 dossiers, comprenant 154 déclarations et 41 demandes d’autorisation.

À l’issue des deux sessions plénières tenues durant la période, 153 récépissés de déclaration et 39 autorisations ont été délivrés. La Commission a également décidé de surseoir à la décision concernant deux dossiers et de rejeter un traitement. Deux responsables de traitement ont, par ailleurs, été auditionnés.

Sur les 39 autorisations accordées, les plateformes web arrivent en tête avec 15 autorisations, suivies des bases de données clients avec six autorisations. La CDP a également autorisé des applications mobiles, des sites internet, un système de contrôle d’accès et de pointage biométrique, un service de fourniture de cartes bancaires prépayées virtuelles et physiques Mastercard Orange Money, ainsi que des systèmes de géolocalisation et de vidéosurveillance avec transfert de données vers un pays tiers.

Parmi les traitements autorisés figurent également une plateforme d’analyse financière personnelle avec intelligence artificielle, « SAMA KOPAR », des recherches dans le domaine médical, une plateforme Mobile Trustgate et un système de prédiction de la solvabilité par SMS.

Concernant les récépissés, la vidéosurveillance dans les établissements représente la catégorie la plus importante, avec 102 récépissés délivrés. La CDP fait également état de 13 récépissés concernant la vidéosurveillance chez des particuliers, 12 pour des bases de données clients, sept pour le contrôle d’accès par badge, cinq pour la gestion du personnel, cinq pour les registres des entrées et sorties et quatre pour la gestion des fournisseurs et prestataires.

Deux récépissés ont également été délivrés pour des plateformes web, tandis que les catégories « agence spécialisée pour l’entrepreneur » et « étude statistique » comptent chacune un récépissé.

La Commission a, par ailleurs, rejeté, en l’état, une demande relative au traitement de données personnelles sur un site internet. Le dossier concernait le site internet Arma Care et avait notamment pour finalités de permettre aux assurés de consulter un prestataire de soins du réseau Arma Care sans avancer les frais médicaux, de garantir aux prestataires un paiement immédiat via mobile money, d’assurer la gestion dématérialisée et le suivi des sinistres et des remboursements et de permettre la facturation électronique entre les prestataires de soins et les compagnies d’assurance.

La Session plénière a motivé son rejet par plusieurs éléments, notamment des catégories de personnes concernées par le traitement « non clairement identifiées », une durée de conservation des données « non explicite », l’absence de recueil du consentement avant le transfert des données vers un pays tiers et l’accès aux données par des personnes non habilitées.

La protection des données personnelles a également donné lieu à huit plaintes enregistrées au deuxième trimestre 2026. Les motifs évoqués comprennent notamment la violation de données personnelles, l’usurpation d’identité, le harcèlement, la prospection commerciale non sollicitée, la diffamation, les tentatives d’escroquerie, les chantages et menaces de divulgation ainsi que les insultes et injures publiques.

Plusieurs dossiers ont été transmis à la Direction de la surveillance et du contrôle (DSC), tandis que d’autres ont été clôturés ou sont restés en cours d’instruction. Dans un cas, la CDP a invité la personne concernée à se rapprocher de la police.

Un signalement a également été enregistré. Il concerne une installation de vidéosurveillance à l’intérieur des bureaux d’APRIL OIL, qui aurait été réalisée sans formalités préalables. Dans le cadre de la procédure contradictoire, la CDP a requis des explications auprès de la structure. Le dossier était indiqué comme étant en cours de traitement.

Au cours du deuxième trimestre, la CDP a effectué cinq missions de contrôle, dont trois déclarations normales et deux déclarations simplifiées. Les contrôles ont notamment porté sur la vidéosurveillance, la gestion du personnel, les registres des entrées et sorties ainsi que la gestion des fournisseurs.

À l’Institut Sénégalais de la Boulangerie et de la Pâtisserie (ISBP), la Commission a demandé de formaliser l’exercice des droits des personnes, de désinstaller la caméra de la cuisine et de déclarer les autres traitements auprès de la CDP.

À El Toro SARL « ALKIMIA », elle a demandé de formaliser l’exercice des droits des personnes, de déclarer les autres traitements et d’intégrer le numéro de récépissé sur les panneaux d’information.

À LA FOURCHETTE SARL, les mesures préconisées comprennent notamment la formalisation de l’exercice des droits, la désinstallation de la caméra des bureaux, la réorientation des caméras au niveau de la caisse et de l’accueil ainsi que l’intégration du numéro de récépissé sur les panneaux d’information.

À l’issue des vérifications effectuées lors de ses missions de contrôle, la CDP relève plusieurs manquements récurrents. Il s’agit notamment de l’absence de formalisation de la procédure relative à l’exercice des droits des personnes concernées, notamment le droit d’accès, de rectification et d’opposition.

La Commission relève également la mise en œuvre de traitements de données personnelles sans accomplissement préalable des formalités requises auprès de la CDP. L’installation de caméras de vidéosurveillance dans les salles de réunion et les open space, susceptible de porter atteinte à la vie privée des personnes concernées, figure également parmi les manquements constatés. L’absence de contrat ou de clause de confidentialité encadrant les relations entre les responsables de traitement et leurs sous-traitants est également relevée.

Parallèlement à ses activités de contrôle, la CDP a poursuivi ses actions de communication et de sensibilisation. Elle a notamment organisé, en partenariat avec SOS Villages d’Enfants Sénégal et l’ARONCY, des sessions de renforcement des capacités consacrées à la protection des données personnelles et à la sécurité des enfants en ligne.

La Commission a également participé à la formation des « Bajenu Gox » organisée par JGEN Women Global Entrepreneurship. Ces dernières ont été sensibilisées aux voies et moyens de saisine de la CDP, notamment en cas de violations liées aux données personnelles, avec un accent particulier sur les cyberviolences.

La CDP a par ailleurs participé à plusieurs activités consacrées aux droits numériques, à la gouvernance des données, à la biométrie et à la protection de la vie privée.

Le deuxième trimestre 2026 a également été marqué par la conclusion de plusieurs partenariats institutionnels. Le 9 avril 2026, la CDP et le ministère de l’Éducation nationale ont signé une convention de partenariat visant à renforcer l’éducation au numérique et la protection des données personnelles en milieu scolaire.

Le 2 juin 2026, une convention a été signée avec l’Observatoire de la Qualité des Services Financiers (OQSF), avec l’objectif de placer le citoyen et le consommateur des services financiers au centre des actions de contrôle et de sensibilisation. Du 4 au 6 juin 2026, la CDP a également organisé un atelier de lancement et de cadrage de son Plan stratégique de Développement pour la période 2026-2028.

Sur le plan de la coopération institutionnelle, la Commission a reçu une délégation de la Commission de l’Informatique et des Libertés du Burkina Faso et a participé à l’Assemblée générale du Réseau Africain des Autorités de Protection des Données Personnelles (RAPDP), tenue les 20 et 21 mai 2026.

Elle a également effectué une visite de travail auprès de l’Autorité de Protection des Données Personnelles du Bénin du 16 au 18 avril 2026, qui s’est conclue par la signature d’une convention de partenariat entre les deux institutions.

À travers son avis trimestriel, la CDP rappelle ainsi sa mission de vérifier la légalité de la collecte et du traitement des données personnelles et de s’assurer que les précautions nécessaires sont prises pour leur sécurité. Une exigence résumée par l’institution en ces termes : « S’assurer que tout ce qui permet d’identifier une personne physique soit sécurisé et confidentiel. »