Data Privacy : la loi n° 2008-12 au cœur de la démarche numérique de l’ENA

Pour la session 2026 de ses concours, l’École nationale d’Administration (ENA) du Sénégal ne publie plus, dans ses listes provisoires, que le prénom, le nom et le numéro de dossier des candidats. Derrière ce détail de mise en page se joue l’application concrète du principe de minimisation inscrit à l’article 35 de la loi n° 2008-12 du 25 janvier 2008.

C’est une simple mention dans un visuel d’information. Elle marque pourtant une inflexion majeure pour la gouvernance des données publiques au Sénégal. Dans son communiqué relatif à la session 2026 des concours d’entrée, l’ENA indique se conformer à la loi n° 2008-12 sur la protection des données à caractère personnel.

Les listes provisoires publiées en octobre 2026 en portent la trace. Pour les concours directs comme pour les concours professionnels, chaque tableau se limite désormais à trois colonnes : numéro de dossier, prénom et nom .

L’enjeu dépasse la conformité administrative. Les numéros de dossier du seul concours direct de catégorie B dépassent 25 000, ce qui donne la mesure du volume de données en jeu. La décision de l’ENA pose une question plus large : celle de la maturité numérique d’un État qui dématérialise vite, mais protège encore inégalement les données qu’il diffuse.

Le Sénégal a été l’un des premiers pays africains à se doter d’un régime complet de protection des données. Ce régime, vieux de dix-huit ans, reste en vigueur en octobre 2026, sa réforme n’ayant toujours pas abouti. La décision de l’ENA s’appuie donc sur un socle ancien mais exigeant.

La fin de « l’Open Data involontaire »

Pendant des années, la proclamation des listes de concours s’est accompagnée d’une publication intégrale de fichiers nominatifs, accessibles sans restriction sur Internet. Ces documents divulguaient bien plus que l’identité des candidats. Nous avions publié un article sur ce phénomène en mars 2021. Cinq fichiers du concours d’entrée à l’École des douanes 2017/2018 exposaient alors les données de près de 37 000 jeunes : nom, prénom, date et lieu de naissance, numéro de téléphone et adresse électronique . L’article soulignait déjà que ces informations ouvraient la voie à l’usurpation d’identité et à la revente de fichiers.

Le phénomène n’était pas isolé. Plusieurs documents encore consultables en ligne en octobre 2026 en témoignent (nous ne les lions pas, afin de ne pas amplifier leur diffusion).

Pour les spécialistes du numérique, cette pratique relève de l’« Open Data involontaire ». L’open data véritable suppose une décision, une finalité d’intérêt général et une anonymisation préalable. Ici, rien de tel : des fichiers bruts, au format PDF, livrés aux robots d’indexation.

Les risques sont concrets. La combinaison nom, date et lieu de naissance suffit souvent à répondre aux questions de sécurité d’un opérateur ou d’un service de mobile money. Elle nourrit des campagnes d’hameçonnage ciblé, comme celle qui a usurpé l’identité de Dakar Dem Dikk et de la Mairie de Dakar en février 2025. Elle alimente enfin le profilage commercial non consenti, contre lequel nous alertions dès 2018.

Le principe de minimisation consiste à ne collecter et ne diffuser que les données strictementdx nécessaires à la finalité du traitement. En droit sénégalais, il découle directement de l’article 35 de la loi n° 2008-12 . La CDP, autorité administrative indépendante créée par l’article 5 de la même loi, en est la gardienne.

La finalité d’une liste provisoire est double : permettre à chaque candidat de vérifier la recevabilité de son dossier, et garantir publiquement la régularité de la procédure. Ni la date de naissance, ni le lieu de naissance, ni le téléphone ne servent cette finalité. En retenant le triptyque numéro de dossier, prénom et nom, l’ENA opère un arbitrage équilibré :

• Périmètre public minimal : chacun peut vérifier sa présence sur la liste, sans que celle-ci révèle d’éléments d’identification secondaires.
• Désambiguïsation sans exposition : le numéro de dossier distingue les homonymes, nombreux dans les listes nationales, sans recourir à la date ou au lieu de naissance.
• Renvoi vers un espace authentifié : les informations individuelles (convocation, centre d’examen, résultats détaillés) relèvent d’un espace candidat sécurisé, et non de l’affichage public.

Une nuance s’impose toutefois. Le nom complet reste public, et cette publicité se justifie par l’exigence de transparence. Le numéro de dossier, lui, devient une donnée visible de tous : il ne doit donc jamais servir, à lui seul, de clé d’accès à l’espace personnel. Cette démarche rejoint les travaux du Dr Mouhamadou Lo, rédacteur de la loi de 2008 et premier président de la CDP, dont nous avions présenté l’ouvrage de référence sur la protection des données en Afrique. Elle montre qu’une institution peut appliquer la loi sans attendre la réforme annoncée depuis 2019.

Les enjeux techniques pour le secteur public

La mue de l’ENA soulève trois chantiers techniques que les services informatiques de l’administration doivent désormais traiter.

Indexation et droit à l’oubli : Les fichiers PDF des sessions antérieures restent souvent référencés par les moteurs de recherche, et des sites tiers en conservent des copies. La loi n° 2008-12 limite pourtant la durée de conservation à ce qui est nécessaire à la finalité (art. 72) et reconnaît aux personnes un droit de rectification et de suppression. Un assainissement s’impose : retrait des fichiers des serveurs publics, demandes de déréférencement, et signalement à la CDP des copies détenues par des tiers.

Sécurité des portails d’inscription : Restreindre l’affichage public revient à concentrer les données dans l’espace candidat. Ce portail devient la cible prioritaire. Deux exigences en découlent :

• le numéro de dossier, désormais public, ne peut pas servir de mot de passe ou de secret d’authentification ;
• les numéros séquentiels doivent être protégés contre l’énumération automatisée (limitation du nombre de requêtes, contrôle d’accès sur chaque ressource, journalisation).

L’article 71 de la loi n° 2008-12 impose précisément au responsable de traitement d’empêcher l’accès de tiers non autorisés aux données. Le projet de loi n° 25/2026 sur la sécurité numérique renforce cette exigence en instituant l’Autorité nationale de cybersécurité, un CERT national et des CERT sectoriels.

Souveraineté et hygiène numérique de l’administration. Dès 2019, nous relevions que de nombreux agents publics délaissaient la messagerie officielle de l’État au profit de services commerciaux, exposant des échanges sensibles au cyberespionnage. La protection des données des candidats relève de la même culture : elle suppose des outils maîtrisés, hébergés et sécurisés sous le contrôle de l’administration.

Vers une généralisation à toute l’administration ?

L’initiative de l’ENA doit désormais servir de modèle. Trois familles d’acteurs publient chaque année des listes nominatives à grande échelle :

• les universités publiques, lors de la publication des admissions, des orientations et des attributions de bourses ;
• les ministères et écoles organisant des concours de la fonction publique (justice, douanes, santé, éducation, forces de défense et de sécurité) ;
• la Direction des examens et concours (DEXCO) et les structures chargées des examens nationaux.

Le contexte s’y prête. Le New Deal technologique multiplie les projets reposant sur des traitements de données personnelles, ce qui rend la modernisation du cadre juridique d’autant plus pressante, selon les experts interrogés par l’APS. L’Agenda national de transformation « Sénégal 2050 » fait par ailleurs de la cybersécurité un pilier de la politique de sécurité nationale .

Dans un contexte africain où le Sénégal entend consolider son statut de pôle technologique, la crédibilité de l’État repose autant sur sa capacité à innover que sur sa rigueur à protéger la vie privée de ses citoyens.

Recommandations

• Adopter une doctrine nationale de publication des listes: Une circulaire du Premier ministre, prise après avis de la CDP, fixerait le format type : identifiant, prénom, nom, et rien d’autre.
• Rendre l’avis de la CDP systématique : Tout traitement lié à un concours ou à un examen national devrait faire l’objet d’une déclaration ou d’une demande d’avis préalable, conformément à la loi n° 2008-12.
• Purger l’existant. Chaque institution devrait recenser les fichiers nominatifs encore en ligne, les retirer et engager les demandes de déréférencement.
• Sécuriser les espaces candidats : Authentification forte, protection contre l’énumération, chiffrement et journalisation, en cohérence avec la future loi sur la sécurité numérique.
• Former les agents: Les services chargés des concours doivent maîtriser les principes de finalité, de minimisation et de durée de conservation.
• Accélérer la réforme législative : La loi de 2008 ne traite ni la notification obligatoire des violations, ni les enjeux de l’intelligence artificielle ; le projet de réforme attendu depuis 2019 doit aboutir.

La transformation numérique ne se mesure pas seulement au nombre de services dématérialisés. Elle se mesure aussi au respect effectif des droits fondamentaux à l’ère du numérique. L’ENA vient d’en faire la démonstration ; reste à en faire la norme.

Source photo illustration – ENA