Derrière les chiffres globalement positifs de son activité de régulation, l’avis trimestriel de la Commission de protection des données personnelles pour la période avril-juin 2026 met surtout en lumière une série de dérives préoccupantes. Un site dédié à la santé recalé pour défaut de garanties, une entreprise pétrolière et plusieurs sociétés épinglées pour des caméras installées sans formalités, des plaintes pour chantage, usurpation d’identité et prospection abusive contre Sonatel : la Commission n’a pas hésité à sanctionner ou à mettre en demeure plusieurs structures au cours du trimestre.
Arma Care recalé pour de graves manquements sur les données de santé
Le cas le plus sévère du trimestre concerne le site internet Arma Care, porté par Actuarial AI Consulting. Ce service, censé permettre aux assurés de consulter des prestataires de soins sans avancer les frais médicaux et de dématérialiser la gestion des sinistres et remboursements, a essuyé un rejet pur et simple de sa demande d’autorisation. La session plénière de la Cdp a relevé des failles jugées particulièrement graves s’agissant de données aussi sensibles que celles de santé : les catégories de personnes concernées par le traitement n'étaient pas clairement identifiées, la durée de conservation des données restait non explicite, aucun consentement n’avait été recueilli avant le transfert des données vers un pays tiers, et l’accès aux informations était ouvert à des personnes non habilitées.
April Oil épinglée pour une vidéosurveillance installée en catimini
La Commission a également reçu un signalement visant la société April Oil, mise en cause pour avoir installé des caméras de vidéosurveillance à l’intérieur de ses bureaux sans accomplir la moindre formalité préalable. Conformément à la procédure contradictoire, la Cdp a exigé des explications de la structure ; le dossier demeure en cours de traitement.
Sonatel visée pour prospection non sollicitée…
Sur les huit plaintes enregistrées durant le trimestre, plusieurs révèlent des faits graves. Sonatel fait l’objet d’une plainte pour prospection commerciale non sollicitée, actuellement en cours d’instruction après sa saisine par la Commission. Un dossier de chantage assorti de menaces de divulgation a été transmis à la Division spéciale de cybersécurité pour enquête, de même qu’une plainte pour usurpation d’identité, dans laquelle Meta a été saisi pour signalement. Une autre plainte, mêlant violation de données, diffamation et tentative d’escroquerie, a conduit la Commission à informer directement le procureur avant la clôture du dossier. Un cas de violation de données personnelles assorti de harcèlement a lui aussi été transmis à la cybersécurité avec information du parquet. Le cabinet LPS Lawyers a par ailleurs saisi la Cdp contre une structure désignée sous les initiales B.M.T, pour l’installation non conforme d’un système de vidéosurveillance ; celle-ci a été mise en demeure de se conformer à la réglementation, le dossier restant en cours d’instruction.
Trois entreprises de restauration rappelées à l’ordre
Les missions de contrôle menées par la Cdp ont débouché sur des injonctions précises à l’encontre de plusieurs structures. L’Institut sénégalais de la boulangerie et de la pâtisserie a été sommé de désinstaller une caméra placée en cuisine, jugée intrusive, et de formaliser l’exercice des droits des personnes concernées. La société El Toro, qui exploite la marque Alkimia, a été rappelée à l’ordre pour n’avoir pas déclaré l’ensemble de ses traitements de données. La Fourchette Sarl a quant à elle été enjointe de désinstaller une caméra installée dans ses bureaux et de réorienter celles placées en caisse et à l’accueil, deux emplacements jugés à risque pour la vie privée du personnel. Huawei Technologies Sénégal et la succursale sénégalaise de la banque béninoise Nsia ont également été invitées à régulariser plusieurs traitements non déclarés, portant notamment sur la gestion du personnel et des fournisseurs.
Ces contrôles ont mis au jour des manquements jugés récurrents et préoccupants par la Commission : l’absence de formalisation des procédures relatives à l’exercice des droits d’accès, de rectification et d’opposition, la mise en œuvre de traitements de données sans formalités préalables auprès de la Cdp, l’installation de caméras dans des salles de réunion et des espaces ouverts susceptibles de porter atteinte à la vie privée des employés, ainsi que l’absence de clauses de confidentialité encadrant les relations entre responsables de traitement et sous-traitants.
195 dossiers traités
Au-delà de ces dossiers sensibles, la Cdp a traité 195 dossiers au cours du trimestre, dont 154 déclarations et 41 demandes d’autorisation, débouchant sur 153 récépissés et 39 autorisations délivrées à l’issue de deux sessions plénières. Deux dossiers ont fait l’objet d’un sursis à décision et deux responsables de traitement ont été auditionnés. Parmi les autorisations accordées figurent quinze plateformes web, dont celles de Citibank Sénégal, Infobip Côte d’Ivoire et Teranga Digi Santé, six bases de données clients, un service de cartes bancaires prépayées Mastercard porté par Orange Finance Mobile Sénégal, une plateforme d’analyse financière fondée sur l’intelligence artificielle développée par Innovatech, ainsi qu’un système de vidéosurveillance avec transfert de données vers un pays tiers, opéré par OBT Logistics. Les récépissés délivrés concernent en très grande majorité la vidéosurveillance en établissement, avec 102 structures concernées, parmi lesquelles Dakar Academy, DP World Dakar ou encore la Société industrielle de boissons et d’acier.
Samba THIAM
Accueil
Envoyer à un ami
Version imprimable
