Panorama des cadres de protection des données personnelles (contours et limites) M. Abdourahmane DIOUF - Magistrat Commissaire à la CDP.

Présentation au sujet: "Panorama des cadres de protection des données personnelles (contours et limites) M. Abdourahmane DIOUF - Magistrat Commissaire à la CDP."— Transcription de la présentation:

1 Panorama des cadres de protection des données personnelles (contours et limites)
M. Abdourahmane DIOUF - Magistrat Commissaire à la CDP

2 SOMMAIRE Genèse de la législation sénégalaise
Contours de la législation sénégalaise Limites de la législation sénégalaise Panorama des cadres de protection des données personnelles (contours et limites)

3 01 Genèse de la loi sénégalaise
Panorama des cadres de protection des données personnelles (contours et limites)

4 Genèse 2014 2011 2008 2005 Premières délibérations de la CDP
Circulaire PM n° 2757 du 24/06/2014 portant désignation des points focaux au sein des ministères 2011 Signature du Décret n°2011–929 du 29/06/2011 portant nomination des membres de la CDP 2008 Adoption et promulgation de la loi n° du 25/01/2008 sur la PDACP Signature du décret d’application  n° du 30/06/2008 2005 Audit de l’environnement juridique : encadrement propice des TIC Séminaire « Informatique et libertés :  quel cadre juridique pour le Sénégal ?» Rédaction d’un projet de loi sur les données à caractère personnel

5 Genèse – Autres textes 2014 Convention de l’Union Africaine sur la Cybersécurité et la Protection des données personnelles 27 juin 2014 2010 Acte additionnel A/SA.1/01/10 de la CEDEAO du 16 février 2010 relatif à la protection des données à caractère personnel

6 02 Contours de la législation
Panorama des cadres de protection des données personnelles (contours et limites)

7 Quel cadre normatif ? Le champ d’application Les concepts
Les principes fondamentaux Les régimes de protection Les droits et obligations

8 LDP : Champ d’application
Sont soumis à la LDP : Toute collecte, tout traitement, toute transmission, tout stockage et toute utilisation des données à caractère personnel par une personne physique, par l’Etat, les collectivités locales, les personnes morales de droit public ou de droit privé.

9 IP LDP : les définitions taille Dossier médical nom Compte bancaire vie associative ou politique Qu’est-ce qu’une donnée à caractère personnel ? situation familiale empreintes historique judiciaire orientation sexuelle ? adresse postale UDID du mobile historiques des achats historiques de navigation Immatriculation véhicule âge messageries Carte bancaire Historiques des mots clés courriel patrimoine études empreintes Images des caméras de surveillance Données de trafic (péages) communications téléphoniques poids photos Chats SMS religion sexe ADN N° SS

10 Responsable de traitement ?
LDP : les définitions Traitement de DACP ? Responsable de traitement ? « Toute opération effectuée ou non à l’aide de procédés automatisés ou non, et appliquées à des données personnelles, telles que la collecte, l’exploitation, l’enregistrement, l’organisation, la conservation, l’adaptation, la modification, l’extraction, la sauvegarde, la copie, etc. » « La personne physique ou morale, publique ou privée, tout autre organisme ou association qui prend la décision de collecter et de traiter des DACP et en détermine la finalité »

11 LDP : les principes fondamentaux
La finalité : A quoi va servir le traitement envisagé ? La légitimité : le traitement est-il conforme au droit ? La proportionnalité : Recueillir le minimum nécessaire et non au « cas où » La durée : Au bout de quel délai doit-on détruire ou archiver ? La sécurité : Comment garantir la sécurité et la qualité du traitement envisagé ?

12 LDP : les régimes de protection
données sensibles (données politiques, ethniques, santé, etc.) données biométriques interconnexion de fichiers transferts hors du Sénégal 1. Régime d’autorisation - Traitement « à risque » fichiers de Police (sûreté de l’Etat, défense et sécurité publique) recensement de la population 2. Régime d’avis - Traitement de l’Etat 3. Régime de déclaration - Régime de droit commun 4. Régime de dispense - Traitement personnel, copies temporaires

13 Statistiques sur les types de traitement

14 Les catégories de données déclarées

15 Les catégories de données autorisées

16 LPD : les obligations du RT et les droits de la personne objet de collecte
Droits des personnes Recueillir le consentement (sauf disposition contraire) ; Définir une ou des finalité(s) explicite(s) et légitime(s) du traitement; Collecter des données adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles seront traitées; Veiller à la sécurité et à la confidentialité des données personnelles; Définir la durée de conservation nécessaire au regard de la ou des finalités définies; Déclarer devant la CDP tout fichier, base de données et système portant sur les DP. Droit à l’information préalable (informer sur l’identité du responsable de traitement, des destinataires éventuels des données, etc. ); Droit d’accès (donner la possibilité aux fichées d’accéder aux données les concernant); Droit d’opposition (aux prospections commerciales par exemple); Droit de rectification et de suppression

17 Quel cadre institutionnel ?
Statut de la CDP Composition de la CDP Missions de la CDP Pouvoirs de la CDP

18 Statut de la CDP Indépendance : AAI / collège / l’origine des membres / durée du mandat (4 ans renouvelable 1 fois) Prestation de serment : CA et Tribunal Financement : budget de l’Etat / autonomie de gestion

19 La CDP, composition 11 Membres : Président de la République (3)
Parlement (1) Cour Suprême (2) Patronat (1) Ordre des avocats (1) Organisations de défense des droits de l’homme (1) Agence de l’informatique de l’Etat (1) Commissaire du Gouvernement (1)

20 Cadre institutionnel : Missions de la CDP
Informer et conseiller Promouvoir la culture de la transparence Protéger contre les abus Contrôler la conformité à la législation Sanctionner en cas de manquement

21 Cadre institutionnel : Pouvoirs de la CDP
Mise en demeure Avertissement Interdiction / Retrait de l’autorisation accordée Amende pécuniaire 1 -> 100 millions   Saisir le juge

22 Statistiques de la CDP Plaintes : 43 Avertissements : 3
Interdictions de traitement : 5 Mise en demeure : 2

23 Les limites de la législation
03

24 Limites : les contraintes technologiques

25 Contraintes technologiques: les réseaux sociaux
Divulgation d’informations confidentielles Usurpation d’identité Géolocalisation Harcèlement moral Profilage

26 Contraintes technologiques: le cloud computing
Abus de privilèges du fournisseur Perte de contrôle sur la gestion du SI Confidentialité et Intégrité des données Changement de juridiction Piratage des données

27 Contraintes technologiques: l’internet des objets
Sécurité des données Prospection commerciale Géolocalisation Synchronisation automatique avec le cloud

28 Contraintes technologiques: le Big Data
Impact sur la vie privée: analyse comportementale Non respect des principes de finalité, du consentement des personnes concernées Le degré d’anonymisation des données La non limitation de la quantité de données collectées

29 Limites : les manquements de la législation
Les enregistrements clandestins (vidéo ou audio) La collecte par des particuliers des documents administratifs perdus (carte d’identité, passeport, etc.)  Le droit à l’information obligatoire en cas d’atteinte à la sécurité et à l’intégrité de données personnelles (vol, piratage, intrusion, etc.) Le droit à l’oubli immédiat La portabilité des données

30 MERCI