L’essentiel en bref : au Sénégal, tout traitement de données personnelles doit faire l’objet d’une formalité préalable auprès de la Commission de protection des données personnelles (CDP), en vertu de la loi n° 2008-12. Selon la nature du traitement, il s’agit d’une simple déclaration pour les traitements courants, ou d’une demande d’autorisation pour les traitements sensibles comme la santé, la biométrie ou le stockage de données à l’étranger. La procédure consiste à remplir le formulaire de la CDP, à le déposer via le portail cdp.sn, et à attendre le récépissé, délivré sous un mois, qui seul donne le droit de mettre en œuvre le traitement. Cet article vous explique, étape par étape, comment déclarer vos traitements et éviter les manquements.
Vous tenez un fichier clients, gérez des données de salariés, installez une vidéosurveillance ou déployez un CRM ? Chacun de ces traitements de données personnelles doit, au Sénégal, être déclaré à la CDP avant sa mise en œuvre. Beaucoup d’entreprises l’ignorent, jusqu’à un contrôle ou une plainte. Pourtant, la démarche est accessible, à condition d’en comprendre les étapes.
Ce guide explique concrètement comment déclarer vos traitements auprès de la CDP: quelle formalité choisir, ce que contient le dossier, comment le déposer, et quels délais prévoir. Le tout pensé pour un décideur.
Pourquoi déclarer : une obligation légale
Rappelons le principe. La loi n° 2008-12 sur la protection des données à caractère personnel impose que tout traitement de données personnelles fasse l’objet de formalités préalables auprès de la CDP. Ce n’est pas une option: c’est une obligation, et un point est crucial, seule la réception du récépissé de la CDP donne le droit de mettre en œuvre le traitement.
Autrement dit, mettre en service un traitement sans l’avoir déclaré constitue un manquement, que la CDP peut sanctionner. La Commission a déjà relevé de tels cas, par exemple des systèmes de vidéosurveillance installés sans déclaration, et exige leur régularisation. Déclarer n’est donc pas une formalité bureaucratique, c’est une condition de légalité de votre activité.
➡️ Conformité à la Protection des Données au Sénégal : le Guide pour les Entreprises
Quelle formalité pour quel traitement
Première étape, et la plus importante: identifier la formalité qui correspond à votre traitement. La loi en prévoit principalement trois.
La déclaration concerne les traitements les plus courants: fichiers clients, gestion du personnel, paie, CRM standard, vidéosurveillance classique. C’est la formalité par défaut, la plus simple.
La demande d’autorisation est requise pour les traitements plus sensibles. Elle vise notamment les données sensibles comme les données de santé, biométriques ou relatives aux opinions, l’interconnexion de fichiers poursuivant des finalités différentes, et le stockage ou le transfert de données à l’étranger. Ainsi, une vidéosurveillance relève d’une déclaration, mais bascule en demande d’autorisation si les images sont stockées hors du Sénégal, un point essentiel à l’heure du cloud.
La demande d’avis, enfin, concerne surtout les traitements de l’État et de ses démembrements.
Il existe par ailleurs des dispenses et des déclarations simplifiées pour certaines catégories de traitements que la CDP a définies. Bien qualifier son traitement en amont évite de déposer la mauvaise formalité et de perdre du temps.
Ce que contient le dossier de déclaration
La déclaration doit être conforme au modèle établi par la CDP, disponible sur son portail. Elle décrit précisément votre traitement et comporte plusieurs éléments essentiels.
L’identité du responsable du traitement, c’est-à-dire votre entreprise. La finalité du traitement, son but précis et légitime. Les catégories de données collectées. Les destinataires, soit qui a accès aux données ou les reçoit. La durée de conservation des données. Et les mesures de sécurité mises en place pour les protéger.
Un point souvent négligé mais déterminant: la localisation de l’hébergement. La CDP s’intéresse au lieu exact de stockage des données, en particulier lorsqu’un hébergeur est utilisé. Si les données sont stockées à l’étranger, cela peut faire basculer la formalité vers une demande d’autorisation. Il faut donc savoir précisément où résident vos données avant de déclarer.
➡️ SOC-as-a-Service au Sénégal : la Surveillance de Sécurité en Mode Service
Comment déposer sa déclaration
La CDP met à disposition son portail, cdp.sn, qui regroupe les textes, les référentiels, les formulaires et les guides de conformité. C’est le point d’entrée principal pour accomplir vos formalités. Les dossiers peuvent être préparés à partir des formulaires officiels, puis transmis selon les modalités prévues par la CDP, le dépôt pouvant notamment se faire en ligne, par email auprès de la Commission, ou directement à son siège à Dakar.
Une fois le dossier déposé, la CDP accuse réception, puis instruit la demande. Un conseil pratique, que la CDP elle-même recommande: pour les parties techniques des formulaires, souvent complexes, il est utile de se faire accompagner par un professionnel, afin d’éviter les erreurs et les dossiers incomplets qui rallongent les délais.
Les délais à prévoir
La procédure est encadrée dans le temps, ce qui permet de planifier.
Pour une déclaration, la CDP délivre un récépissé dans un délai d’un mois. Rappelons-le, c’est la réception de ce récépissé qui autorise la mise en œuvre du traitement. Il faut donc anticiper: ne lancez pas un nouveau traitement en comptant déclarer après coup.
Pour une demande d’autorisation, la CDP dispose d’un délai de deux mois à compter de la réception de la demande. Fait notable: si la Commission ne s’est pas prononcée dans ce délai, l’autorisation est réputée favorable. Ce silence valant acceptation ne dispense toutefois pas de respecter la loi.
Enfin, pensez à maintenir vos déclarations à jour: toute modification substantielle de votre traitement doit être signalée à la CDP.
➡️ Détection d’Incident Cybersécurité : Savoir Qu’on est Attaqué
Les étapes, en résumé
Pour déclarer vos traitements sereinement, voici la marche à suivre. Recensez d’abord l’ensemble de vos traitements de données personnelles. Qualifiez chacun: relève-t-il d’une déclaration, d’une autorisation, d’un avis, ou d’une dispense ? Préparez ensuite le dossier à partir du formulaire de la CDP, en rassemblant finalité, données, destinataires, durée de conservation, mesures de sécurité et localisation de l’hébergement. Déposez le dossier via le portail cdp.sn ou les canaux prévus. Attendez le récépissé ou l’autorisation, et ne mettez en œuvre le traitement qu’une fois celui-ci reçu. Conservez enfin le récépissé et tenez vos déclarations à jour.
Cette démarche structurée transforme une obligation perçue comme lourde en un processus maîtrisable, qui sécurise juridiquement votre activité et renforce la confiance de vos clients.
Se faire accompagner pour déclarer juste
Retenez l’essentiel: au Sénégal, déclarer ses traitements à la CDP est une obligation légale préalable à leur mise en œuvre. La formalité dépend de la nature du traitement, de la déclaration simple à la demande d’autorisation pour les cas sensibles, et le dossier doit décrire précisément votre traitement, hébergement compris. Les délais sont d’un mois pour un récépissé et de deux mois pour une autorisation. Bien menée, et au besoin accompagnée, cette démarche est accessible, et elle vous met en règle.
Gaël Conseil accompagne les entreprises sénégalaises dans leurs formalités auprès de la CDP, avec une méthodologie éprouvée et un engagement de résultat. Recensement et qualification de vos traitements, préparation des dossiers de déclaration et de demande d’autorisation, renseignement des parties techniques des formulaires, prise en compte de la localisation de l’hébergement, et suivi jusqu’à l’obtention du récépissé: notre rôle est de vous faire gagner du temps et d’éviter les manquements, en sécurisant vos traitements de données dans le respect de la loi n° 2008-12. Pour les aspects strictement juridiques, nous travaillons en complément d’un conseil juridique si nécessaire.
Vous devez déclarer vos traitements à la CDP et ne savez pas par où commencer ? Échangeons sur votre mise en conformité.
👉 Cybersécurité & Résilience, Gaël Conseil
FAQ : Déclaration des traitements à la CDP
Qui doit déclarer ses traitements à la CDP ?
Toute entreprise ou organisation qui traite des données personnelles au Sénégal: fichiers clients, données de salariés, vidéosurveillance, CRM. La loi n° 2008-12 impose des formalités préalables auprès de la CDP, et seule la réception du récépissé donne le droit de mettre en œuvre le traitement.
Quelle est la différence entre déclaration et autorisation ?
La déclaration concerne les traitements courants et donne lieu à un récépissé sous un mois. L’autorisation est requise pour les traitements sensibles, données de santé, biométrie, interconnexions, ou stockage à l’étranger, et la CDP dispose de deux mois pour statuer, son silence valant autorisation favorable.
Comment déposer une déclaration à la CDP ?
En remplissant le formulaire conforme au modèle de la CDP, disponible sur le portail cdp.sn avec les référentiels et guides, puis en le déposant selon les canaux prévus par la Commission, notamment en ligne, par email ou à son siège. La CDP accuse réception, puis délivre le récépissé.
Que doit contenir une déclaration ?
L’identité du responsable du traitement, la finalité, les catégories de données collectées, les destinataires, la durée de conservation, les mesures de sécurité, et la localisation de l’hébergement des données. Ce dernier point est important, car un stockage à l’étranger peut faire basculer la formalité en demande d’autorisation.
Combien de temps faut-il pour obtenir le récépissé ?
La CDP délivre le récépissé dans un délai d’un mois pour une déclaration. Pour une demande d’autorisation, le délai est de deux mois, et si la CDP ne répond pas dans ce délai, l’autorisation est réputée favorable. Il faut donc anticiper et ne pas lancer un traitement avant d’avoir reçu la réponse.
Que risque-t-on à ne pas déclarer ?
Mettre en œuvre un traitement sans récépissé est un manquement que la CDP peut sanctionner, par un refus, une mise en demeure, voire une pénalité ou une suspension du traitement. La CDP a déjà relevé de tels cas, par exemple des vidéosurveillances non déclarées, et en a exigé la régularisation.
Gaël Conseil peut-il nous aider à déclarer nos traitements ?
Oui. Gaël Conseil recense et qualifie vos traitements, prépare vos dossiers de déclaration et d’autorisation, renseigne les parties techniques des formulaires et suit la démarche jusqu’au récépissé, en complément d’un conseil juridique pour les aspects qui le nécessitent. Vous pouvez en savoir plus via la page dédiée Cybersécurité & Résilience.