La Commission de protection des
données personnelles du Sénégal (CDP),
réunie en session plénière le 3 avril 2014 sous la présidence du Dr Mouhamadou LO,
Président ;

Vu la Constitution ;

Vu la loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère
personnel ;

Vu le décret n° 2008-721 du 30 juin 2008 portant application de la loi n° 2008-12 du 25
janvier 2008 ;

Vu la lettre n°000149/CDP du 13 janvier 2014 portant déclaration des fichiers
contenant des données personnelles devant la Commission de protection des
données personnelles ;

Vu la délibération n° 2014-001 du 31 janvier 2014 portant règlement intérieur de la
Commission de protection des données personnelles ;

Vu la lettre n° 000272/CDP du 18 mars 2014 portant demande d’explication adressée
à EXPRESSO SENEGAL SA ;

Vu les observations écrites de EXPRESSO SENEGAL SA par lettre n° 
0432/EXPR/SEN/DG/mbs du 2 avril 2014 portant réponse à la lettre de demande
d’explication précitée ;

Vu le procès-verbal de la session plénière du 3 avril 2014 de la Commission de
protection des données personnelles ;

EMET, APRES DELIBERATION, LA DECISION SUIVANTE :

FAITS ET PROCÉDURE :

A l’instar des grandes démocraties, notre pays a institué un régime de protection des
données à caractère personnel par la loi n° 2008-12 du 25 janvier 2008 afin de se
prémunir contre les risques liés à l’utilisation frauduleuse ou abusive des données
nominatives des sénégalais.

A cet effet, la Commission de protection des données personnelles (CDP) a été mise
en place pour veiller à l’application de la loi.

Après le démarrage effectif de ses activités en décembre 2013, la CDP a invité
EXPRESSO SENEGAL SA par lettre n°000149/CDP du 13 janvier 2014 à se
rapprocher de ses services pour procéder à la déclaration des fichiers et bases de
données contenant des données personnelles.

A la date du 23 janvier 2014, une réunion entre CDP et EXPRESSO SENEGAL s’est
tenue au siège de la CDP dont les conclusions étaient : la désignation d’un point focal
de la CDP, le recensement par EXPRESSO SENEGAL SA de tous ses fichiers et bases
de données contenant des informations nominatives, la définition d’un plan d’actions
de déclaration et ensuite la déclaration desdits fichiers et bases de données devant la
CDP.

Or, à ce jour, la CDP n’a reçu aucun recensement. De même, aucune déclaration des
traitements de données personnelles n’a été faite par EXPRESSO SENEGAL SA
devant la CDP.

Par ailleurs, suite à la diffusion auprès de ses abonnés par sms d’un message
publicitaire au profit de « CCBM Electronics », la CDP a, après réception d’une
plainte, adressé par lettre n° 000272 du 28 mars 2014 une demande d’explication à
EXPRESSO SENEGAL SA sur la nature des données collectées, les bases de données
ou les fichiers concernés par le message ainsi que toute autre information relative à la
légitimité dudit message. Aussi, la CDP a demandé à ce que ce traitement soit soumis
aux formalités légales en application de la législation en vigueur.

Par lettre n° 0432/EXPR/SEN/DG/mbs du 2 avril 2014 EXPRESSO SENEGAL SA
affirme avoir eu recours au système « du push sms » pour envoyer un message « à
certain de ses abonnés pour les informer des nouveaux produits de CCBM dans le cadre de
l’exécution d’un partenariat signé avec ce groupe ».

Par cette réponse, EXPRESSO SENEGAL SA fait un aveu de son usage de la
prospection commerciale directe, et ce, sans le consentement préalable de ses
abonnés.

MOTIFS DE LA DÉCISION

En tant que responsable de traitement portant sur des données personnelles,
EXPRESSO SENEGAL SA a l’obligation, en application des articles 2, 35, 47 et 68 de
la loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère
personnel, de procéder à la déclaration de tous les fichiers et bases de données
contenant des informations nominatives, de respecter les finalités pour lesquelles les
données ont été collectées, de s’abstenir de toute prospection commerciale directe
sans le consentement préalable des personnes concernées et de mettre un place un
dispositif permettant à toute personne d’exercer son droit d’opposition audit
traitement.

Or, EXPRESSO SENEGAL SA a délibérément envoyé des SMS de prospection
commerciale à ses abonnés sans leur consentement et sans aucune possibilité de
s’opposer audit traitement.

La CDP estime que ces faits constatés révèlent un manquement sérieux aux
dispositions des articles susmentionnés occasionnant dès lors une atteinte grave à la
vie privée et à la tranquillité des personnes concernées.

En conséquence, la CDP, en application des dispositions des articles 29 de la loi n° 
2008-12 du 25 janvier 2008 précitée ainsi que des articles 24 et 59 de son Règlement
Intérieur, décide :

– d’adresser un avertissement à EXPRESSO SENEGAL SA ;

– de publier ledit avertissement ;

– d’interdire toute nouvelle prospection directe non conforme à la législation
en vigueur en matière de protection des données à caractère personnel ;

– de demander au Comité de sanction de prononcer une mise en demeure
suivi d’une sanction pécuniaire en cas de récidive.

Le Président

(Source : CDP, 8 avril 2014)