Des prisonniers ont contesté la pratique des opérateurs télécoms consistant à réattribuer ou “recycler” les numéros de téléphone après une période d’inactivité (généralement 90 jours). Ils soutenaient que le numéro de téléphone est devenu un identifiant numérique essentiel, lié à des données sensibles (comptes bancaires, impôts, dossiers scolaires). En perdant leur numéro à cause de leur incarcération, ils devenaient « numériquement morts » et leurs données privées étaient exposées aux nouveaux propriétaires des numéros.

Le tribunal a tranché en leur faveur, déclarant que le numéro de téléphone est effectivement un identifiant numérique protégé par le droit à la vie privée Article 31 de la Constitution au Kenya.

Pour protéger les utilisateurs, la Cour a ordonné que la réattribution d’un numéro désactivé ne soit possible qu’en respectant les étapes suivantes :

Consentement éclairé : Obtenir le consentement explicite et vérifiable de l’ancien propriétaire avant toute réattribution.

Processus de vérification et avis public : Faire expirer un délai raisonnable après la publication d’un avis public, et mener un processus de vérification documenté prouvant que le propriétaire original est introuvable ou a renoncé à ses droits.

Souvent ce qui se fait, comparé au Sénégal on désactive sans information préalable, du moins sans un accusé de réception.

Garanties techniques: Mettre en place des mesures techniques pour empêcher le transfert de données personnelles (liées à l’ancien propriétaire) vers le nouveau titulaire du numéro. En invoquant le principe de l’inviolabilité du secret des correspondances, nous comprenons que la réattribution trop facile d’un numéro peut exposer les échanges de l’ancien propriétaire (article 13 de la Constitution du Sénégal).

Cas spécifique des prisonniers : L’État doit créer un mécanisme permettant de préserver le numéro des détenus pendant toute la durée de leur peine, ou leur permettre de mettre à jour/activer leur numéro sous supervision.

Avec les solutions alternatives de communication, la seule méthode pour les opérateurs de vérifier si un numéro est toujours actif ne devrait plus être basée uniquement sur le fait d’avoir du crédit ou non. On peut ne pas en avoir besoin et utiliser son numéro pour WhatsApp et d’autres démarches de la vie quotidienne.

Ne trouvez vous pas qu’il faut changer le process ?

La collecte de données personnelles est considérée comme un traitement selon l’article 4.19 de la loi 2008–12 du 25/01. Parmi les opérations citées par cette disposition, nous avons entre autres, l’action de collecter, d’exploiter et d’enregistrer qui constituent un traitement. Dans la pratique le traitement se manifeste de plusieurs manières, il peut s’agir de la confection d’une base de numéros de contact durant un forum d’orientation pour étudiants ou durant des tests d’entrée pour ceux qui veulent intégrer une école comme l’ESP par exemple. Le traitement peut s’effectuer aussi à travers un site internet via un formulaire mais aussi avec le dépôt des cookies.

La mise en conformité est une exigence légale dès l’instant que des données personnelles sont traitées. Dans la pratique, naviguer sur un site internet peut sembler banale mais il s’agit d’un moment durant lequel, le responsable de la plateforme visitée peut mieux connaitre vos besoins, ce que vous cherchez sur internet, parce qu’il y a une communication qui est établie entre vous, mais savez-vous que vous êtes en train de communiquer ?

Un cookie ou traceur est un des moyens utilisé pour l’établissement cette communication, il s’agit d’un petit fichier texte stocké par un site web, une plateforme, dans votre terminal (ordinateur, téléphone, tablette et récemment smart tv etc.) Il est associé à un domaine web et souvent à l’ensemble des pages contenues dans un site.

Vous ne verrez pas dans la loi de 2008 le terme cookie, le législateur a utilisé des termes assez larges pour englober les deux systèmes de stockage d’information. Pour s’en convaincre nous allons revisiter l’article 61 de la loi en question qui dit :

Toute personne utilisatrice des réseaux de communication électronique doit être informée de manière claire et complète par le responsable du traitement ou son représentant :

1) de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations stockées dans son équipement terminal de connexion, ou à inscrire, par la même voie, des informations dans son équipement terminal de connexion ;

2) des moyens dont elle dispose pour s’y opposer.

Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement de l’utilisateur :

1) a pour finalité exclusive, soit de permettre ou faciliter la communication par voie électronique ;

2) soit est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.

Pourquoi des traceurs, ou cookies

Nous avons différents types de cookies selon les finalités visées par le responsable.

Les cookies session, sont ceux qui permettent aux éditeurs de suivre votre activité dans le site durant votre session de navigation. Ils sont temporaires, et sont supprimés dès que vous fermez votre navigateur. Il y a aussi les cookies persistants qui restent sur votre appareil pendant un temp bien défini, ils sont activés à chaque fois que vous revisitez le site jusqu’à l’expiration de sa durée.

Nous avons aussi les cookies first party qui sont déposés par le site visité. Ces cookies ont souvent pour objectif d’améliorer l’expérience utilisateur en aidant dans la personnalisation pour mieux cerner vos préférences (langue, rubrique ou sujets…). Si c’est dans un univers logué ces cookies peuvent servir pour authentifier une connexion, mémoriser les paniers d’achat ou optimiser l’expérience utilisateur.

Les cookies third-party ou tiers sont installés par un domaine autre que celui du site visité. Une régie publicitaire peut bien déposer un cookie sur un site que vous visitez pour vous cibler. Il s’agit le plus souvent du résultat d’un partenariat, ce qui fait de ces derniers des sous-traitants qui, doivent être dans les clous de la réglementation.

A côté des cookies nous avons le local Storage qui permet aux sites web de stocker directement des données sur votre appareil en passant par le navigateur, ici la capacité de stockage est plus grande que pour les cookies. Environs 5 Mo par domaine et ces données demeurent jusqu’à ce que vous, décidiez de les supprimer, la suppression peut aussi être faite par le responsable de traitement. Le local storage et les cookies ont pour dénominateur commun de permettre le stockage des informations dans votre terminal afin d’y lire ou écrire des informations. Il y a aussi les cookies flash, l’identification par calcul d’empreinte du terminal ou les identifiant générés par le système d’exploitation comme celui de windows pour les besoins de ciblage publicitaire.

Certains traceurs sont cependant exemptés du recueil de consentement, comme les traceurs destinés à l’authentification auprès d’un service. C’est aussi le cas pour les traceurs destinés à garder en mémoire le contenu d’un panier d’achat sur un site marchand, et d’autres visant à générer des statistiques de fréquentation, ou encore ceux permettant aux sites payants de limiter l’accès gratuit à un échantillon de contenu demandé par les utilisateurs.

La mise en conformité de ces outils de collecte

En dehors des cookies fonctionnels (obligatoires), le consentement est un élément fondamental pour en déposer sur le terminal des utilisateurs de votre plateforme. Par consentement il faut comprendre toute manifestation de volonté expresse, non équivoque, libre, spécifique et informée par laquelle la personne concernée ou son représentant légal, judiciaire ou conventionnel, accepte que ses données à caractère personnel fassent l’objet d’un traitement manuel ou électronique.

Pour respecter cette exigence il faut permettre à l’utilisateur de choisir, en dehors des cookies fonctionnels, les cookies ou traceurs pouvant lire ou écrire des informations sur son terminal. C’est ce qui justifie le bandeau cookies que vous trouvez dès la page d’accueil de certains sites qu’on pourrait qualifier de privacy by design. Ainsi, vous avez la possibilité de paramétrer, accepter ou refuser les cookies non fonctionnels.

Il faut aussi avoir la maitrise de la collecte que les partenaires viendront faire sur votre site et s’assurer qu’ils sont conformes à la législation sénégalaise sur les données personnelles. Ils doivent faire la mise en conformité de leur traitement en tant que sous-traitant par le canal de votre plateforme. Depuis 2019 la CDP exige que les sous-traitant soient en conformité avec les textes. Notez aussi que le bandeau qui annonce l’utilisation des cookies et donne la possibilité à l’usager de paramétrer est obligatoire aux yeux de la Commission des données personnelles.

Ces éléments de conformités doivent être intégrés dès le design du site, il faut alors consulter un juriste en la matière, ce dernier pourrait être très utile au designer, au développeur et au marketeur. Maitriser la chaine des collecteurs de données via les cookies tiers permet d’assurer une bonne mise en conformité et de fixer les responsabilités en cas de fuite de données.

Dans le domaine du marketing digital nous voyons souvent l’usage de cookies ou boutons de redirection vers Google Facebook Yahoo sur les plateformes des entreprises. Il s’agit des techniques pouvant aider les marketeur à mieux comprendre les visiteurs et orienter le ciblage ou proposer des solutions pour convertir en vente ou abonnement.

Le droit, n’interdit pas ces pratiques comme beaucoup le pensent mais il l’organise pour le respect des droits des personnes concernées. Il faut au moins qu’elles soient informées. En 2004, la CNIL avait condamné Microsoft à propos de l’utilisation du service « DidTheyReadIt ». C’est à votre insu que ce service permettait d’informer un expéditeur que vous avez ouvert le mail envoyé.

En Suède, L’Integritetsskyddsmyndigheten (IMY), l’agence suédoise de protection des données, l’équivalent de la CDP au Sénégal a sanctionné la banque Avanza Bank AB. Cette banque avait utilisé l’outil d’analyse Pixel Meta de Meta ex Facebook, pour optimiser sa stratégie marketing.

Du 15 novembre 2019 au 2 juin 2021 la banque faisait remonter vers Meta des informations confidentielles comme les numéros de sécurité sociale, les montants des prêts, les titres détenus et leur valeur, et les numéros de compte bancaire de ses clients.

Ainsi, l’autorité de protection a prononcé une amende administrative de 15 000 000 SEK (environ 1,3 millions d’euros) pour infractions aux articles 5.1(f) et 32.1 du RGPD. La banque a été jugée seule responsable de traitement en raison du fait que l’utilisation de l’outil fourni par Meta restait sous son contrôle et que c’est par sa faute que l’outil a été mal configuré.

Dans le cas ci-dessus, Il s’agit des principes gouvernant le traitement des données personnelles (licéité, collecte non frauduleuse…) et de l’obligation de sécurité article (34 et 71) de la loi de 2008 sur les données personnelles. Si vous êtes responsable marketing d’une banque ou d’une entreprise de fintech ou d’un secteur sensible, il faut bien vérifier les données que vous partagez avec les sous-traitants.

Ce qui a conduit l’autorité suédoise à prononcer une sanction pareille peut conduire la CDP à faire la même chose, sur la base des mêmes principes. Elle peut décider du retrait définitif ou temporaire de l’autorisation de traitement, elle peut aussi prononcer une amende pécuniaire d’un (1) million à cent (100) millions de F CFA.

En tant qu’autorité de protection, la CDP est chargée de vérifier la légalité des traitements de données personnelles. Il s’agit de toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés ou non, et appliquées à des données personnelles.

Entre autres activités concernées nous avons : la collecte, l’exploitation, l’enregistrement, l’organisation, la conservation, l’adaptation, la modification, l’extraction, la sauvegarde, la copie, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, le cryptage, l’effacement ou la destruction des données à caractère personnel.

Toute ces actions sont dans le champ d’application de la loi 2008–12 du 25 janvier encadrant le traitement des données personnelles. C’est ainsi que dans son activité l’autorité publie chaque trimestre un avis retraçant son activité.

Certains types de traitements doivent faire l’objet d’une déclaration ou autorisation préalable auprès de la commission. Par exemple, si vous comptez mettre en place un fichier de prospects pour votre activité marketing vous devez attendre que la CDP vous délivre le récépissé de déclaration avant d’envoyer des sms push ou des mails. C’est le cas lorsqu’il s’agit de site internet dans le domaine de la fintech ou d’application dans le domaine du marketing. Quand vous devez procéder à un traitement de données de santé ou transférer des données à l’étranger vous devez obligatoirement avoir l’autorisation de la CDP.

Après la saisine de la CDP, différentes réponses sont possibles selon la nature des données en question et le respect des principes gouvernant le traitement. Il s’agit des demandes d’explication qui peuvent concernées la finalité, les bases légales et beaucoup d’autres facteurs. C’est ainsi que dans son avis du premier trimestre nous avons des refus d’autorisation et sanctions. Mais il faut aussi souligner les avis favorables pour des traitement parce qu’il faut signaler que la mission de la CDP est d’accompagner l’innovation et pas le contraire.

Avis favorables

Dans son AVIS N°1 de 2024, la CDP a traité 109 dossiers, dont 71 déclarations, 33 demandes d’autorisations. A l’issue des 02 sessions plénières (session plénière = organe délibérant), 71 récépissés de déclaration et 27 autorisations ont été délivrés.

Pour les déclarations concernant les systèmes de vidéosurveillance il y a 15 structures qui ont satisfait à cette obligation. Normalement c’est la partie qui devrait faire 70% du contenu des rapports de la CDP si on considère le nombre de système de vidéosurveillance que nous avons même dans les boutiques de quartier. Auchan Grand Mbao, Kaolack, Mbour font partie des responsables de traitement ayant déclaré leur système. Désormais dans ces grandes surfaces vous devez y trouver un panneau avertissant les usagers de la présence du dispositif et d’un contact pour l’exercice des droits.

Pour les bases de données nous avons 10 structures qui ont déclaré, 08 pour les systèmes de pointage dans le milieu du travail, parmi ces structures nous pouvons cité l’ADPME l’(Agence de développement et d’encadrement des PME) qui a déclaré son système de pointage par badge. Ce n’est pas le seul traitement que l’ADPME a déclaré, l’agence a aussi déclaré avec 10 autres structures, son registre des entrées et sorties. Il faut comprendre que le vigile qui gère ce registre doit respecter le minimum de sécurité par rapport à ce registre pour assurer les droits des usagers.

Refus d’autorisation

Si un traitement n’est pas en conformité avec les textes sur les données personnelles, il faut noter que la CDP peut refuser l’autorisation nécessaire pour y procéder. Imaginez que vous ayez un business à faire tourner sur la base de la prospection directe et que la CDP refuse de vous octroyer son avis favorable pour le traitement. C’est le cas d’une base de données collecté durant un forum.

Il en est ainsi du refus concernant la déclaration d’une structure qui avait comme finalité de traitement « Étude des facteurs sous-jacents de l’offre et de la demande d’électricité de qualité dans les zones rurales et périurbaines du Sénégal et évaluation de son efficacité à répondre aux contraintes des consommateurs ». La session plénière a décidé de rejeter la demande à cause du caractère non formel du recueil de consentement.

Il ne faut pas oublier que dans le cadre des traitements, le consentement comme base légal est très important, mais il faut le documenter, dans le cas ci-dessus la structure prévoyait de recueillir les consentements verbalement. C’est problématique par ce que rien ne prouve que le consentement ait été obtenu loyalement. A côté de cela, il faut noter que les données collectées allaient être transférées dans un autre pays.

Sanctions

Dans le registre des sanctions nous avons la société ridetech sen suarl (YANGO) qui a reçu un avertissement de la part de la CDP pour « Non-conformité à la loi n°2008–12 du 25 janvier 2008 relative à la protection des données à caractère personnel, notamment le non-respect des règles préalables à la mise en œuvre des traitements de données à caractère personnel.»

L’une des obligations préalables à la mise en œuvre de traitement de données personnelles est la déclaration ou l’autorisation de la CDP qu’il faut avoir bien avant le traitement dans certains cas de figure. Il faut noter que cette activité qui consiste à mettre en location un véhicule avec chauffeur à travers une plateforme numérique est réglementée par l’Etat du Sénégal (Décret N°2024–847) portant réglementation des plateformes numériques de mise en relation chauffeurs/clients.

Depuis ce décret l’activité de mise en relation chauffeurs/clients est subordonnée à l’obtention d’un agréement délivré par la direction générale des transports terrestres (art 5) décret précité. Il est intéressant de constater la mise en place d’une collaboration en amont entre la (DGTT) Direction Générale des Transports Terrestres et la Commission des données personnelles (CDP) pour que les formalités préalables auprès ce cette autorité constituent un élément indispensable pour la délivrance de l’agréement aux plateformes de VTC.

L’espoir est permis dans la mesure ou le dernier alinéa de cet article parle de possible collaboration avec d’autres services de l’Etat dans le cadre de l’instruction des demandes. Mais, notons que la décision de la CDP ne peut en aucun cas être considérée comme un simple avis consultatif. Mieux, en poursuivant la lecture de ce décret vous allez voir que la copie de l’autorisation de traitement des données personnelles délivrée par la CDP figure parmi les 17 documents constituant le dossier de demande d’agréement. Une amende de deux à dix millions est prévue pour toute société de transport qui enfreint les dispositions de ce décret.

Fermons cette parenthèse pour aborder une autre sanction, il s’agit de SOLID Afrique qui, durant la précampagne (élection présidentielle 2024) envoyait des sms pour inviter les citoyens à voter. L’alerte a été lancé sur les réseaux sociaux et certainement des personnes concernées ayant reçu les messages ont saisi la commission des données personnelles pour se plaindre de ce traitement.

La société à été mise en demeure de cesser le traitement pour une prospection non sollicitée et une non-conformité de la plateforme Kay voter. La décision de sanctionner par une mise en demeure précise les manquements reprochés au responsable de traitement de même que le délai imparti à ce dernier pour se mettre en conformité. Elle indique également les conséquences pour le responsable du non-respect de la mise en demeure. Si toutefois la sanction n’est pas suivi d’effet le comité de sanction de la session plénière peut passer à la vitesse supérieure.

Depuis quelques semaines au Sénégal, des responsables politiques sollicitent le parrainage des citoyens afin de porter la candidature de leur leader à l’élection présidentielle de janvier 2024. Selon le Soleil, dans sa parution du 27 novembre 2023, Amadou Ba avait déjà 1.782.052 parrains. Il faut noter aussi que les autres candidats mettent en avant le nombre de parrains qui, dans tous les cas dépasse le maximum légal.

Le droit électoral à intégré en son sein, une matière qui n’est pas bien considérée, et qui repose sur le respect de la vie privée des citoyens. Ici nous avons le code électoral qui exige la collecte de parrains pour être candidat dans le cadre de l’élection présidentielle, donc c’est légale. Il y’ a par contre des obligations à respecter dans le cadre de cette activité. Mais est ce toujours le cas ?

Les opinions politiques font partie des catégories de données dont il est interdit de procéder à leur traitement (art 40 loi 2008) sauf si un texte en décide autrement. Dans le parrainage, le traitement doit être temporaire et limité dans le temps.

Si pour les entreprises le client est “Roi”, ses données bien préservées parce que l’autorité l’y oblige ou parce qu’elle veut garder l’avantage concurrentiel; dans le domaine électoral, le parrain est la “propriété” des collecteurs. S’il ne voyage pas d’un candidat à un autre sans son consentement, il est exposé dans les réseaux sociaux pour convaincre de la validation d’une candidature.

Prenons un exemple. Vous avez donné votre consentement pour la fiche N°300, si le collecteur décide d’offrir votre intention à un autre candidat à la candidature, la fiche N°301, vous n’avez pas la possibilité de vous opposer. Si vous vous posez la question comme Mohamed, notez qu’il n’y a pas cette possibilité de vérifier pour quel candidat vous êtes réellement le parrain. Du moins, vous ne pouvez pas en avoir la certitude.

Un parrain impuissant à l’image d’un filleul.

L’un des points positifs du parrainage c’est de rapprocher les candidats ou responsables des électeurs, tout en permettant un dialogue permanent à travers l’internet. Il faut parcourir des milliers de kilomètres pour rallier les populations, à la recherche de parrains pour être candidat.

Ainsi, parmi les conditions énumérées à l’article L 120 du code électoral, un minimum de 0,6% soit 44.231 et un maximum de 0,8% ce qui fait 58.975 du ficher général des électeurs est demandé, si vous avez choisi le parrainage citoyen. Le responsable de la collecte ne pouvant déposer au delà du maximum requis, peut en profiter pour veiller au respect du principe de minimisation ou de limitation de la collecte.

Ce principe de minimisation signifie que les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.

Au regard des chiffres communiqués dans la presse, nous avons l’impression que c’est la moitié des électeurs qui est demandée dans le cadre du parrainage.

Ne soyez pas étonné de lire dans les programmes des candidats, des pages consacrées à la protection des données personnelles qu’ils sont en train de piétiner. Dans le même temps, une mise à jour de la loi est toujours attendue depuis des mois. Mise à jour qui devrait prendre en compte la situation actuelle de la manipulation des données personnelles dans cette période.

Le fait que les associations ou partis politiques soient dispensés de la déclaration préalable pour la mise en conformité ne signifie pas qu’ils peuvent tout se permettre avec les données personnelles. Ils ont l’obligation de respecter certains principes pour garantir le respect des droits des personnes concernées.

Les risques sur la tranquillité des citoyens

Cette collecte au delà de la limite expose les personnes concernées. Si vous avez partagé votre pièce d’identité dans le cadre du parrainage, vérifiez si le document n’est pas conservé et exigez sa suppression le cas échéant. Peut être vous l’avez fait pour que le collecteur puisse avoir les informations demandées, mais ce n’est pas une raison pour laisser votre pièce d’identité dans la nature.

Aussi bien les collecteurs que les citoyens sont exposés par rapport à cette collecte excessive de données. Il n’est pas simple de préserver la sécurité des données avec cette façon de faire des collecteurs. N’ayant pas la possibilité de vérifier, un parrain peut se retrouver sur deux ou trois fichiers surtout avec la transhumance des responsables. De même, un collecteur peut se retrouver auteur ou victime d’acte de détournement de parrains.

Mais, “quiconque aura organisé ou planifié des actes qualifiées de fraude ou de tentative de fraude sur le parrainage sera puni d’un emprisonnement d’un mois à un an et d’une amende de 10.000 à 100.000 F CFA.”

Vous avez ci-dessus une disposition du code électoral (L 91) qui est souvent malmenée, il suffit juste de suivre l’actualité et vous aurez des exemples qui y correspondent. Ce qui conforte l’idée que la sécurité du parrain n’intéresse personne.

Les listes de parrainage sont dressées par les collecteurs qui portent sur chacune d’elle les prénoms, noms, numéros de carte d’électeur et le discriminant (date d’expiration)L57–12. Mais si des responsables qui ne sont pas mandatés peuvent collecter et remettre des parrains pour un gain politique, ces informations peuvent se retrouver entre les mains de personnes qui pourraient les détourner dans l’objectif de monnayer le temps consacré à leur activité.

Avec les copies de CIN le risque d’usurpation d’identité est trop élevé. Une collecte abusive pourrait aider à mettre en œuvre des dossiers de prêts frauduleux. Comme dans cette affaire relatée par le quotidien Libération n°3345 du 01 décembre 2023. Ici, les mis en cause auraient “monté des dossiers de prêts” pour le compte des personnes qui n’ont rien demandé.

Récemment, un signalement a été fait dans les réseaux pour alerter à propos d’un individu qui louait des chaises en usurpant l’identité d’une autre personne, c’est à dire avec une pièce autre que la sienne. L’ouverture de compte mobile money avec votre pièce peut vous causer d’énormes difficultés, de même que l’achat de puce téléphonique avec votre pièce d’identité.

Ceux qui ont pu collecter plus que ce qui est demandé en terme de données, par exemple le numéro de téléphone, peuvent comprendre que ce dernier représente de l’or dans le marketing politique. Nous n’avons pas le contrôle sur nos données, nos numéros peuvent se retrouver dans un fichier quelque part et une interconnexion pourrait aider à retrouver les numéros des personnes figurant sur une liste de parrains en vue d’une prospection politique qui sera alors directement ciblée.

Mais attention, les informations recueillies auprès des électeurs sur les fiches de collecte doivent être exclusivement réservées au parrainage d’une candidature. Tout usage contraire ou détournement d’objet tendant à porter préjudice aux autres candidats ou listes de candidats, pour quelque motif que ce soit, sera puni conformément aux dispositions de l’article 75 de la loi de 2008 sur les données personnelles (R 76).

Le renvoi vers l’article 75 fait allusion aux sanctions pénales qui précise que: “Les infractions aux dispositions de la présente loi (2008–12 25/01.2008) sont prévues et réprimées par le Code pénal”. Et dans ce dernier, il s’agit de l’article 431–26 qui parle de détournement de finalité. Celui qui, détenant des données à caractère personnel à l’occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement, détourne ces informations de leur finalité telle que définie par la disposition législative, l’acte réglementaire …, est puni d’un emprisonnement d’un an à sept ans et d’une amende de 500.000 francs à 10.000.000 de francs ou de l’une de ces peines.

La manière dont la collecte est organisée ne permet pas d’assurer le respect des principes gouvernants la collecte des données personnelles qui se retrouve dans un domaine ou les acteurs sont puissants et pensent d’abord aux résultats avant la sauvegarde de notre vie privée.

Supprimer ou améliorer le système.

Il faut, au delà d’un guide sur le parrainage, reprendre certaines dispositions de la loi sur les données personnelles dans le code électoral. Mais, vous allez certainement dire que cela ne sert à rien avec nos autorités.

Oui, je suis d’avis qu’une autorité administrative indépendante dont le responsable est choisi par un acteur politique (le Président), à qui il doit son poste, peut ne pas suivre les textes. L’intérêt de son responsable politique pourrait être mis en avant, au détriment de ceux des citoyens. Ailleurs nous constatons qu’il est le gardien des données, assurant leur sécurité contre tous les attaquants.

Parlant de la CDP ( commission des données personnelles), il faut pour 2024, que nous mettions en place une autorité avec des profils autres que les acteurs politiques pour la présidence. parce que même si à l’intérieur de l’autorité nous avons beaucoup de personnes capables de mener la barque, elles sont souvent noyées en haute mer par la volonté politique du chef surtout pendant la tempête.

Dans la dernière mouture du projet de loi sur les données personnelles, si ce n’est pas encore fait, il faut donner le pouvoir aux citoyens de déclencher l’action de l’autorité de contrôle à travers une plainte, une pétition, mais pour le compte d’autres personnes concernées. Cette disposition peut nous éviter, comme en 2022 la situation où l’autorité a reconnu son impuissance après cette pétition en ligne qui signalait les abus des autorités politiques.

Si le parrainage demeure, il faut créer et inclure un module sur la protection des données personnelles et droits fondamentaux et faire en sorte que son enseignement soit obligatoire dans les partis. Cette formation permettra aux collecteurs de savoir que sur les listes de parrainage, ils ne devront collecter que les noms, prénoms, et le numéro de carte d’électeur, L57–12 du code électoral. Dans cet article Il n’est pas mentionné de collecter un numéro de téléphone, la collecte doit se limiter au strict minimum, ce que les collecteurs doivent prendre en compte pour ne pas engager leur responsabilité.

parlant de l’après parrainage, il serait plus sage de procéder à une suppression des listes de parrains, en présence d’une autorité publique avec les acteurs de la société civile. Parce qu’ après atteinte de la finalité, c’est soit l’archivage ou la suppression. Et dans ce cas, l’archivage est problématique parce que nous avons ici des opinions politiques. Il s’agit d’une catégorie de données hautement protégée par la loi, afin d’éviter les abus sur les droits humains. Et nous savons que certains acteurs peuvent garder les fiches, et ceux qui ont pu avoir les CIN peuvent, dans une prochaine élection, attendre que le discriminant soit communiqué pour reconduire les données.

Selon Lawrence Lessig, dans son article “Code is law”, c’est le code, le logiciel et le matériel informatique qui font du cyberespace ce qu’il est. Si nous devons passer par une collecte de parrainage à travers des logiciels, il faut que le code se nourrisse des dispositions du code électoral et de la loi sur les données personnelles. Par ailleurs, le code qui doit définir les conditions dans lesquelles les données seront collectées, doit épouser les principes du privacy-by-design. Il s’agit de la prise en compte de la vie privée en l’intégrant dans les spécifications de conception des technologies, des pratiques commerciales et des infrastructures physiques.

Les technologies de l’information et des télécommunications représentent un des piliers sur lesquels nous bâtissons notre économie, d’où le terme tant galvaudé de l’économie numérique. Durant la période coloniale, les communications entre pays d’Afrique transitaient par Paris avant d’être redirigées vers un pays voisin. Nous pouvions constater un cloisonnement caractérisé par l’usage de technologies analogiques spécifiques et l’organisation en monopoles.

Ainsi, pour décloisonner et relier les pays au bénéfice de l’administration coloniale, des accords bilatéraux entre monopole se matérialisent par la mise en place de nœuds d’interconnexion dans le but de desservir les régions utiles « Côte d’ivoire Sénégal »

Selon Pierre Vialle[1] l’adoption des technologies issues de l’électronique et de l’informatique a remis en cause les fondements du monopole. Ainsi, l’usage des logiciels à travers internet n’est pas sans conséquences sur les situations de monopole. La fin de l’isolement technologique cède la place à la convergence. Les technologies nouvelles et internet sont devenues un langage universel utilisé par tous. Les opérateurs, en plus de l’offre de base qui était la voix, étendent cette dernière à d’autres types de signaux, les données.

Les régulateurs, dans leur objectif d’amener les opérateurs à mettre l’utilisateur final au centre, ont mis en œuvre des mécanismes de régulation dont la finalité doit conduire à une interconnexion des services dans le domaine des TIC.

L’INTERCONNEXION

Dans sa première forme, l’interconnexion permettait de relier les administrations des différents pays. Mais avec la libéralisation dans le secteur des communications électroniques, l’interconnexion demeure un point incontournable, surtout avec la privatisation des opérateurs historiques et l’entrée de nouveaux acteurs. Il faut noter que les héritiers des infrastructures vont difficilement se plier aux règles gouvernant la régulation du secteur.

Or, pour la pérennité des nouveaux entrants, il faut trouver comment leur faire bénéficier des installations dans un premier temps, et puis leur permettre de connecter leurs abonnés au réseau historique qui détient le plus grand nombre d’abonnés. C’est ce qui a permis à Free ex TIGO de tirer son épingle du jeu.

Dans un « marché ouvert à la concurrence, le principe d’interconnexion permet d’établir une liaison entre réseaux ouverts au public afin de permettre à l’ensemble des abonnés des différents opérateurs de communiquer librement entre eux.

L’absence d’accord d’interconnexion signifie que chaque abonné des trois opérateurs serait dans l’obligation de souscrire autant d’abonnements qu’il existe de réseaux pour pouvoir dialoguer avec ses correspondants qui sont abonnés à ces opérateurs. Ainsi, les opérateurs sont tenus de satisfaire, dans les conditions objectives, transparentes et non discriminatoires aux demandes d’interconnexion émanant d’autres opérateurs. Cette mesure permet aux abonnées de Free d’appeler Orange et, ou Expresso.

Au Nigeria, c’est le code des communications électroniques de 2003 qui, en son article 96, rappelle l’obligation d’accéder aux demandes d’interconnexion des concurrents si les conditions techniques et économiques sont réunies.

Ce principe pourrait être l’opposé de la portabilité avec le même objectif, connecter les abonnées des différents réseaux. Avec la portabilité, un abonné Free qui n’est pas satisfait peut quitter l’opérateur en gardant son numéro pour aller bénéficier des services de Expresso mobile. C’est ce que nous avons constaté en 2020, quand l’opérateur orange modifiait ses forfaits internet, plusieurs clients ont porté leur numéro chez Free. Une fois dans le réseau d’accueil, il faut proposer des services à valeur ajouté pour retenir le client longtemps. Et nous sommes d’avis qu’il est impossible à une seule structure par exemple un opérateur de communication électronique, d’offrir tous ce qui est possible en termes de service à valeur ajouté.

Donc il faut trouver comment permettre aux clients de bénéficier des services offerts par d’autres fournisseurs pour qu’ils restent dans son réseau tout en gardant son numéro de départ.

Après l’interconnexion, cet outil de régulation qu’est la portabilité, a permis à Free d’avoir de nouveaux abonnées qui étaient peut être venu pour l’internet, rien que pour l’internet. Depuis quelques jours, ces abonnés n’arrivent plus à acheter du crédit Free avec leur application WAVE.

Avec cette déconnexion de wave est-ce qu’ils feront encore usage de la portabilité ? Ce n’est pas la peine parce que l’opérateur dominant dans le secteur des communications électroniques, Orange, ne permet pas d’acheter du crédit depuis l’application wave. Nous sommes en face d’un blocage, d’un contournement de la portabilité. Soit, l’ARTP n’a pas saisit la manœuvre, soit elle a décidé de croiser les bras. Parce que dans cette affaire il y a aussi la liberté de choix des consommateurs qui est bafouée.

Avec le schéma de la portabilité, les opérateurs vont nouer des collaborations afin de maintenir aussi longtemps les clients dans leurs plateformes. Et il faut comprendre que c’est avec des jeunes startUp que les opérateurs pourront diversifier leurs offres de services. C’est ainsi que l’interopérabilité des services est bénéfique pour ces derniers. Selon wikipédia, c’est la capacité que possède un produit ou un système, dont les interfaces sont intégralement connues, à fonctionner avec d’autres produits ou systèmes existants ou futurs et ce sans restriction d’accès ou de mise en œuvre. Ce principe est tellement important qu’il figure en deuxième positions parmi les conditions générales d’établissement et d’exploitation des réseaux de communications électroniques ouvert au public (art 53) code des communications électroniques du Sénégal.

Pour éviter les pratiques anticoncurrentielles, l’interconnexion est encadrée par l’autorité au moyen d’un texte législatif.

Ainsi, le respect du principe d’égal traitement pour un accès équitable au réseau a été mentionné en 2009 par l’autorité ivoirienne de la régulation des communications dans sa décision portant tarif d’interconnexion plafond pour l’année 2009.

Au Nigéria c’est la section 96 du « communication acte » de 2003 qui pose le principe de l’interconnexion en ces termes : les opérateurs titulaires de licences sont tenus d’accéder aux demandes d’interconnexion des concurrents si les conditions techniques et économiques de faisabilité sont réunies.

Au Sénégal c’est au titre IV, chapitre 1 article 93 de la loi 2018–28 du 12 Décembre 2018 portant code des communications électroniques que nous trouvons les principes guidant l’interconnexion

Pour les services d’appel voix et internet vous pouvez faire votre choix sur un opérateur qui dans un autre domaine est classé dernier de la classe. Pour une donnée quelconque, vous pouvez rapidement faire le choix d’utiliser ou non une application. Et pour ce cas de figure, l’interopérabilité des services peut constituer un bénéfice pour le client, c’est le cas pour les abonnées de Mobile money Rwanda de MTN qui peuvent envoyer et recevoir de l’argent vers les abonnés de Airtel.

Depuis le communiqué de l’ARTP (1 an) pourquoi la situation n’avance pas ? Si le blocage technique et commercial est levé, pourquoi jusqu’à présent les clients de Wave (service financier mobile) et abonnés de Orange (télécommunication) n’arrivent pas à acheter du crédit Orange comme les abonnés Orange qui ont décidé d’utiliser les services financiers mobiles Filial de Orange Mobile ? L’inertie de l’autorité de régulation a fait qu’Orange choisit les concurrents de Wave qui vendent du crédit téléphonique comme la filiale Orange Finance Mobile ou Optima. Alors, Free, constatant le manque d’autorité de l’Autorité suit les pas du grand frère en déconnectant wave de l’achat de crédit téléphonique pour après s’aligner sur les prix de wave dans le domaine du mobile money. Encore, il faut noter que le produit objet du litige c’est le crédit téléphonique, domaine de compétence de l’ARTP.

Pensez-vous que cette situation va favoriser les nouvelles startups qui comptent sur le taux de pénétration du mobile et de l’internet pour offrir des services ?

Devons nous laisser les opérateurs se baser sur l’accès directe aux utilisateurs des services de téléphonie mobile pour ensuite bloquer l’avancé des concurrents de leurs filiales ?

[1] Pierre Vialle, Stratégie des opérateurs de télécoms, Paris, éditions Hermès février 1998, page 13 à 14

La Cour de la CEDEAO s’est longuement prononcée dans son jugement du 14 juillet 2022 dans l’affaire #TwitterBan pour condamner le gouvernement nigérian en jugeant que la suspension du réseau social était illégale.

La Cour de la CEDEAO a ordonné au gouvernement fédéral de garantir la non-répétition de la suspension de Twitter qui, selon elle, contrevenait à l’article 9 (1 & 2) de la CADHP « 𝗧𝗼𝘂𝘁𝗲 𝗽𝗲𝗿𝘀𝗼𝗻𝗻𝗲 𝗮 𝗱𝗿𝗼𝗶𝘁 𝗮̀ 𝗹’𝗶𝗻𝗳𝗼𝗿𝗺𝗮𝘁𝗶𝗼𝗻. 𝗧𝗼𝘂𝘁𝗲 𝗽𝗲𝗿𝘀𝗼𝗻𝗻𝗲 𝗮 𝗹𝗲 𝗱𝗿𝗼𝗶𝘁 𝗱’𝗲𝘅𝗽𝗿𝗶𝗺𝗲𝗿 𝗲𝘁 𝗱𝗲 𝗱𝗶𝗳𝗳𝘂𝘀𝗲𝗿 𝘀𝗲𝘀 𝗼𝗽𝗶𝗻𝗶𝗼𝗻𝘀 𝗱𝗮𝗻𝘀 𝗹𝗲 𝗰𝗮𝗱𝗿𝗲 𝗱𝗲𝘀 𝗹𝗼𝗶𝘀 𝗲𝘁 𝗿𝗲̀𝗴𝗹𝗲𝗺𝗲𝗻𝘁𝘀 ».

Cette suspension contrevenait aussi, selon la cour à l’article 19 de le PIDCP « 𝐍𝐮𝐥 𝐧𝐞 𝐩𝐞𝐮𝐭 𝐞̂𝐭𝐫𝐞 𝐢𝐧𝐪𝐮𝐢𝐞́𝐭𝐞́ 𝐩𝐨𝐮𝐫 𝐬𝐞𝐬 𝐨𝐩𝐢𝐧𝐢𝐨𝐧𝐬. 𝐓𝐨𝐮𝐭𝐞 𝐩𝐞𝐫𝐬𝐨𝐧𝐧𝐞 𝐚 𝐝𝐫𝐨𝐢𝐭 𝐚̀ 𝐥𝐚 𝐥𝐢𝐛𝐞𝐫𝐭𝐞́ 𝐝’𝐞𝐱𝐩𝐫𝐞𝐬𝐬𝐢𝐨𝐧 ; 𝐜𝐞 𝐝𝐫𝐨𝐢𝐭 𝐜𝐨𝐦𝐩𝐫𝐞𝐧𝐝 𝐥𝐚 𝐥𝐢𝐛𝐞𝐫𝐭𝐞́ 𝐝𝐞 𝐫𝐞𝐜𝐡𝐞𝐫𝐜𝐡𝐞𝐫, 𝐝𝐞 𝐫𝐞𝐜𝐞𝐯𝐨𝐢𝐫 𝐞𝐭 𝐝𝐞 𝐫𝐞́𝐩𝐚𝐧𝐝𝐫𝐞 𝐝𝐞𝐬 𝐢𝐧𝐟𝐨𝐫𝐦𝐚𝐭𝐢𝐨𝐧𝐬 𝐞𝐭 𝐝𝐞𝐬 𝐢𝐝𝐞́𝐞𝐬 𝐝𝐞 𝐭𝐨𝐮𝐭𝐞 𝐞𝐬𝐩𝐞̀𝐜𝐞, 𝐬𝐚𝐧𝐬 𝐜𝐨𝐧𝐬𝐢𝐝𝐞́𝐫𝐚𝐭𝐢𝐨𝐧 𝐝𝐞 𝐟𝐫𝐨𝐧𝐭𝐢𝐞̀𝐫𝐞𝐬, 𝐬𝐨𝐮𝐬 𝐮𝐧𝐞 𝐟𝐨𝐫𝐦𝐞 𝐨𝐫𝐚𝐥𝐞, 𝐞́𝐜𝐫𝐢𝐭𝐞, 𝐢𝐦𝐩𝐫𝐢𝐦𝐞́𝐞 𝐨𝐮 𝐚𝐫𝐭𝐢𝐬𝐭𝐢𝐪𝐮𝐞, 𝐨𝐮 𝐩𝐚𝐫 𝐭𝐨𝐮𝐭 𝐚𝐮𝐭𝐫𝐞 𝐦𝐨𝐲𝐞𝐧 𝐝𝐞 𝐬𝐨𝐧 𝐜𝐡𝐨𝐢𝐱. »

La Cour a jugé que « l’accès à Twitter, étant l’un des médias sociaux de choix pour recevoir, diffuser et communiquer des informations, est l’un de ces droits dérivés qui est complémentaire à la jouissance du droit à la liberté d’expression ». “Déroger à un tel droit nécessite une justification légale, soit au moyen d’une loi existante, soit par une ordonnance du tribunal, 𝐬𝐨𝐢𝐭 𝐚𝐮𝐭𝐫𝐞𝐦𝐞𝐧𝐭”

Dans cette affaire, le gouvernement fédéral, “dans toute sa défense, n’a pas fourni de preuve faisant référence à une loi particulière ou à une ordonnance d’un tribunal ou justifiant autrement la suspension de Twitter”

Au Sénégal nous avons une brèche dans l’article 27 du code des communications électroniques qui permet aux autorités gouvernementales de prendre des décisions que les FAI ont l’obligation de respecter.

Il est urgent de nous mettre à jour par rapport aux dispositions du Nigéria qui ont permis aux juges de décider que la suspension était dépourvue de base légale. #sunulegislatives2022 c’est le moment pour l’opposition de revoir cet aspect du code des communications électronique. Merci de nous protéger de votre éventuelle volonté de maitriser ou de réguler les réseaux sociaux en votre faveur.

#Senegal #NetNeutrality #InternetShutdown #FreedomOfSpeech

S’il y a un sujet qui, presque chaque jour refait surface, c’est celui des données personnelles. Le fait qu’il soit intrinsèquement lié à l’économie numérique justifie l’intérêt que les acteurs (utilisateurs et entreprises) ont pour cette question. Pour la protection des citoyens et la sécurité juridique des acteurs économiques l’usage de ces données est encadré par un certains nombres de texte dont nous allons passer en revue quelques articles.

Un traitement de données personnelles, quel que soit le secteur d’activité n’est licite que si l’une des conditions ci-dessous est remplie :

La personne concernée, a donné son consentement au traitement de ses données pour une ou des finalités spécifiques ;

Le traitement est nécessaire à l’exécution d’un contrat auquel elle est partie, ou à l’exécution de mesures précontractuelles prises à sa demande ;

Le traitement est nécessaire à la sauvegarde de ses intérêts vitaux ou d’une autre personne physique ;

Le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique ;

Le traitement peut aussi être nécessaire au respect d’une obligation légale, laquelle oblige le responsable de traitement à demander certaines informations.

Dans tous les textes qui abordent la question du traitement de données personnelles dans un secteur, il est prévu un article qui renvoi vers la loi sur les données à caractère personnelles (2008–12 du 25 janvier 2008). Cette loi qui date de 2008 pose les conditions et garantie les droits des personnes concernées, elle fixe aussi des obligations aux entreprises et organismes qui traitent ces données pour le respect de la vie privée des personnes concernées.

Le consentement et l’obligation légale

Avant l’identification de quelques articles comme base légale de traitement dans certains secteurs, nous allons parler du consentement.

Il s’agit de l’acte par lequel vous acceptez de communiquer vos informations personnelles pour un traitement. Ce traitement comprend : toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés ou non, et appliquées à des données, telles que la collecte, l’exploitation, l’enregistrement, l’organisation, la conservation, l’adaptation, la modification, l’extraction, la sauvegarde, la copie, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, le cryptage, l’effacement ou la destruction des données à caractère personnel.

Le consentement c’est toute manifestation de volonté expresse, non équivoque, libre, spécifique et informée par laquelle la personne concernée ou son représentant légal, judiciaire ou conventionnel, accepte que ses données à caractère personnel fassent l’objet d’un traitement manuel ou électronique. Il ne doit pas être le résultat de manipulation déloyale comme font ces politiciens qui,craignant de ne pas réunir le nombre de parrains, font croire aux populations qu’ils offrent des bons d’achat pour la Korité ou de l’aide pour le Ngalakh de Pâques.

Le consentement est tellement important que dans le cadre de l’assouplissement des conditions d’ouverture de compte de monnaie électronique sur la base du numéro de téléphone, la BCEAO a repréciser son importance. (Avis N°004–03–2020). Au Sénégal nous avons l’article 33 de la loi 2008 sur les données personnelles qui pose l’exigence du consentement pour le traitement des données en dehors des exceptions évoquées ci-dessus.

Dans le code des télécommunications, le consentement occupe une place importante. C’est en son article 196 que nous pouvons lire : Quiconque fait de la prospection directe au moyen d’un automate d’appel, d’un télécopieur ou d’un courrier électronique utilisant, sous quelque forme que ce soit, les coordonnées d’une personne physique qui n’a pas exprimé son consentement préalable à recevoir ladite prospection en violation des dispositions sur les transactions électroniques est puni des peines ci-après ( 6 mois à 2 ans) de prison et / ou (250.000 à 1.000.000) d’amendes.

Le consentement préalable signifie que vous devez avoir le OK de la personne concernée, documenter ce OK, et passer à la CDP avant de faire la prospection. Comment y arriver ? Vous organisez une journée porte ouverte afin de présenter ou produit ou service, naturellement vous aurez des personnes qui seront intéressées, vous pouvez collecter leurs données en déclinant les finalités avec leur consentement. Au-delà des services de communication, les opérateurs peuvent, sur la base d’analyse des données technique, offrir des services à valeur ajouté, mais pas sans le consentement préalable, donné expressément art 40.3 Telco. C’est pourquoi, la pratique visant à envoyer un mail ou sms pour un nouveau service et vous donne après la possibilité de dire STOP n’est pas pertinente et est illégale. Cette pratique est cependant importante dans la mesure où la personne qui donne son consentement peut toujours dire STOP.

Nous avons l’obligation légale comme base de traitement quand le responsable se base sur un texte de loi. C’est ainsi que Le code des communications électroniques du Sénégal en son article 36, oblige tout opérateur de procéder à l’identification de tous les utilisateurs de leurs services au moment de la souscription et de conserver les données de nature à permettre leur identification. C’est ce qui permet aux autorités judiciaires de requérir la communication des données en cas de besoin.

Dans le cadre des transactions électroniques, la loi 2008–08 du 25 janvier oblige les personnes physiques ou morales qui assurent, même à titre gratuit, la mise à disposition au public de biens ou service par le biais des TIC, de détenir et de conserver les données afin de permettre l’identification de ceux qui auront participé à la création de contenu. Avec cette obligation, les autorités judiciaires pourront mener des enquêtes en ce qui concerne des injures publiques sur internet, dans un site internet ou sur un profil public de facebook ou twitter

L’obligation d’identifier les titulaires de compte mobile money a pour siège l’article 27 de l’instruction N°008–05–2015 régissant les conditions et modalités d’exercice des activités des émetteurs de monnaie électronique dans les états membres de l’union monétaire ouest africaine (UMOA). L’établissement émetteur est tenu d’identifier ses clients, sur présentation d’un document officiel en cours de validité, avant l’ouverture d’un compte de monnaie électronique. L’établissement est aussi dans l’obligation de conserver une copie du document d’identification produit lors de l’ouverture du compte. En général, le code des télécommunications et l’avis précité font des renvois à la loi sur les données personnelles en ce qui concerne la manière dont les responsables devraient mettre en œuvre les traitements (art 37 Telco et 28 pour l’avis).

Les tribunaux nigérians ont eu l’occasion de se prononcer sur l’envoi de SMS non sollicités comme une violation du droit fondamental à la vie privée dans la décision Emerging Market Telecommunications Services Ltd v Eneye (2018) LPELR — 46193(CA)

En date du 16 mars 2022, dans une affaire d’emails non sollicités provenant d’une banque auprès de laquelle la plaignante n’avait pas de compte, la Haute Cour d’Ogun siégeant à Ota a statué que l’envoi de mail non sollicités constitue une violation du droit à la vie privée garanti par la section 37 de la Constitution de la République fédérale du Nigeria, 1999.

Dans un autre cas, affaire N° HCT/605/2021 entre Omotola Quadri et Zenith Bank, la banque a été poursuivie pour avoir envoyé des notifications de transactions d’un autre client pendant plus de six mois sans interruption. Après une demande d’accès aux données personnelles à laquelle la banque a répondu, cette dernière précise que l’adresse électronique de la plaignante avait été fournie par elle au cours du processus d’ouverture du compte, mais sans preuve convaincante. Ici, comprenez qu’il faut toujours documenter le consentement, on parle de consentement donné expressément.

Lorsque les courriels non sollicités se sont poursuivis sans relâche, la Haute Cour a été saisie pour statuer sur l’atteinte au droit à la vie privée du requérant et en faisant valoir, entre autres, que la banque Zenith, en tant que responsable du traitement, avait le devoir de s’assurer qu’elle mettait périodiquement à jour les informations personnelles de ses clients conformément au principe d’exactitude de la protection des données. Ce principe exige du responsable de traitement, d’enlever d’une base de prospection ceux qui ont exercé leur droit d’opposition.

Dans l’ensemble, le tribunal a jugé que les courriels non sollicités de la banque ont violé le droit à la vie privée, ce qui a donné droit à des dommages-intérêts évalués à N500, 000 (cinq cent mille Naira)

Avoir une base légale, ou un consentement n’est que la première étape dans le traitement des données personnelles. Il faut aussi prouver sa conformité par le respect d’autres obligations que nous allons aborder dans les prochains articles. Le choix porté sur la jurisprudence nigériane se justifie par la ressemblance des dispositions légales, ce qui pourrait emmener nos juges à produire des décisions dans le même sens. Par ailleurs la CDP a déjà pris des sanctions administratives concernant le non-respect du consentement.

C’est votre droit, d’exiger un autre article dans 7 jours, au-delà, interpelez moi sur twitter @EmmanuelDiokh, ou envoyez un mail à l’adresse ci-après ( plucker_yourselfs@aleeas.com). Partagez pour aider un jeune entrepreneur c’est possible aussi de bénéficier d’une formation ou d’un accompagnement.

Depuis la décision Afrique pétrole en 2015, la commission des données personnelles ne cesse de dessiner les contours de la surveillance en entreprise. C’est ainsi que, dans son premier avis de 2022, cette question a été encore abordée. Cette résurgence témoigne de la périlleuse nécessité de protéger l’employé, et de permettre à l’employeur d’avoir le contrôle sur l’activité professionnelle.

Dans le secteur des affaires, en particulier celui des technologies, l’information constitue le cheval de bataille à maîtriser pour rester compétitif, anticiper sur l’offre de la concurrence et garder sa place de leader sur son secteur d’activité. La menace peut venir de l’intérieur comme de l’extérieur de l’entreprise. Pour le véhicule pouvant assurer la transmission de l’information, nous avons le couple homme et machine. Par ailleurs, chercher la faille, intentionnelle ou pas, pouvant générer une fuite d’information au bénéfice du concurrent peut conduire l’employeur à empiéter dans la vie privée des salariés.

C’est ce qui ressort de la plainte que la commission des données personnelles a reçue dans le premier trimestre de 2022. La plaignante dénonçait un « accès frauduleux dans son compte de messagerie personnel ». Interrogé par la cdp, « le directeur associé indique avoir consulté la messagerie personnelle de son employé car elle utilisait un ordinateur professionnel mis à disposition par la société, et que ladite boite personnelle n’était pas déconnectée ».

Il reprochait à son employé de débaucher un de ses clients, pour mener ses propres activités de centre d’appel. Par centre d’appel comprenez ce lieu regroupant un ensemble d’agents utilisant des moyens de télécommunication et d’informatique pour assurer les contacts d’une entreprise avec sa clientèle. Les agents qui y sont peuvent répondre à des demandes de renseignements, assurer un service après-vente ou effectuer des campagnes de prospection. Bref, si vous avez un souci avec votre abonnement téléphonique ce n’est pas forcément votre opérateur qui traite votre réclamation. Dans bien des cas, disons 90%, votre requête est traitée par un centre d’appel.

Pour ces conseillers client, il y a souvent deux perspectives qui s’offrent à eux : voyager au Maroc, parce que c’est bien rémunéré, plus de revenus comparé au Sénégal, ou créer sa propre structure. Ces deux chemins deviennent presque un passage forcé si vous avez quitté la position de conseiller pour exercer les fonctions de superviseur, de manageur ou de formateur produit.

C’est dans ce contexte que nous analysons la surveillance que la plaignante dénonce. Même légitime, elle est bien encadrée et obéit à un certain nombre de principes.

Les conditions de la surveillance.

Le pouvoir de direction est pour l’employeur, un élément lui permettant de surveiller l’activité professionnelle afin de garantir la productivité des salariés. Le contrôle de cette activité rentre très souvent dans le champ des libertés individuelles, précisément de la vie privée en ce qui concerne la surveillance des mails ou du poste de travail en entreprise.

Pour ne pas tomber sous le coup du titre de l’article, vous devez, en tant qu’employeur, trouver un équilibre intelligent entre contrôle légitime et respect des droits des employés. Ce qui vous oblige à satisfaire à un certains nombres d’obligation dont celle concernant la proportionnalité.

Proportionnalité des mesures de surveillance.

Il s’agit de mettre en œuvre un contrôle qui est en adéquation avec le but recherché. Il serait déplacé pour l’employeur de surveiller l’activité des comptes facebook ou twitter afin de profiler, déterminer le caractère de son employé. Est-ce que ce dernier est un militant ? Quel est son appartenance ethnique ou ses opinions politiques ? C’est dans le même sillage que l’employeur qui installe des caméras dans le bureau d’un salarié sous surveillance permanente.

L’affaire du Well Communication of Africa SARL qui est portée à la connaissance des autorités a les mêmes contours que celui de l’Arrêt NIKON 2001, dont s’est inspiré la CDP en 2015 pour résoudre l’affaire Afrique Pétrole. Ici, la plaignante indique, selon l’avis trimestriel N°1 2022 que : son employeur a saisi son poste de travail et a accédé frauduleusement à son compte personnel de messagerie. Ce dernier lui reprochait de débaucher ses clients pour mener ses propres activités de centre d’appel.

Pour justifier son comportement, le directeur soutien d’une part, que l’ordinateur en question est un outil de l’entreprise mis à la disposition du salarié. D’autre part, il se base sur le fait que la messagerie personnelle était déjà ouverte et pas déconnectée. Etait-ce le seul moyen pour lui de vérifier ses soupçons ?

Obligation d’information et loyauté

L’employeur doit aussi satisfaire à l’obligation d’information pour ne pas être considéré comme espion. Dès l’instant que le traitement mis en œuvre concerne des données personnelles, l’information préalable est obligatoire et surtout quand la surveillance est effectuée à travers un outil que l’employeur a mis à la disposition du salarié (téléphone, ordinateur, internet). Ce procédé permettra et facilitera la prise en compte des éléments de preuve issus des écoutes comme le note cette décision en date du 14 Mars 2000 (Chambre sociale cour de cassation française).

Dans cet arrêt, le juge considère que l’employeur a le droit de contrôler et de surveiller l’activité de ses salariés pendant le temps du travail. Le seul procédé qui était exclu est celui de l’emploi clandestin de surveillance qui selon le juge, est illicite. Ainsi, les salariés qui avaient été dûment avertis de ce que leurs conversations téléphoniques seraient écoutées, ne peuvent valablement s’opposer à la production des enregistrements comme preuve. Dans le secteur des centres d’appel il est souvent fait recours à la surveillance du poste de travail des conseillers. Si vous avez été en centre d’appel vous vous souvenez certainement du logiciel VNC ou du système d’écoute utilisé par la cellule d’écoute.

Cette obligation d’information implique un devoir de loyauté vis-à-vis du salarié. A défaut, l’employeur enfile la tenue de l’espion. C’est le cas pour celui qui avait fait suivre par un détective privé le salarié, donc à l’insu de celui-ci. La cour d’appel a décidé, à bon droit, que les comptes rendus de filature constituaient un moyen de preuve illicite (Cour de Cassation, Chambre sociale, du 22 mai 1995).

Respect de la vie privée des salariés

Dans le cas d’espèce, nous apprenons que l’accès à la machine a eu lieu de manière « frauduleuse », selon les propos rapportés dans l’avis de la CDP. L’employeur doit en toute circonstance veiller à la vie privée de son salarié concernant l’usage que ce dernier fera des outils mis à sa disposition. Pour s’en convaincre, il suffit de revisité cet attendu de principe dégagé dans l’arrêt Nikon en 2001 : “le salarié a droit, même au temps et au lieu de travail, au respect de l’intimité de sa vie privée, laquelle implique en particulier le secret des correspondances ; que l’employeur ne peut dès lors sans violation de cette liberté fondamentale prendre connaissance des messages personnels émis par le salarié et reçus par lui grâce à un outil informatique mis à sa disposition pour son travail, et ceci même au cas où l’employeur aurait interdit une utilisation non professionnelle de l’ordinateur”.

Devant la présomption de professionnalité des outils mis à disposition par l’employeur, il faut faire très attention pour ne pas empiéter sur l’espace privé. Il peut s’agir de disque dur externe ou de votre clé usb reliée à l’outil informatique ou de votre compte de messagerie personnel auquel vous avez accès via l’ordinateur professionnel ou enfin, de votre contenu facebook en fonction des paramètres.

Pour les fichiers contenus dans une clé USB appartenant à un salarié, la jurisprudence considère que celle-ci est une extension de l’ordinateur professionnel. Dès lors, si elle est connectée à un outil informatique mis à la disposition du salarié par l’employeur pour l’exécution du contrat de travail, elle est présumée utilisée à des fins professionnelles.

Ainsi, l’employeur peut avoir accès aux fichiers non identifiés comme personnels qu’elle contient, hors la présence du salarié et même si elle appartient au salarié. C’est comme si le périphérique de stockage relié à un ordinateur devenait un élément de celui-ci, faisant partie intégrante du système d’information. Le contenu est donc censé être professionnel, sauf mention contraire permettant une identification claire de ceux qui restent dans le domaine privé.

Pour le cas d’espèce nous avons une boite de messagerie personnelle qui n’était « pas déconnectée » et une machine appartenant à l’entreprise. Pour étayer le soupçon d’un éventuel détournement de la clientèle, le patron décide d’accéder à l’ordinateur à l’insu de l’employé.

Beaucoup d’éléments seront pris en compte pour venir à bout de cette affaire, est ce qu’il y’avait une charte informatique ? Non. Est-ce qu’il y avait un code pour accéder au bureau ? Que pouvions-nous lire, une fois sur le bureau ? Y’avait-il un signe évident qui montrait que nous sommes en face d’une interface de messagerie personnelle comme sunumail, samamail… ?

Pour appréhender l’issue de cette affaire nous allons revisiter une situation semblable dans laquelle le juge décidait que : « les courriels adressés et reçus par le salarié à l’aide de l’outil informatique mis à sa disposition par l’employeur pour les besoins de son travail sont présumés avoir un caractère professionnel de ce fait, l’employeur est en droit de les ouvrir hors la présence de l’intéressé, sauf si le salarié les identifie comme personnels. » Est-ce que la plaignante a pris le soin d’indiquer que la messagerie en question était personnelle ?

Si tel est le cas, nous pouvons entrevoir une décision en sa faveur concernant la protection du secret des correspondances, consacrée dans l’article 13 de la constitution du Sénégal.

En définitive, pour mieux se protéger de la surveillance illégale, il faut prendre le soin d’identifier depuis le sujet d’un mail, s’il s’agit du personnel ou du professionnel. Il faut exiger une charte informatique ou à défaut prévoir un code d’accès. Nous avons dans le code pénal de 2016 la protection de la confidentialité des systèmes informatiques la messagerie est concernée, article 431–8. — Celui qui accède ou tente d’accéder frauduleusement à tout ou partie d’un système informatique, est puni d’un emprisonnement de six mois à trois ans et d’une amende de 1.000.000 de francs à 10.000.000 de francs ou de l’une de ces peines.

C’est ainsi qu’il faut comprendre l’attitude de la CDP quand elle transmet le dossier au procureur sur la base des articles 16–2 et 75 de la loi 2008–12 du 25 Janvier 2008. Par ailleurs un centre d’appel, avec la masse de données traitée, ne devrait pas attendre que la CDP l’invite à satisfaire à l’obligation de déclaration, de mise en conformité. Si vous traitez des données personnelles dans votre activité, c’est le moment de comprendre comment un traitement conforme vous permet de rester compétitif.

Co-construction

Peut-être que votre préoccupation n’est pas pris en compte dans cet article c’est le moment de nous contacter. Nous restons disponibles pour vos questions, suggestions ou contribution afin d’enrichir le sujet. N’hésitez pas aussi de partager les décisions sénégalaises.

Enfin, ne pensez vous pas que cet article peut aider un (e) ami (e) employé ou employeur ? Oui Oui Oui c’est le moment du partage!

Nul besoin d’expliquer à quel point la protection des données personnelles est devenu un enjeu économique et de souveraineté pour les États. Il suffit de faire un tour d’horizon sur l’actualité parlementaire des pays pour s’en rendre compte. De la publicité à la gouvernance des peuples par les données, nous avons chaque jour un exemple. De l’achat des biens ou de services, il faut parcourir l’historique de nos transactions sur le web pour évaluer le coût de notre activité même si nous pensons que nous utilisons gratuitement ces outils numériques.

La protection des données est un secteur qui traverse toute l’économie et depuis peu, est nécessaire à la vie de la nation. Pour ce dernier cas de figure, il faut trouver un équilibre entre les besoins régaliens de l’État d’avoir un aperçu sur sa population, de connaître celle-ci, et la nécessaire protection des droits fondamentaux à savoir, la liberté d’expression, la neutralité d’Internet entre autres.

Si vous n’avez pas le sésame qui donne droit à la mise en œuvre d’un traitement de données personnelles, vous êtes exposé à des sanctions et votre activité en pâtira. Pratiquement toutes les entreprises au monde ont besoin de données personnelles pour la constitution de base clients. La collecte n’est pas interdite, mais est encadrée afin de prévenir les dangers de l’exploitation illégale, nous pouvons penser au détournement de finalité par exemple. Dans nos pays, nous avons le service public qui, de plus en plus collecte des données alors que les dirigeants de ces entreprises sont souvent affiliés à des partis politiques. Ici, le challenge de l’autorité de régulation, c’est de faire en sorte que ces entreprises publiques soient en conformité et d’éviter le détournement de finalités.

Ainsi, avant de procéder au traitement, il faut effectuer les formalités préalables au niveau de la Commission de Protection des données personnelles (CDP).

Les formalités préalables.

Avant de mettre en œuvre un traitement de données personnelles, il faut satisfaire à l’obligation de déclaration au niveau de la Commission des Données Personnelles CDP sauf en cas de dispense (article 17 loi 2008) en dehors de ces cas, il vous faut l’obtention de l’autorisation pour les traitements qui sont placés sous ce régime. Si vous avez déjà commencé une collecte, vous n’avez plus de temps à perdre, allez faire la mise en conformité. Il est très fréquent, de nos jours de constater des failles de sécurité dans les systèmes informatiques ou tout simplement de subir des attaques visant les données personnelles. La mise en conformité vous permet de situer les différents niveaux de responsabilités et de réagir rapidement en cas de fuite de données personnelles.

Dans l’exercice de votre activité, vous aurez certainement besoin d’un sous-traitant. Il est courant de recevoir des propositions vous encourageant à externaliser votre communication, votre comptabilité ou la gestion de la relation client si ce n’est pas votre cœur de métier pour vous concentrer sur ce que vous faites réellement. Assurez-vous de la conformité de l’entreprise qui vous fait cette proposition. Par ailleurs, à défaut d’avoir des profils multitâches dans votre entreprise, vous aurez besoin d’un prestataire externe pour accomplir certaines actions inhérentes à votre activité. Par exemple, avec votre plateforme de e-commerce, vous aurez besoin d’un hébergeur, d’un développeur, d’un système de paiement en ligne et peut être d’un prestataire pour la livraison.

Est-ce qu’ils sont tous en odeur de sainteté avec l’autorité de régulation ? Si ce n’est pas le cas, votre activité sera touchée parce que depuis la session plénière de la CDP du 15 mars 2019, en application de l’article 39 de la loi n°2008–12 du 25 janvier 2008 portant sur la protection des données à caractère personnel, le traitement de votre déclaration, par les services de la CDP est assujetti à la conformité du ou des sous-traitants(s) auxquels vous faites appel. La délivrance d’un récépissé nécessite au préalable un justificatif de la conformité du sous-traitant.

Alors il faut penser à un contrat vous liant avec le sous-traitant dans lequel vous allez définir l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel, les catégories de personnes concernées, les obligations et les droits du responsable du traitement. Ce contrat doit prévoir que le sous-traitant :

a) ne traite les données à caractère personnel que sur l'instruction documentée du responsable du traitement, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, à moins qu’il ne soit tenu d’y procéder en vertu d’une obligation légale ;

b) Veille à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, nous pouvons évoquer le cas des centres d’appels. Si toutefois la mise en conformité n’est pas de mise, la CDP risque de brandir des sanctions.

Le pouvoir de sanction de la CDP

En plus de bloquer votre activité par le fait des clients qui tiennent trop à la protection de leurs données personnelles, vous risquez, en ne respectant pas les formalités préalables de porter un coup dur à votre activité. En effet, l’autorité dispose d’un pouvoir de sanction dont elle ne fait presque pas usage ce qui est compréhensible si on prend en considération le temps consacré à la sensibilisation et à l’accompagnement. Mais, la tenue par la CDP d’un répertoire des traitements des données à caractère personnel mis à la disposition du public (article 16.4 de la loi 2008–12 du 25 janvier) devrait permettre aux utilisateurs de savoir si ceux qui collectent leurs données sont en règle.

Sanctions administratives et pécuniaires

Même si dans sa démarche la Commission des Données Personnelles privilégie le dialogue, l’accompagnement, elle a dans sa gibecière des outils lui permettant de reprendre les récalcitrants, ceux qui n’ont aucun respect pour la protection des données des clients. En effet, son pouvoir de sanction a pour siège les articles 29 et 30 de la loi 2008–12 du 25 janvier 2008. Elle peut prononcer les mesures suivantes :

Un avertissement à l’égard du responsable du traitement ne respectant pas les obligations découlant de la loi de 2008 susmentionnée.

Une mise en demeure de faire cesser les manquements concernés dans le délai qu’elle fixe.

Ainsi, de façon graduelle, si le responsable du traitement ne se conforme pas à la mise en demeure qui lui a été adressée, la Commission peut prononcer à son encontre, après procédure contradictoire, les sanctions suivantes :

Un retrait provisoire de l’autorisation accordée pour une durée de trois (3) mois à l’expiration de laquelle, le retrait devient définitif ;

Une amende pécuniaire d’un (1) million à cent (100) millions de Franc CFA ; le recouvrement des pénalités se fait conformément à la législation relative au recouvrement des créances de l’État.

En cas d’urgence, lorsque la mise en œuvre d’un traitement ou l’exploitation de données personnelles entraîne une violation de droits et libertés, la Commission, après procédure contradictoire, peut décider :

l’interruption de la mise en œuvre du traitement pour une durée maximale de trois (3) mois ;

le verrouillage de certaines données à caractère personnel traitées pour une durée maximale de 3 mois ;

l’interdiction temporaire ou définitive d’un traitement contraire aux dispositions de la présente loi.

Si on revisite les missions de la CDP, nous voyons qu’elle doit garantir que l’exploitation des données personnelles n’impacte pas négativement les droits fondamentaux des personnes concernées. Par ailleurs, retenons que ses décisions sont susceptibles de recours devant la cour suprême.

Les sanctions pénales

Dans la section II de la loi de 2016 modifiant le code pénal, nous avons la prise en compte des atteintes spécifiques aux droits de la personne au regard du traitement des données à caractère personnel.

Dans les article 431–14 et suivants nous avons la protection pénale des données à caractère personnelles contre la collecte illégale. Celui qui, même par négligence, procède ou fait procéder à des traitements de données à caractère personnel sans avoir respecté les formalités préalables à leur mise en œuvre prévues par la loi sur les données à caractère personnel, est puni d’un emprisonnement d’un an à sept ans et d’une amende de 500 000 francs à 10.000.000 de francs ou de l’une de ces peines.

Un traitement de données personnelles, c’est : toute opération ou ensemble d’opérations prévues à l’article 2 de la présente loi effectuées ou non à l’aide de procédés automatisés ou non, et appliquées à des données, telles que la collecte, l’exploitation, l’enregistrement, l’organisation, la conservation, l’adaptation, la modification, l’extraction, la sauvegarde, la copie, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, le cryptage, l’effacement ou la destruction des données à caractère personnel.

En cas de récidive, même par négligence, si vous procédez ou faites procéder à un traitement qui a fait l’objet d’une mise en demeure suite à laquelle vous n’êtes toujours pas en conformité, vous risquez un emprisonnement d’un an à sept ans et une amende de 500.000 francs à 10.000.000 de francs ou de l’une de ces peines.

Dans la gestion du traitement, le responsable est tenu de prendre toute précaution utile au regard de la nature des données et, notamment, pour empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. Il s’agit de l’obligation de sécurité consacrée par l’article 71 de la loi sur les données à caractère personnel. Vous devez par exemple

Garantir que, pour l’utilisation d’un système de traitement automatisé de données, les personnes autorisées ne puissent accéder qu’aux données à caractère personnel relevant de leur compétence. C’est ce qu’on appelle le Need to know, le besoin d’en savoir. Il faut veiller à catégoriser les différents accès en fonction des fiches de poste, des tâches de chaque intervenant.

Garantir que puisse être vérifiée et constatée l’identité des tiers auxquels des données à caractère personnel peuvent être transmises et qui a accès aux données quand et est ce qu’il y a eu téléchargement sur un support.

Il s’agit des obligations qu’il faut respecter sous peine de sanction pouvant aller d’un emprisonnement d’un an à sept ans et, d’une amende de 500.000 francs à 10.000.000 de francs ou de l’une de ces peines.

Toujours dans cette chaine de conformité il faut veiller à sensibiliser les collaborateurs. Pour une meilleure sécurité des données. Ces derniers ne doivent pas constituer le maillon faible de la sécurité. C’est l’occasion d’informer les collaborateurs sur leur responsabilité car si vous collectez en tant que employé des données à caractère personnel par un moyen frauduleux, déloyal ou illicite, vous risquez un emprisonnement d’un an à sept ans et d’une amende de 500.000 francs à 10.000.000 de francs ou de l’une de ces peines. Ce point n’est pas à négliger, il faut en tant que responsable, mettre les moyens pour assurer la sécurité informatique et former les collaborateurs. C’est ce qui permet d’établir la responsabilité de chacun et de faciliter la recherche de preuve. Si vous devez quitter une entreprise de grâce, ne commettez pas cette infraction. Parfois vous pouvez penser que c’est votre droit le plus absolu mais ce n’est pas toujours évident demandez conseil, consultez la charte informatique.

Même si vous avez le sésame de la CDP pour mettre en œuvre un traitement, c’est là, le point de départ de votre responsabilité. Vous aurez à faire un suivi adossé sur la compliance, le respect des droits des personnes concernées revient au responsable de traitement que vous êtes. C’est pourquoi il est très utile de se faire accompagner par un professionnel, un DPO data protection officer afin d’éviter l’énorme sanction qui plane sur votre tête. (Un an à sept ans et d’une amende de 500.000 francs à 10.000.000 de francs ou de l’une de ces peines.)

Après votre déclaration, une personne physique concernée peut s’opposer au traitement et vous avez l’obligation d’accepter son refus. Par exemple il faut éviter d’envoyer des sollicitations à cette personne par mail ou sms. Dans le cadre de la prospection directe ce qu’il faut éviter, c’est d’utiliser la même base de données pour tout et n’importe quoi. C’est le cas si vous avez donné votre consentement pour des produits et services téléphonique et que vous recevez des messages pour le concert de Waly ou une invitation pour acheter un ticket payperview pour suivre un combat de lutte. Ce droit est consacré par l’article 68 de la loi sur les données à caractère personnel. Lorsque ce traitement répond à des fins de prospection, notamment commerciale, ou lorsque cette opposition est fondée sur des motifs légitimes, la sanction est indiscutable.

En définitive, il n’est pas interdit de collecter des données, mais comprenons que c’est une activité bien encadrée et cet encadrement, c’est pour garantir la confiance dans une économie numérique qui a besoin de redonner à l’humain toute sa place. Donc collectez, mais légalement, licitement loyalement….

Ce livre blanc sur le numérique à l’épreuve de l’urgence sanitaire du Covid19 au Sénégal offre une belle perspective dans la prise en charge de ces questions. Il est d’autant plus pertinent qu’il permet de cerner l’incertitude pour protéger à la fois les organismes (SSI) et les personnes concernées (protection de la vie privée ) contre les risques liées aux données.

Téléchargez file:///D:/Desktop/Covid19SnVsNum%C3%A9rique_com.pdf