Protection des données :Sénégal
- Vérifié le 15 oct. 2026
- CDP
Texte de référence
Loi sur la protection des données à caractère personnel
Loi n° 2008-12 du 25 janvier 2008 et décret d'application n° 2008-721
Formalités
Déclaration préalable auprès de la CDP pour les traitements standards (art. 18) ; autorisation préalable pour les catégories à risque listées à l'article 20 (dont interconnexions, données sensibles, transferts hors Sénégal). La CDP tient un répertoire public des traitements (art. 16).
Délégué à la protection des données
La loi de 2008, lue intégralement, ne prévoit aucune obligation de désigner un délégué à la protection des données. Désigner un référent interne reste une bonne pratique, non une obligation légale.
Notification d'une violation de données
La loi de 2008, lue intégralement, ne prévoit aucune obligation de notifier une violation de données (seul l'article 71 impose des mesures de sécurité, sans obligation de notification en cas de manquement). Bonne pratique : informer la CDP et les personnes concernées sans délai malgré l'absence d'obligation légale explicite.
Transferts hors du pays
Transfert vers un pays assurant un niveau de protection adéquat : autorisé, sous réserve d'en informer la CDP au préalable (art. 49). Vers un pays non adéquat : cas limités (consentement exprès pour un transfert ponctuel non massif, sauvegarde d'intérêts vitaux, intérêt public, constatation/exercice de droits en justice, exécution d'un contrat — art. 50), ou autorisation de la CDP si le responsable offre des garanties suffisantes (art. 51).
Données sensibles
Collecte et traitement de données révélant origine raciale/ethnique/régionale, santé ou données génétiques interdits en principe (art. 40), sauf exceptions de l'article 41 (données rendues publiques par la personne, consentement écrit, intérêts vitaux, contentieux, finalités historiques/statistiques/scientifiques, obligation légale) ; régimes particuliers pour les données pénales (art. 42) et de santé (art. 43).
Sanctions
Amende pécuniaire de 1 à 100 millions FCFA prononcée par la CDP après mise en demeure restée sans effet, avec retrait provisoire d'autorisation de 3 mois pouvant devenir définitif (art. 30). Les infractions pénales sont renvoyées au Code pénal et à la loi sur la cybercriminalité (art. 75) — pas de peine de prison propre à cette loi.
Autres textes utiles
- Loi n° 2008-08 sur les transactions électroniques
- Loi n° 2008-11 portant sur la cybercriminalité
Sénégal : votre checklist de conformité en 3 minutes.
Indiquez vos données et votre hébergement : CodeBox génère vos obligations et suit votre avancement, pays par pays.