Le Sénégal a été l'un des premiers pays d'Afrique de l'Ouest à se doter d'un cadre complet de protection des données personnelles : la loi n° 2008-12 du 25 janvier 2008 et la Commission de protection des Données Personnelles (CDP), autorité indépendante chargée de veiller à son application. Toute organisation qui collecte ou traite des données de résidents sénégalais — banques, assureurs, opérateurs, e-commerçants, employeurs — entre dans son champ.
Les obligations clés
- Formalités préalables auprès de la CDP : déclaration des traitements, autorisation pour les données sensibles (santé, biométrie, données judiciaires).
- Base de licéité et finalité déterminée : collecter uniquement les données nécessaires, les conserver pour une durée justifiée.
- Information et droits des personnes : accès, rectification, opposition — avec des processus capables d'y répondre dans des délais raisonnables.
- Sécurité et confidentialité : mesures techniques et organisationnelles proportionnées aux risques.
- Encadrement des transferts transfrontaliers vers des pays n'assurant pas un niveau de protection suffisant.
RGPD et loi sénégalaise : double conformité
Beaucoup d'organisations sénégalaises traitent aussi des données de résidents européens — clients de la diaspora, partenaires, filiales. Elles cumulent alors les obligations du RGPD et celles de la loi sénégalaise. Plutôt que deux dispositifs parallèles, nous recommandons un socle commun aligné sur le standard le plus exigeant : registre des traitements unique, analyse d'impact pour les traitements à risque, gouvernance claire des sous-traitants, et un dispositif de gestion des violations de données capable de tenir les délais de notification les plus courts.
La protection des données n'est pas qu'un sujet juridique : c'est un sujet de confiance commerciale. Dans la banque comme dans l'assurance, prouver que les données clients sont gouvernées, tracées et protégées devient un argument différenciant dans les appels d'offres.
Optima Advisory construit des programmes de conformité données personnelles de bout en bout : cartographie des traitements, formalités CDP, politiques et procédures, sensibilisation des équipes et tests du dispositif de gestion des violations.
