Senegal's CDP Reviews New Data Privacy Threats, Issues Authorizations

(SenePlus) - Dans son Avis trimestriel N°02-2026, couvrant les mois d’avril, mai et juin, la Commission de protection des Données Personnelles (CDP) dresse le bilan de son activité de régulation et donne un aperçu des nouveaux usages des données personnelles au Sénégal. Au total, l’autorité a examiné 195 dossiers au cours de ses deux sessions plénières, délivrant 153 récépissés de déclaration et 39 autorisations de traitement. Derrière ces chiffres se dessine surtout la diversification des traitements soumis au régulateur. Applications mobiles, services financiers numériques, intelligence artificielle, recherche médicale, géolocalisation ou encore vidéosurveillance figurent désormais parmi les dossiers examinés par la CDP. L’autorité a notamment autorisé plusieurs dispositifs liés aux services financiers numériques. Parmi eux figurent le service de fourniture de cartes bancaires prépayées virtuelles et physiques Mastercard d’Orange Money, ainsi qu’un système de prédiction de la solvabilité par SMS proposé par Mobile Cash Mix By Yass. Autre dossier révélateur de cette évolution : la plateforme « Sama Kopar », développée par Innovatech, qui utilise l’intelligence artificielle pour proposer une analyse financière personnelle. L’examen de ce type de dispositif illustre les nouvelles problématiques auxquelles est confronté le régulateur lorsque les données personnelles sont utilisées pour établir des profils, effectuer des analyses ou contribuer à des décisions concernant les individus. Le secteur médical occupe également une place importante dans les décisions prises durant le trimestre. La CDP a notamment autorisé le projet Emprise4, porté par le CRCF, consacré au VIH chez les enfants et les adolescents. Ces dossiers revêtent une sensibilité particulière en raison de la nature des informations traitées. Les données relatives à la santé font partie des informations personnelles les plus sensibles et nécessitent, à ce titre, des garanties renforcées en matière de collecte, de conservation, d’accès et de partage. La CDP a également examiné des projets faisant intervenir la géolocalisation et la vidéosurveillance, y compris dans des situations impliquant le transfert de données vers l’étranger. L’un des dossiers les plus significatifs du trimestre concerne toutefois le rejet d’une demande d’autorisation déposée pour le site internet Arma Care, porté par Actuarial AI Consulting. Le projet visait notamment la gestion dématérialisée des soins, des sinistres et de la facturation médicale. La CDP a refusé l’autorisation en relevant plusieurs insuffisances dans le dispositif présenté. L’autorité a notamment pointé l’absence d’identification suffisamment claire des catégories de personnes concernées, une durée de conservation des données qui n’était pas explicitement définie, ainsi que la possibilité d’accès aux données par des tiers non habilités. Le régulateur a également relevé l’absence de recueil préalable du consentement avant le transfert de données vers un pays tiers. Ce rejet illustre concrètement la manière dont la CDP exerce son rôle de régulation : l’innovation numérique ne dispense pas les responsables de traitement de démontrer que leurs dispositifs respectent les exigences applicables à la protection des données. Au-delà de l’examen des demandes d’autorisation, la CDP a enregistré huit plaintes au cours du trimestre. Les dossiers portent notamment sur des violations de données personnelles, des cas d’usurpation d’identité, du harcèlement, de la diffamation ou encore de la prospection commerciale non sollicitée. Certains dossiers présentant des faits susceptibles de relever de la cybercriminalité ont été transmis à la Division spéciale de cybersécurité (DSC), avec information du Procureur de la République. La CDP a également saisi des plateformes numériques, notamment Meta, dans le cadre de signalements concernant de faux comptes. Ces dossiers montrent que les atteintes aux données personnelles ne relèvent plus uniquement de p