Déclaration CDP Sénégal site web : le guide pratique

Si votre site web ou votre application collecte la moindre information sur une personne — un nom dans un formulaire de contact, un numéro de téléphone pour une livraison, une adresse e-mail pour une newsletter — vous êtes concerné par la déclaration CDP. Au Sénégal, la loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel impose à tout organisme qui traite des données de se déclarer auprès de la Commission de Protection des Données Personnelles (CDP) avant de démarrer le traitement. Ce n'est pas une formalité réservée aux grandes entreprises : une boutique en ligne de Dakar qui enregistre les numéros Wave de ses clients traite des données personnelles, au même titre qu'une clinique ou une banque.

La bonne nouvelle, c'est que la démarche administrative est la partie la plus simple. La partie coûteuse, c'est ce qu'il y a derrière : votre site, votre base de données et vos process doivent pouvoir tenir la promesse que vous faites dans votre déclaration. Cet article décrit les deux volets, avec ce que nous savons avec certitude et ce qui reste à vérifier auprès de la CDP.

Non, ce n'est pas « le RGPD Sénégal »

Beaucoup de dirigeants nous arrivent en disant « il paraît qu'il faut faire le RGPD ». Précision utile : le RGPD est un règlement européen. Il ne s'applique à vous que si vous ciblez des personnes situées dans l'Union européenne — ce qui arrive, par exemple, si vous vendez à la diaspora sénégalaise en France ou en Italie.

Votre texte de référence au Sénégal, c'est la loi 2008-12, et votre interlocuteur c'est la CDP, pas la CNIL. Les deux régimes partagent la même logique de fond (finalité, consentement, sécurité, droits des personnes), mais les procédures, les formulaires et les sanctions ne sont pas les mêmes. Recopier un modèle de politique de confidentialité trouvé sur un site français vous donnera un document qui cite les mauvais articles et la mauvaise autorité. C'est l'erreur la plus fréquente que nous voyons sur les sites sénégalais.

À noter aussi : le cadre bouge. Un projet de modernisation de la loi 2008-12 a été dévoilé début 2026 et s'inscrit dans le New Deal Technologique Horizon 2034, dont la souveraineté numérique est l'un des axes. Au moment où nous écrivons, la loi 2008-12 reste le texte en vigueur. Nous vous déconseillons d'attendre la réforme pour vous mettre en règle : la logique générale ne changera pas, et les chantiers techniques décrits plus bas seront à faire de toute façon.

Qui doit faire une déclaration CDP pour son site web

En pratique, vous êtes concerné si vous faites au moins une de ces choses :

• un formulaire de contact, de devis ou d'inscription sur votre site ;
• une boutique en ligne qui enregistre des commandes, des adresses de livraison et des références de paiement Wave, Orange Money ou Free Money ;
• une base de numéros utilisée pour du SMS marketing ou des campagnes WhatsApp ;
• une application mobile avec comptes utilisateurs ;
• un logiciel RH, de paie ou de gestion des congés ;
• un système de pointage ou de contrôle d'accès par empreinte digitale ou reconnaissance faciale ;
• de la vidéosurveillance dans vos locaux ;
• des dossiers patients, des dossiers d'élèves, des dossiers de crédit.

Les trois derniers points méritent une attention particulière. La CDP a signalé, dans ses communications publiques de 2026, une augmentation nette des dossiers liés à la biométrie et à la vidéosurveillance. Beaucoup d'entreprises dakaroises ont installé un pointage par empreinte digitale pour régler un problème de retards, sans réaliser qu'une empreinte est une donnée sensible, soumise à un régime plus strict qu'une simple liste de clients. Si c'est votre cas, c'est probablement votre dossier le plus urgent.

La CDP n'est pas une institution dormante. Elle publie des avis trimestriels — celui du premier trimestre 2026 fait état de plusieurs centaines de dossiers traités — et anime régulièrement des ateliers d'accompagnement auprès d'organismes publics et parapublics. Attendez-vous à ce que l'exigence monte, pas l'inverse.

Le déclencheur le plus fréquent : l'appel d'offres

Dans les faits, une bonne partie des entreprises qui nous contactent sur ce sujet ne le font pas par conviction, mais parce qu'un donneur d'ordre leur réclame une preuve de déclaration. Marché public, contrat avec une institution, partenariat avec une banque ou un opérateur télécom : la demande d'attestation est en train de devenir un réflexe dans les dossiers de candidature. Si vous visez ce type de contrats, traitez le sujet avant d'en avoir besoin — un dossier monté dans l'urgence, la veille du dépôt, se voit.

Les démarches auprès de la CDP

La déclaration se fait auprès de la CDP, qui met à disposition des formulaires et une procédure en ligne sur cdp.sn. Selon la nature de votre traitement, vous relèverez soit d'une simple déclaration, soit d'une demande d'autorisation — régime plus lourd, qui concerne typiquement les données sensibles : santé, biométrie, infractions, données bancaires à grande échelle.

Trois points que nous vous invitons à vérifier directement auprès de la CDP plutôt que de nous croire sur parole, parce que les modalités évoluent : le coût éventuel du dépôt, la liste exacte des pièces à fournir et le délai de réponse pour un dossier d'autorisation. Ce sont des informations que l'institution donne volontiers par téléphone ou en se déplaçant, et nous préférons vous y renvoyer que de publier un chiffre qui serait faux dans six mois.

Ce que nous pouvons dire, en revanche, c'est ce qu'un dossier de déclaration vous oblige à produire en interne : la liste de vos traitements, leur finalité, les catégories de données collectées, les destinataires, la durée de conservation et les mesures de sécurité. Autrement dit, un registre des traitements. Si vous ne l'avez pas, vous ne pouvez pas remplir le formulaire honnêtement — et c'est précisément là que le chantier commence.

Et si vous êtes à Abidjan, Bamako ou Cotonou ?

Le principe est le même, l'autorité change. La Côte d'Ivoire a son ARTCI, le Burkina Faso sa CIL, le Mali son APDP, le Bénin son APDP également. La Convention de Malabo de l'Union africaine a posé un socle commun que la plupart des pays de l'UEMOA ont transposé. Si vous opérez dans plusieurs pays, vous devez vous déclarer dans chacun d'eux : une déclaration sénégalaise ne vous couvre pas à Abidjan. Pour une application mobile distribuée dans toute la sous-région, c'est un point à anticiper dès la conception, pas après le lancement.

Ce qu'il faut corriger sur le site, concrètement

Voici la checklist que nous utilisons en audit. Comptez les points que vous ne pouvez pas cocher aujourd'hui.

1. Une politique de confidentialité rédigée pour le droit sénégalais, accessible depuis toutes les pages, citant la loi 2008-12 et la CDP.
2. Une mention d'information sous chaque formulaire : qui collecte, pourquoi, combien de temps, comment exercer ses droits.
3. Un consentement actif pour le marketing : une case à cocher, décochée par défaut, distincte de l'acceptation des conditions générales. Une case pré-cochée n'est pas un consentement.
4. Une preuve de ce consentement stockée en base : date, heure, adresse IP, version du texte accepté. Sans trace, vous ne pouvez rien prouver.
5. Un bandeau cookies qui bloque réellement les traceurs avant acceptation. Un bandeau purement décoratif, qui charge Google Analytics et le pixel Facebook dès l'arrivée sur la page, ne sert à rien.
6. Le site en HTTPS, certificat valide, redirection automatique depuis le HTTP.
7. Les mots de passe hachés (bcrypt ou argon2), jamais stockés en clair, jamais envoyés par e-mail.
8. Les données sensibles chiffrées en base : numéros de pièce d'identité, données de santé, coordonnées bancaires.
9. Une durée de conservation définie par type de donnée, et une purge automatique qui l'applique. Garder dix ans de paniers abandonnés n'a aucune justification.
10. Des accès nominatifs à l'administration du site. Un compte « admin » partagé entre cinq personnes rend toute traçabilité impossible.
11. Des logs d'accès aux données sensibles, eux-mêmes limités dans le temps.
12. Un canal d'exercice des droits qui fonctionne : une adresse e-mail dédiée, et quelqu'un qui la lit.
13. Une procédure en cas de fuite : qui prévient qui, dans quel délai.
14. Un encadrement contractuel de vos prestataires — hébergeur, plateforme d'e-mailing, outil de support, agrégateur de paiement. Vous restez responsable de ce qu'ils font de vos données.
15. Le registre des traitements, tenu à jour.

Sur les quinze, la plupart des sites que nous auditons en cochent cinq à sept. Les points 4, 9, 11 et 15 sont presque toujours manquants, parce qu'ils sont invisibles depuis le navigateur : personne ne les voit, jusqu'au jour où on les demande.

Deux jours de travail, ou une refonte ?

La réponse honnête, c'est : ça dépend de ce sur quoi votre site est construit.

Les points 1, 2, 3, 6 et 12 relèvent du contenu et de la configuration. Sur un site correctement fait, c'est quelques jours de travail, et ça entre dans un forfait de maintenance mensuelle (100K – 1M FCFA par mois selon le périmètre).

Les points 4, 7, 8, 9 et 11 touchent la base de données et le code applicatif. Sur une application développée proprement — chez nous, typiquement NestJS et PostgreSQL — ce sont des évolutions maîtrisables. Sur un WordPress bricolé depuis six ans, avec quarante extensions dont on ignore ce qu'elles collectent, le calcul change : il est souvent moins cher et plus sûr de refaire. Une refonte ou migration se situe entre 500K et 3M FCFA pour 2 à 4 semaines, et vous en sortez avec un actif que vous maîtrisez.

Pour savoir dans quel cas vous êtes, il faut regarder. C'est l'objet d'un audit de conformité : 100K à 500K FCFA selon la taille du périmètre, avec en sortie un état des lieux point par point, la liste des traitements à déclarer et un plan de remédiation chiffré. Beaucoup de clients s'arrêtent là et font exécuter le plan par leur équipe interne — c'est un usage parfaitement légitime du livrable.

La question de l'hébergement

C'est le sujet sur lequel circulent le plus d'approximations. Nous avons lu plusieurs fois que « les données des Sénégalais doivent obligatoirement être hébergées au Sénégal ». Soyons précis : la souveraineté des données est un axe affiché du New Deal Technologique, des capacités nationales existent et se développent, et certains secteurs ou certains marchés publics peuvent imposer leurs propres exigences de localisation dans leur cahier des charges.

En revanche, avant d'affirmer qu'une obligation générale de localisation s'impose à toute entreprise privée, vérifiez le texte applicable à votre secteur et interrogez la CDP. Ce que la loi encadre clairement, ce sont les transferts de données vers l'étranger, qui supposent des garanties. En clair : héberger chez un fournisseur européen n'est pas interdit en soi, mais ça doit être documenté dans votre déclaration et encadré avec le prestataire. Si vous répondez à des marchés publics, posez la question de la localisation avant de choisir votre hébergeur — pas après.

Les sanctions, et le risque réel

La loi 2008-12 prévoit des sanctions administratives et pénales, et la CDP dispose d'un pouvoir de mise en demeure. Nous ne publierons pas de montant précis ici : les barèmes et la procédure sont le genre d'information qu'il faut lire dans le texte à jour, pas dans un article de blog.

Mais pour la plupart des PME, le risque financier immédiat n'est pas le plus coûteux. Le risque concret, c'est : un contrat perdu faute d'attestation, une fuite de votre fichier clients qui se retrouve sur WhatsApp, un collaborateur qui part avec la base, un client institutionnel qui rompt la relation. Ces scénarios-là arrivent, et ils coûtent beaucoup plus cher que la mise en conformité.

Par où commencer cette semaine

Trois actions, sans budget :

1. Listez vos traitements sur une feuille. Site, boutique, fichier Excel commercial, groupe WhatsApp clients, pointeuse biométrique, caméras, logiciel de paie. Vous serez surpris du nombre.
2. Ouvrez votre site en navigation privée et regardez ce qui se charge avant que vous n'ayez cliqué sur quoi que ce soit.
3. Appelez la CDP et demandez quel régime s'applique à votre activité. C'est gratuit et ça vous évitera de monter le mauvais dossier.

Si l'inventaire vous inquiète, nous faisons ce travail pour vous. Absitech réalise des audits de conformité combinant le volet déclaratif et le volet technique — base de données, consentements, durées de conservation, hébergement — et nous développons ensuite les corrections si vous le souhaitez. Vous pouvez estimer votre budget sur notre simulateur de devis, voir le type de projets que nous livrons sur notre portfolio, ou simplement nous décrire votre situation via le formulaire de contact. Nous vous dirons franchement si un audit est justifié dans votre cas — pour un site vitrine de cinq pages avec un seul formulaire, une demi-journée de conseil suffit souvent.