Togo: Fumbling With a Digital ID While Actively Surveilling Citizens

By Afi Edoh |

For four years Togo has been inching towards issuing a digital identity (ID) card. While there are indications that 2022 may be the year in which the west African country finally delivers the long-awaited digital ID, the road ahead remains uncertain. Challenges lie both in bureaucratic delays and citizens’ caginess about handing their data to a government with a penchant for surveilling citizens and shutting down digital communications.

The Togolese government announced the e-ID Togo project in 2018, but it was not until mid 2021 that the Ministry of the Digital Economy and Digital Transformation initiated efforts to recruit a communications consultant to devise an awareness campaign to precede the registration stage and a technology solutions service provider. The International Institute of Information Technology Bangalore was awarded the system contract in December 2021.

According to the government, the e-ID project will simplify the process of updating the electoral register, facilitate access to public services and to credit, reduce fraud in the financial sector, and facilitate the targeting of social protection beneficiaries. Only 25% of the country’s population of eight million has a form of identification, with women less likely to have an identification document, which hinders their ability to open bank accounts, enrol children in school, benefit from health insurance, or get a mobile phone number. In recognition of the gaps in civil registration among citizens, the government set out to enrol citizens for e-ID even without proof of birth registration.

Togo passed Law No. 2019-014 relating to the protection of personal data in October 2019. In 2020, parliament passed Law No. 2020-009 relating to the biometric identification of natural persons, whose objective is to establish a system for identification and authentication of natural persons. The law aims to establish a “secure and reliable methodology” for obtaining, maintaining, storing and updating data on the identity of registered individuals. The law requires all citizens and residents in Togo to obtain a Unique Identification Number (NIU) by submitting their demographic and biometric data (Article 4). The biometric data specified for purposes of obtaining a NIU are photograph and / or facial recognition, fingerprints, and iris scan. The National Identification Agency (ANID) is mandated to collect biometric data for the NIU.

SIM Card Registration
In July 2021, a SIM card registration and limitation of subscriptions per individual and network campaign was launched by the telecommunications regulatory authority ARCEP, supported by leading telecom operators Moov Africa Togo and TogoCom. The SIM registration requirements include a national identity card or passport and collection of biometric and demographic data. 

But this extensive collection of individuals’ personal data raises concerns for the safety of such data. These concerns are not unfounded and they partly arise from the state’s record on respect for digital rights, which have seen it order network disruptions and use malware to target opponents and dissidents.

State Surveillance
In 2020, lingering suspicions that the Togolese government was undertaking interceptions of communications gained credence when the Citizen Lab revealed that Israeli-made spyware Pegasus, supplied by the NSO Group, was used between April and May 2019 to target Togolese civil society, including a Catholic bishop and a priest, as well as two members of Togo’s political opposition. The surveillance reportedly coincided with nationwide pro-reform protests that were forcibly dispersed. The Togolese government did not respond to the allegations, which nonetheless sparked debate within Togolese media and civil society.

Further, in October 2021, Amnesty International research found that Togolese activists had been targeted with spyware by the Donot Team hacker group based in India – the  first time that Donot Team spyware was found in use outside of South Asia. According to the report, the activists’ devices were targeted between December 2019 and January 2020, during a tense political climate ahead of the 2020 presidential election.

Network Disruptions

During the February 2020 elections, authorities disrupted access to messaging services (WhatsApp, Facebook Messenger, and Telegram). Later that year, the Economic Community of West African States (ECOWAS) Court of Justice ruled that the 2017 internet shutdown in Togo was illegal and an affront on the right of freedom to expression. 

According to Access Now, the court ordered the government of Togo to pay two million francs (USD 3,459) to the plaintiffs as compensation, and to take all the necessary measures to guarantee the implementation of safeguards with respect to the right to freedom of expression of the Togolese people.

Privacy and Data Protection

Togo’s laws provide safeguards against unlawful surveillance and unauthorised access to data whilst also granting authorities sweeping powers to violate privacy. Law No. 2012-018 on electronic communications provides for privacy of communications but article 92 empowers the Prime Minister, and the Ministers responsible for the economy and finance, defence, justice, and security and civil protection, to trigger the interception of communications and electronic content.

The biometrics identification law requires the National Identification Agency to encode and encrypt data on its registry and only allows access to authorised agents (article 10, 21 & 22). Violation of the obligation of non-disclosure of personal data, identity theft and unauthorised processing of personal data are punishable with fines ranging from one million to 10 million Central African Francs (USD 1,747 to 17,472), imprisonment between one and five years, or both.   

Article 94 of Togo’s 2012 electronic communication law obliges encryption service providers to comply with lawful interception orders, with refusal to provide secret decryption codes to government agencies punishable with a fine of between USD 3,544 and USD 14,178. Cryptology services providers are required to retain for one year, content and data allowing the identification of anyone who has used their services, and to provide the technical means that enable the identification of those users. The service providers are required to avail this data, on request, to the investigating judge, Prime Minister, Minister for the Economy and Finance, the Minister of Defence, the Minister  of Justice, and the Minister of Security. The multiple officials who access data – similar to the various officials that can trigger the interception of communications – offers wide latitude for abuse of citizens’ data privacy rights.

Digital Exclusion
In the wake of Covid-19, Togo initiated a relief programme for vulnerable citizens whose livelihoods were affected by the state of emergency. As at March 2021, the programme, known as NOVISSI, had disbursed a total of 13.3 billion francs (USD 22 million) to 819,972 citizens via mobile money.

However, the programme was criticised for requiring applicants to possess a voter’s ID card. During the last electoral census, opposition parties called on the population to boycott the exercise, which meant that some citizens had not renewed their voter ID cards. There were also cases of unscrupulous individuals utilising the voter’s ID details of other citizens to fraudulently benefit from the programme. As a result, the government temporarily halted the program to allow for physical verification of beneficiaries at dedicated centres.

Way forward

Whereas the various sanctions within the existing legal framework might be a deterrent against unauthorised access to and misuse of personal data, there is wide latitude for state agencies and officials to access the data, which could be abused. This calls for a review of the provisions to ensure they uphold citizens’ right to privacy and data protection, with adequate oversight and redress mechanisms. Further, the e-ID should be rolled out in a manner that ensures agency and dignity, without enhancing exclusion and surveillance. 

Call for Proposals: Round Six of the Africa Digital Rights Fund (ADRF)

Call for Proposals |

The Collaboration on International ICT Policy for East and Southern Africa (CIPESA) is pleased to issue the sixth call for proposals to the Africa Digital Rights Fund (ADRF), which supports digital rights work across the continent through flexible and rapid response grants.

Grant amounts for this round will range between USD 1,000 and USD 10,000, depending on the need and scope of the proposed intervention. The ADRF strongly encourages cost-sharing. The grant period will not exceed six months.

Launched in April 2019, the ADRF supports organisations and networks to implement activities that promote digital rights, including advocacy, litigation, research, policy analysis, skills development and movement building. As at August 2021, the ADRF had supported 45 initiatives with a total sum of USD 564,000. 

Grantees have advanced learning on the intersection of technology, society and the economy across the continent. Notable efforts include studying the role of technology in human trafficking, promoting data protection in digital financial services, digital rights coalition building, confronting online abuse against women, capacity development in digital literacy and security for refugees and pushing back against barriers to digital accessibility for persons with disabilities

Furthermore, the Fund has provided technical and institutional support in impact communications and data-driven advocacy to further enhance grantees’ capacity and ensure sustainability of their work.

Application Guidelines

Geographical Coverage

The ADRF is open to organisations/networks based and/or operational in Africa and with interventions covering any country on the continent.

Size of Grants

Grant size shall range from US$1,000 to US$10,000. Cost sharing is strongly encouraged.

Eligible Activities

The activities that are eligible for funding are those that protect and advance digital rights. These may include but are not limited to research, advocacy, engagement in policy processes, litigation, digital literacy and digital security skills building. The current call is particularly interested in proposals for work related to:

  • Data governance including aspects of data localisation, biometric databases and digital ID
  • Digital resilience
  • Digital economy
  • Digital inclusion
  • Misinformation/disinformation

Duration

The grant funding shall be for a period not exceeding six months.

Eligibility Requirements

  • The Fund is open to organisations and coalitions working to advance digital rights in Africa. This includes but is not limited to human rights defenders, media, activists, think tanks, legal aid groups, and tech hubs. Entities working on women’s rights, or with youth, sexual minorities, refugees, and persons with disabilities are strongly encouraged to apply.
  • The initiatives to be funded will preferably have formal registration in an African country, but in some circumstances organisations and coalitions that do not have formal registration may be considered. Such organisations need to show evidence that they are operational in a particular African country or countries.
  • The activities to be funded must be in/on an African country or countries.

Ineligible Activities

  • The Fund shall not fund any activity that does not directly advance digital rights.
  • The Fund will not support travel to attend conferences or workshops, except in exceptional circumstances where such travel is directly linked to an activity that is eligible.
  • Costs that have already been incurred are ineligible.
  • The Fund shall not provide scholarships.

Administration

The Fund is administered by CIPESA. An internal and external panel of experts will make decisions on beneficiaries based on the following criteria:

  • If the proposed intervention fits within the Fund’s digital rights priorities.
  • The relevance to the given context/country.
  • Commitment and experience of the applicant in advancing digital rights.
  • Potential impact of the intervention on digital rights policies or practices.

The deadline for submissions is Friday April 15, 2022. The application form can be accessed here.

 

CIPESA Submits Comments on Tanzania’s Proposed Amendment to The Online Content Regulations 2021

By Edrine Wanyama |

The Collaboration on International ICT Policy for East and Southern Africa (CIPESA) has made a submission on the proposed amendments to Tanzania’s controversial Electronic and Postal Communications (Online Content) Regulations, 2020 that regulate online content service providers, internet service providers, application services licensees, and online content users.

On August 24, 2021, the government made a public call for comments on proposals to amend the 2020 Regulations, which entrenched the licencing and taxation of bloggers, online discussion forums, radio and television webcasters, and repressed online speech, privacy and access to information. The move towards amending the Regulations follows a series of concerns expressed in 2017, 2018 and 2020 over the regressive and repressive nature of online content regulation in the country, and its detrimental effect on freedom of expression, access to information, and the right of establishment of media.  

The proposed 2021 regulations largely reflect the previously issued regulations. While they have  some positive elements, they largely fail to address the threats posed to human rights defenders, political dissidents, journalists, academics, civil society organisations and actors.

On a positive note, the proposed regulations reduce licence application fees, as well as annual and renewal fees charged for online media content services and online content aggregators. Thus, online media content service providers will pay application fees of TZS 50,000 (USD 22) down from TZS 100,000 (USD43), initial licence fees of USD 217 from USD 433, annual licence fees of USD 217   from USD 433 and renewal fees of USD 43 from USD217.

The regulations also remove some ambiguous specification of obligations of service providers, such as the proposed deletion of the current regulation  9 (d) which potentially censors a broad variety of content by imposing on service providers the obligation to filter what is considered “prohibited content.” Regulation  9 (d) of the EPOCA Regulations of 2020 requires online content service providers to, “use moderating tools to filter prohibited content.” 

Furthermore, under regulation 3, some level of certainty in the scope of definitions is provided especially for “online media content services” and “online content aggregators”, which are lacking in the current regulations. The proposed regulations also make attempts to define and narrow the scope of categories of licences by removing all fees that were earlier imposed on online content relating to education and religion, and fees chargeable for the provision of Online Content Service Licence Category B (Simulcasting radio and television). 

However, the proposed regulation maintains broad and vague definitions, such as of “hate speech”, which could potentially be misused against individuals, media and private sector players.

Moreover, the licensing requirements under Part II of the EPOCA regulations of 2020, which have not been proposed for amendment, are still prohibitive with very heavy penalties of not less than five million shillings (USD 2,157) or  12 months imprisonment, or both, for operating without a license from the Tanzania Communications Regulatory Authority (TCRA). 

Further, the process of applying for a licence under regulation 6 remains tedious, requiring the applicant to furnish TCRA with extensive information including personal information. This comprises certified copies of certificate of incorporation or certificate of registration, tax identification number, tax clearance certificate, national identity cards, and list of owners and management teams, curriculum vitae of staff, editorial policy guidelines and any other documents required by the authority. 

The proposed amendments do not make any attempt to address the wanton restrictions laid down in the Third Schedule to regulation 16 on prohibited content.  This  includes content in paragraph 1 on sexuality and decency, content on personal privacy and respect for human dignity which extends to insults, slander and defamation or exposes news related to a person’s privacy under Paragraph 2(b)

Further, there are restrictions on content  on public security, violence and national security (Paragraph 3), content that is considered to be disrespectful of religion and personal beliefs (paragraph 7), public information that may cause public havoc and disorder (paragraph 8), use of bad languages and disparaging words (paragraph 9) and false, untrue and misleading content (paragraph 10). 

The scope of prohibited content under the Third Schedule is wide and ambiguous, and the provisions facilitate curtailment of freedom of expression and access to information. 

Additionally, the schedule prohibits publication of “content with information with regards to the outbreak of a deadly or contagious disease in the country or elsewhere without the approval of the respective authorities.” The penalty for breach of regulations is a fine of not less than five million Tanzanian shillings (USD 2,174), imprisonment for not less than 12 months, or both. This prohibition undermines freedom of expression and access to health information as it provides room for suspension of content.

Regulation 9(g) maintains  the status quo of the obligations of online content service providers to ensure that prohibited content  is removed immediately upon being ordered by TCRA. This ultimately means the sweeping powers of the authority to determine what content is available for public consumption are still on the statute books. Such powers are also a potential tool for censorship of content and hinder free expression and access to information.

The proposed amendments to the regulations come a few months after the death of Tanzania’s former president, John Magufuli. His reign was characterised by systematic clampdown and curtailment of freedoms including of expression, access to information, assembly and associations. The period before Magufuli’s death was also  characterised  by a lacklustre response to the Covid-19 pandemic.  

The analysis concludes that the proposed amendments provide some ray of hope especially in providing some degree of certainty in definition of key terms and reduction of application and licensing fees. However, the proposals are not sufficient to tackle the deep concerns in the 2020 regulations. 

You can read the full submission here.

Apply for Data Driven Advocacy Sketchathon at FIFAfrica21

Call for Applications |

Do you want to use data for advocacy but you’re not sure where to start? Would you like to transform statistics into compelling stories? Are you passionate about a digital rights cause, and want to convince others to join your efforts?

In the lead up to the Forum on Internet Freedom in Africa 2021 (FIFAfrica21), the Collaboration on International ICT Policy for East and Southern Africa (CIPESA) and Data4Change will host a virtual data sketchathon and series of critical discussions to get you thinking more about how to use data in digital rights advocacy. The sketchathon will take place on Monday 27 September 2021.

The schedule
Starting at 10am East African Time (EAT) and finishing at 5pm EAT, the sketchathon will entail a combination of live Zoom sessions and self-paced activities.

We’ll use the answers in your application forms to set an agenda for the group discussions as we explore themes like: data biases; representation, accessibility and ownership of data; and data inequalities. You’ll also have an opportunity to work in small groups to map your data advocacy aspirations and to tackle some of the data questions you’re grappling with as individuals or organisations.

Participants will also have an opportunity to create a data design using data from the #KeepItOn campaign Shutdown Tracker Optimisation Project.

Who should apply
There are no prerequisites, and literally anybody can apply. We are looking for people who are passionate about uncovering the potential of using numbers to drive forward emotive stories that have the power to advance digital rights preferably in Lesotho, Mozambique, Tanzania, Uganda, Zambia, and Zimbabwe.

A limited number of spaces are available for the workshop. We endeavour to create diverse and collaborative spaces and to foster a sense of community that lasts beyond the event and will strive to create a balanced representation of different geographies, abilities, and approaches among participants.

How to apply
Submit this form before 18.00 East African Time on Wednesday September 22, 2021.

Successful applicants will be notified by Friday September 24, 2021. A modest reimbursement will be provided for participants’ connectivity costs.

Aperçu de la Responsabilité des Intermédiaires au Sénégal

By Astou Diouf |

Parmi ses homologues ouest-africains, le Sénégal fait partie des leaders dans les efforts de numérisation. Ses classements en matière de liberté de la presse sont élevés et le pays a également enregistré des progrès positifs en matière de protection des données. Les acteurs du secteur des télécommunications comprennent les entrants de 2018, ARC Telecom, WAW Telecom et Africa Access, aux côtés de l’entreprise  Sonatel, Free (initialement sous licence SENTEL, rebaptisée plus tard Tigo) et Expresso Sénégal

De plus, l’accessibilité d’Internet reste un défi, le pays se classant 25ème  sur 72 pays évalués selon l’indice d’accessibilité. En décembre 2020, la pénétration d’Internet au Sénégal était estimée à 88,7% et la pénétration mobile à 114,2%. Cependant, il existe des inquiétudes concernant les contrôles répressifs prétendument destinés à lutter contre la cybercriminalité, la désinformation et les discours de haine. 

Cet article met en évidence l’état de la responsabilité des intermédiaires au Sénégal à travers l’environnement juridique et réglementaire relatif aux obligations des intermédiaires, y compris la divulgation d’informations/données aux autorités répressives, le filtrage ou le blocage de contenu et les limitations du service. 

Aperçu législatif et réglementaire

La loi sur les transactions électroniques et le décret sur les communications électroniques sont les principales législations qui établissent un cadre de responsabilité des intermédiaires au Sénégal. L’article 3(1) de la loi n° 2008-08 du 25 janvier 2008 relative aux transactions électroniques désigne les intermédiaires comme « les personnes dont l’activité est de fournir au public l’accès à des services par le biais des technologies de l’information et de la communication ».

S’inspirant de la loi française n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, la loi de 2008 impose aux intermédiaires des obligations limitées de surveillance des contenus, mais les oblige à mettre en place des mécanismes pour supprimer ou empêcher l’accès aux contenus illicites, informer les utilisateurs des restrictions de service et des plaintes.

L’article 3(2) précise les personnes physiques ou morales qui fournissent au public un service de stockage de signaux, d’écrits, d’images, de sons ou de messages «  ne peuvent pas voir leur responsabilité civile engagée du fait  des activités ou des informations stockées à la demande d’un destinataire de ces services si elles n’avaient pas effectivement connaissance de leur caractère illicite ou de faits et circonstances faisant apparaître ce caractère ou si,  dès le moment où elles en ont eu cette connaissance, elles ont agi promptement pour retirer ces données ou pour en rendre l’accès impossible ».

Cependant, sans une définition claire de ce qui constitue un contenu illicite, la loi sur les transactions électroniques laisse place à la restriction de l’accès à un contenu arbitrairement jugé illégal, mais il n’existe pas de dispositions claires sur les moyens de contester les décisions de retrait de contenu. 

En revanche, la confidentialité des informations personnelles est exigée par l’article 5. Le non-respect des dispositions de la loi sur les transactions électroniques constitue une infraction aux articles 431-46 à 431-49 du Code pénal de 2016, passible d’une amende de 250 000 à 1 000 000 de francs (461 à 1 845 USD), d’un emprisonnement de six mois à un an, ou des deux.

Le décret de 2008 sur les communications électroniques considère les intermédiaires comme des parties neutres n’exerçant aucun contrôle sur le contenu, en partant du principe qu’ils ne font que transmettre ou stocker des informations, parfois de manière temporaire. Ainsi, l’article 6 limite la responsabilité des intermédiaires lorsque « 1) ils ne choisissent pas le destinataire de la transmission ; 2) ils n’initient pas la transmission ; 3) les activités de transfert et de fourniture d’accès visent exclusivement à effectuer la transmission ou la fourniture d’accès ; 4) ils ne modifient pas les informations soumises à la transmission ; 5) ils exécutent une décision d’une autorité judiciaire ou administrative de supprimer l’information ou d’en interdire l’accès. 

Alors que la loi sur les transactions électroniques et le décret sur les communications électroniques limitent la responsabilité des intermédiaires, d’autres lois imposent des obligations qui ont des implications sur les droits des utilisateurs, comme détaillé ci-dessous. Il s’agit notamment de la loi sur les services de renseignement, de la loi modifiant le Code de procédure pénale, du Code des communications électroniques et de la loi modifiant le Code pénal.

Interception des communications et divulgation d’informations

La loi n°2016-33 du 14 décembre 2016 relative aux services de renseignement en vertu de l’article 10 précise que dans l’intérêt de la sécurité nationale, les autorités de renseignement peuvent « utiliser des procédures techniques, intrusives, de surveillance ou de localisation pour collecter des informations utiles à la neutralisation de la menace ». L’article 11 exige des prestataires de services qu’ils coopèrent et assistent des « organismes privés concernés » non spécifiés dans leurs activités de renseignement. 

La loi n° 2016-30 modifiant la loi n° 65-61 de 1965 portant code de procédure pénale mentionne également la responsabilité des intermédiaires en matière d’enquêtes pénales. L’article 90-11 exige la coopération d’intermédiaires avec les autorités d’enquête pour collecter ou l’enregistrer « en temps réel » des données et communications électroniques pertinentes. L’article 90-14 prévoit que le procureur de la République doit adresser aux opérateurs de télécommunications et aux fournisseurs de services une demande formelle de coopération. L’enregistrement et l’interception des communications en vertu du code pénal sont soumis à l’autorisation écrite d’un juge.

En outre, l’article 90-17 habilite les juges à ordonner aux intermédiaires de décrypter les données ou de fournir des informations sur le fonctionnement des systèmes cryptés. Les ordonnances ne sont pas susceptibles d’appel et leur validité est limitée à une période de deux à quatre mois renouvelable au cas par cas. L’absence de dispositions permettant aux personnes faisant l’objet d’une surveillance de contester les ordonnances judiciaires va à l’encontre des dispositions de la Convention de Budapest (à laquelle le Sénégal est partie), qui vise à assurer un équilibre approprié entre les intérêts des forces de l’ordre et le respect des droits fondamentaux de l’homme.

L’article 20 du Code des communications électroniques réaffirme l’obligation pour les prestataires de services de coopérer avec les autorités gouvernementales conformément aux dispositions de l’article 90-11 du Code de procédure pénale, notamment en divulguant les informations pertinentes et en offrant une assistance technique sur demande. 

Limitations du service

Le Code des communications électroniques 2018 impose aux fournisseurs de services de « prévenir une congestion imminente du réseau et atténuer les effets d’une congestion exceptionnelle ou temporaire, pour autant que les catégories équivalentes de trafic fassent l’objet d’un traitement égal » (article 27) ». Il ajoute que « l’autorité de régulation peut autoriser ou imposer toute mesure de gestion du trafic qu’elle juge utile pour préserver la concurrence dans le secteur des télécommunications électroniques et assurer un traitement équitable de services similaires ». En application de ces dispositions, les intermédiaires peuvent réduire le débit ou interrompre Internet à des moments et des lieux, sous prétexte de réduire la congestion du réseau. Les dispositions confèrent également à l’Autorité de régulation des télécommunications et des postes (ARTP) des pouvoirs illimités pour autoriser ou imposer des restrictions sur la disponibilité des réseaux de communication numériques. 

Des exigences strictes de confidentialité et de continuité de service sont également imposées aux intermédiaires et à leur personnel en vertu de l’article 167 du Code pénal qui prévoit  que « la suppression ou l’ouverture de correspondance adressée à des tiers de mauvaise foi » est un délit passible d’un emprisonnement de six jours à un an et une amende de 20 000 à 100 000 francs (36 à 185 USD), ou les deux.  

Restrictions de contenu

Il n’y a pas d’obligations spécifiques pour les intermédiaires de surveiller activement les réseaux et les plateformes à la recherche de contenus contrefaits. L’article 3, paragraphe 5, de la loi de 2008 sur les transactions électroniques stipule que les prestataires de services « ne sont pas soumises à une obligation générale de surveiller les informations qu’ils transmettent ou stockent, ni à une obligation générale de rechercher des faits ou des circonstances révélant des activités illicites ». Cependant, la disposition fait l’objet d’une activité de surveillance ciblée et de demandes des autorités judiciaires. En ce qui concerne les crimes contre l’humanité, l’incitation à la haine raciale et la pornographie infantile, l’article 3, paragraphe 5, prévoit que les intermédiaires doivent mettre en place des systèmes « facilement accessibles et visibles » pour permettre que de tels contenus soient portés à leur attention.

Alors que la Constitution du Sénégal garantit la liberté d’expression, l’article 255 du Code pénal prévoit que : « La publication, la diffusion, la divulgation ou la reproduction, par quelque procédé que ce soit, de fausses nouvelles, fabriquées, falsifiées ou faussement attribuées à des tiers » qui entraîne la désobéissance civile, met en danger la population ou discrédite les institutions publiques est un délit passible d’un emprisonnement d’un à trois ans et d’une amende de 100 000 à 1 500 000 francs (185 à 2 770 USD). Sans une définition claire de ce qui constitue une fausse nouvelle et compte tenu des exigences de coopération avec les autorités chargées de l’application des lois, le défaut des intermédiaires de signaler toute infraction peut entraîner des sanctions. 

Aux termes de l’article 431-61 du Code pénal, la condamnation pour une infraction à la loi commise via des communications électroniques entraîne des peines supplémentaires. Elles comprennent l’interdiction d’envoyer des communications électroniques, l’interdiction temporaire ou définitive d’accéder au site utilisé pour commettre l’infraction ou à son hébergeur. L’article impose également aux prestataires de services de mettre en œuvre les mesures nécessaires pour assurer le respect des sanctions, dont la violation est un délit passible de six mois à trois ans d’emprisonnement et d’une amende de 500 000 à 2 000 000 francs (923 à 3 693 USD). 

Cas de responsabilité des intermédiaires 

  1. Plusieurs entités privées et publiques collectent des données à caractère personnel au Sénégal. Par exemple, il existe un enregistrement obligatoire de la carte SIM lié à la base de données nationale d’identité. Cependant, de nombreux cas de non-respect de la loi sur la protection des données et des règlements de la Commission des données personnelles (CDP) ont été signalés. Voir, par exemple, l’avis trimestriel du CDP
  2. Lors des émeutes du début de l’année 2021, le gouvernement a suspendu les chaînes de télévision privées Sen TV et Walf TV pour avoir diffusé à plusieurs reprises des images des troubles qui ont suivi l’arrestation du leader de l’opposition sénégalaise Ousmane Sonko. En outre, l’accès aux plateformes de médias sociaux, notamment YouTube et Whatsapp, a été restreint.
  3. Le 20 juin 2019, le journal en ligne « Pressafrik » aurait été inaccessible pendant des heures après avoir collaboré avec la BBC sur un reportage d’enquête sur des allégations de corruption impliquant le frère du président Macky Sall. Selon le directeur  de publication Ibrahima Lissa Faye, le piratage a été “sponsorisé” étant donné que “60 % des sites d’information sénégalais sont chez le même hébergeur et PressAfrik est le seul site à être inaccessible”. 
  4. Le régulateur des télécommunications, l’ARTP, a par le passé lancé des ultimatums aux opérateurs de télécommunications pour améliorer la qualité des services.
  5. Selon le rapport Transparence de Facebook, le Sénégal a fait six demandes de données d’utilisateurs, concernant sept comptes en 2020  dont aucune n’a été respectée. Les demandes antérieures, au nombre de 21 pour la période 2016-2019, n’ont pas non plus été satisfaites.
  6. Depuis 2009, le Sénégal a fait quatre demandes de suppression de contenu à Google.
  7. En 2016, le Sénégal aurait fait le deuxième plus grand nombre de demandes d’informations sur les abonnés  à Orange  – 18 653, contre 13 557 l’année précédente.  

Conclusion et recommandations

 

L’environnement législatif et pratique de la responsabilité des intermédiaires au Sénégal manque de clarté sur les rôles et les obligations. Dans certains cas, des pouvoirs excessifs sur l’exploitation du réseau sont accordés aux prestataires de services et au régulateur. Dans d’autres, les exigences de coopération avec les autorités répressives sont larges, sans spécifier les voies de recours en cas d’abus des droits des utilisateurs. Alors que la loi sur les transactions électroniques et le décret sur les communications électroniques sont clairs sur le rôle de l’intermédiaire en ce qui concerne le contenu de l’utilisateur, la loi sur les services de renseignement, le code pénal et d’autres documents prévoient des dispositions contradictoires relatives à la surveillance et à l’interception des communications susceptibles de porter atteinte à la vie privée et à la liberté d’expression en ligne.

Une législation spécifique est nécessaire pour déterminer la responsabilité des intermédiaires, y compris avec précision sur les contenus susceptibles de faire l’objet d’un retrait ou d’un blocage, des procédures d’appel pour les décisions et des mesures de rétablissement des contenus supprimés. En l’absence d’un document juridique spécifique entièrement dédié à la responsabilité des intermédiaires, la définition de la responsabilité des intermédiaires, des responsabilités et obligations, ainsi que des contenus illicites devrait être claire et cohérente dans l’ensemble de la législation existante.

Pour leur part, les intermédiaires devraient fournir des conditions d’utilisation des services claires, accessibles et compréhensibles, y compris des options de confidentialité, de sauvegarde et d’anonymisation, dans des formats accessibles afin de promouvoir la confidentialité et la protection des données. En outre, une transparence accrue des prestataires de services devrait inclure une communication préalable des modifications apportées aux politiques d’utilisation pertinentes, des restrictions de service, ainsi que la publication de rapports détaillés sur la coopération avec les autorités. Parallèlement, il est nécessaire de renforcer les partenariats et l’engagement avec la société civile en vue d’un plaidoyer collaboratif pour promouvoir les principes des entreprises et des droits de l’homme.

Astou DIOUF est boursière CIPESA et travaille sur le rôle des intermédiaires et des fournisseurs de services Internet dans la lutte contre la Covid-19 au Sénégal, notamment sur des questions telles que la facilitation de l’accès à Internet, les atteintes à la vie privée et aux données personnelles, et le contenu.