Senegal: Wet nr. 2008-12 betreffende de bescherming van persoonsgegevens (2008)

Senegal heeft Wet nr. 2008-12 op 25 januari 2008 vastgesteld, een van de eerste gegevensbeschermingswetten in Afrika, uitgevoerd bij Decreet nr. 2008-721 van 30 juni 2008. Zij stelt de Commission de protection des Données Personnelles (CDP) in, een onafhankelijke autoriteit die de voorafgaande formaliteiten ontvangt, klachten behandelt, controles ter plaatse, op stukken en via hoorzitting uitvoert, en verwerkingsverantwoordelijken bestraft. De verwerking moet in beginsel bij de CDP worden aangegeven ; voorafgaande machtiging is vereist voor gevoelige verwerkingen (genetische gegevens, biometrische gegevens, gegevens over strafbare feiten, nationale identificatienummers, koppelingen van bestanden en verwerkingen van openbaar belang), en verwerkingen door de Staat vereisen een met redenen omkleed advies van de CDP. Toestemming vormt de standaardrechtsgrond, met uitzonderingen voor wettelijke verplichtingen, openbaar belang, overeenkomst en vitale belangen.

Grensoverschrijdende doorgiften zijn verboden tenzij het ontvangende land een toereikende bescherming waarborgt, en de CDP moet vóór elke doorgifte worden geïnformeerd. Er bestaat geen verplichte melding van inbreuken en de aanstelling van een functionaris voor gegevensbescherming is voor ondernemingen facultatief. Senegal was in 2016 het eerste Afrikaanse land dat het Verdrag van Malabo van de Afrikaanse Unie inzake cyberveiligheid en de bescherming van persoonsgegevens heeft geratificeerd. Een moderniseringsontwerp dat eind 2019 werd gepubliceerd, dat de CDP door een nieuwe autoriteit zou vervangen en biometrie, big data en AI zou behandelen, is niet aangenomen, zodat de wet van 2008 in 2026 van kracht blijft.