Sénégal : la CDP alerte sur les deepfakes, sans chiffre ni sanction
La Commission de protection des données personnelles a publié une alerte sur le clonage de voix et les deepfakes. Derrière le conseil de raccrocher, une mécanique juridique précise : la loi de 2008 suffit à qualifier l'arnaque, mais le seul recours passe par une adresse mail.
Dans cet article
Ce que la CDP a réellement publié
Le 7 novembre 2026, la Commission de protection des données personnelles du Sénégal a diffusé un communiqué appelant la population à la vigilance face au clonage de voix et aux deepfakes. L'institution y affirme que des cas ont été signalés « récemment » dans le pays et dans la sous-région. Aucun chiffre n'est avancé : ni nombre de plaintes, ni montants détournés, ni période couverte. Le document ne dit pas non plus combien de dossiers la Commission a traités.
Ce qu'elle dit, en revanche, est juridiquement plus fort qu'un conseil de prudence. Elle rappelle que la voix et l'image sont des données à caractère personnel protégées par la loi n° 2008-12 du 25 janvier 2008. Elle qualifie leur enregistrement, reproduction ou utilisation par IA, sans base légale et à l'insu de la personne, de « traitement illicite et déloyal ».
La thèse : le problème n'est pas l'IA, c'est le guichet
Voilà ce que l'alerte ne dit pas explicitement mais que sa construction révèle : le Sénégal n'a pas besoin d'une nouvelle loi sur les deepfakes — le communiqué n'en demande aucune. Il a besoin d'un endroit où une victime peut entrer. La CDP recommande de saisir la Commission via une adresse électronique, plainte.signalement@cdp.sn, et indique que ses services se trouvent au Complexe Sicap du Point E, à Dakar.
La loi de 2008 date de dix-huit ans. Elle tient pourtant, parce qu'elle ne définit pas la technologie : elle définit la donnée. La voix est une donnée personnelle ; la reproduire sans base légale est un traitement illicite. La CDP n'a pas eu à toucher au texte pour qualifier l'arnaque.
Qui est interpellé, qui ne l'est pas
Le communiqué s'adresse à deux publics : les particuliers et les entreprises. Aux premiers, il recommande de raccrocher et de rappeler la personne à son numéro habituel, de ne pas céder à l'urgence, de limiter l'exposition de sa voix et de son image en ligne. Aux secondes, il demande de renforcer les procédures de contrôle et de sensibiliser les équipes.
Ce périmètre laisse de côté les intermédiaires financiers. Ni les banques, ni les opérateurs de mobile money ne sont mentionnés : le communiqué ne dit rien des procédures de rappel d'un transfert, ni des moyens de bloquer un virement suspect. C'est un fait vérifiable à la lecture : la partie la plus coûteuse du problème — l'argent qui sort — reste hors du texte.
Ce que pèse le contexte sénégalais
Le Sénégal compte 18,9 millions d'habitants et 60,1 % d'utilisateurs d'Internet en 2024, selon la Banque mondiale. Le PIB par habitant est de 1 955 dollars (Banque mondiale, 2025). Ces ordres de grandeur disent une chose : une voix circule désormais massivement en ligne, sur un territoire où l'essentiel des échanges passe par des canaux numériques grand public.
La CDP recommande de limiter l'exposition publique de sa voix et de son image. Le conseil est raisonnable, mais il laisse une question ouverte : un commerçant qui enregistre un message vocal de présentation, un cadre qui laisse un répondeur professionnel, un influenceur qui publie des vidéos exposent leur voix par nécessité économique, pas par imprudence. Le communiqué ne dit pas comment concilier cette exposition avec l'activité.
Le précédent qui manque
Aucune des sources ne cite de condamnation, de plainte traitée, ni de sanction prononcée en application de la loi de 2008 pour un cas de clonage vocal. La CDP rappelle que des sanctions existent, mais ne les chiffre pas, ne les nomme pas, ne dit pas si elles ont déjà été appliquées. C'est le point aveugle de l'alerte : on ne sait pas si le droit fonctionne, seulement qu'il existe.
Le déplacement
La vraie question que pose ce communiqué n'est pas « comment reconnaître un deepfake ». C'est : combien de plaintes la CDP a-t-elle reçues, et combien a-t-elle transmises au parquet ? Une institution qui publie une alerte sans publier ses chiffres demande à la population une confiance qu'elle ne documente pas. Et tant que le seul guichet reste une adresse mail et un bâtiment à Dakar, la question de l'accès se pose pour tous ceux qui n'habitent pas la capitale — sans qu'aucune donnée disponible ici ne permette de mesurer combien ils sont.
