Au Sénégal, la Commission de protection des données personnelles (CDP) est l’autorité administrative indépendante chargée de protéger les données personnelles, créée par la loi n° 2008-12 du 25 janvier 2008. Elle veille au respect de cette loi, contrôle les organismes qui utilisent vos informations et reçoit les plaintes des particuliers.
C’est la réponse à retenir si vous êtes lycéen et que vous bloquez sur cette question dans un quiz Pix. Malgré le pluriel employé dans « quelles autorités assurent la protection des données personnelles au Sénégal », une seule autorité de contrôle est instituée par la loi : la CDP. Les juridictions interviennent dans d’autres situations, pour les recours et les infractions.
Mais derrière cette réponse se trouve une question qui concerne tout le monde : lorsqu’une entreprise conserve votre numéro de téléphone, qu’un site utilise vos informations sans votre accord ou qu’un organisme refuse d’effacer des données, quels sont vos droits et comment les faire respecter ?
Sommaire 8 parties
- La CDP, l’autorité de protection des données personnelles au Sénégal
- Quels sont les pouvoirs de la CDP ?
- Quels droits pouvez-vous exercer sur vos données personnelles ?
- Comment saisir la CDP au Sénégal ?
- Quelle loi encadre la protection des données personnelles au Sénégal ?
- Les autorités de protection des données personnelles en Afrique francophone (et en France)
- Reprendre la main sur les informations qui circulent à votre sujet
- FAQ : les autorités de protection des données personnelles
La CDP, l’autorité de protection des données personnelles au Sénégal
La Commission de protection des données personnelles est l’organisme public chargé de surveiller l’application des règles relatives aux données à caractère personnel. Son rôle est défini par l’article 5 de la loi sénégalaise de 2008.
Son nom officiel dans ce texte est « Commission de Protection des Données à Caractère Personnel dite Commission des Données Personnelles, en abrégé CDP ».
En pratique, la CDP Sénégal intervient dès qu’un traitement de données personnelles soulève une question de conformité : collecte de coordonnées, utilisation d’informations sur des salariés, conservation de fichiers ou transmission de données à d’autres organismes.
Une commission indépendante du pouvoir politique
La CDP compte onze membres choisis pour leurs compétences juridiques ou techniques. On y trouve des magistrats, un avocat, des parlementaires et un représentant des organisations de défense des droits de l’homme. Nommés par décret, ils exercent un mandat de quatre ans, renouvelable une fois. Ils sont inamovibles pendant leur mandat.
L’article 12 de la loi précise que les membres de la Commission ne reçoivent d’instruction d’aucune autorité. La CDP dispose également d’une autonomie de gestion, même si son budget provient de l’État.
En octobre 2026, elle est présidée par Ousmane Thiongane, juriste, journaliste et expert du numérique, nommé en Conseil des ministres le 13 mars 2024.
Quels sont les pouvoirs de la CDP ?
La Commission ne se contente pas de publier des recommandations. Elle possède des pouvoirs de contrôle et de sanction prévus par la législation sénégalaise.
Contrôler l’utilisation des informations personnelles
Selon l’article 16, la CDP reçoit les déclarations et demandes d’autorisation des organismes qui traitent des données. Elle examine les plaintes, effectue des vérifications et tient un répertoire public des traitements.
Ses agents peuvent se rendre dans des locaux professionnels, demander des documents et accéder aux programmes informatiques ainsi qu’aux données nécessaires au contrôle. Ces inspections sont encadrées par les articles 25 à 28 et ne concernent pas les domiciles privés.
Elle autorise aussi certains transferts de données vers l’étranger et informe le procureur de la République lorsqu’elle constate des infractions.
Son activité est concrète : au deuxième trimestre 2026, elle a traité 195 dossiers, reçu huit plaintes et un signalement, et effectué cinq missions de contrôle.
Avertir, mettre en demeure et sanctionner
Lorsqu’un organisme ne respecte pas la loi, la CDP peut d’abord lui adresser un avertissement ou une mise en demeure, avec un délai pour corriger le manquement.
Si la situation persiste, les articles 29 et 30 prévoient des sanctions plus lourdes : retrait provisoire de l’autorisation pendant trois mois, puis définitif, ou amende comprise entre 1 million et 100 millions de francs CFA.
En cas d’urgence, elle peut également ordonner l’interruption d’un traitement, le verrouillage de données pendant une durée maximale de trois mois, voire une interdiction. Ses décisions peuvent faire l’objet d’un recours devant le Conseil d’État.
Un salarié suivi par géolocalisation : un cas réel
En avril 2025, un salarié d’Eiffage Rail Dakar a porté plainte parce que son véhicule de fonction était géolocalisé.
La CDP a relevé plusieurs manquements : formalités non accomplies, collecte illicite et atteinte à la vie privée. Elle a mis l’entreprise en demeure de se mettre en conformité dans un délai d’un mois et suspendu le traitement en attendant son autorisation.
Cette affaire illustre une réalité souvent oubliée : les données personnelles ne se limitent pas au nom, au numéro de téléphone ou à l’adresse électronique. Les déplacements enregistrés par un dispositif de géolocalisation révèlent aussi des informations sur une personne.
Quels droits pouvez-vous exercer sur vos données personnelles ?
La loi sénégalaise donne aux particuliers plusieurs moyens de contrôler les informations qui les concernent. Ces droits s’exercent d’abord auprès de l’organisme qui collecte ou conserve les données.
Être informé et accéder à ses informations
Lorsqu’un organisme recueille vos données, il doit vous fournir les informations prévues par la loi. L’article 58 prévoit, entre autres, l’information sur la possibilité de demander à ne plus figurer dans un fichier.
Vous disposez également d’un droit d’accès. En adressant une demande écrite et en justifiant de votre identité, vous pouvez savoir si un organisme détient des données vous concernant, lesquelles, d’où elles proviennent et à qui elles sont transmises.
Les articles 62 et 63 encadrent ce droit. Si vous demandez une copie, son coût ne peut dépasser celui de la reproduction.
Cela permet, par exemple, de comprendre comment une enseigne a obtenu vos coordonnées alors que vous ne vous souvenez pas les lui avoir communiquées.
S’opposer à certaines utilisations
L’article 68 reconnaît le droit de s’opposer à un traitement pour des motifs légitimes. Il prévoit également une opposition gratuite à l’utilisation des données à des fins de prospection.
Prenons le cas d’une habitante de Dakar qui reçoit chaque semaine des SMS promotionnels d’une enseigne. Elle n’a jamais donné son accord pour recevoir ces messages, mais son téléphone continue de sonner au rythme des nouvelles offres.
L’article 47 interdit la prospection directe utilisant les données personnelles d’une personne qui n’a pas exprimé son consentement préalable.
Elle peut donc écrire à l’enseigne pour demander l’arrêt des sollicitations et l’opposition à l’utilisation de son numéro à cette fin. Elle a intérêt à conserver les SMS, les dates de réception et une copie de sa demande.
Cette démarche paraît simple, mais retrouver les responsables, conserver les preuves et suivre les réponses demande parfois du temps. Et lorsque des informations circulent sur plusieurs sites, le travail devient plus dispersé. Pour faire le point sur vos données visibles en ligne, Les Nouveaux Dissidents proposent un diagnostic gratuit.
Faire rectifier ou supprimer des données
L’article 69 permet de demander la rectification ou la suppression d’informations inexactes, périmées ou dont la conservation est interdite.
L’organisme doit justifier, sans frais, avoir effectué la correction ou la suppression dans un délai d’un mois. En cas de contestation, il lui appartient d’apporter la preuve nécessaire.
Ce droit n’autorise pas à exiger automatiquement l’effacement de n’importe quelle information. La demande doit correspondre aux conditions prévues par la loi.
Pour les informations accessibles publiquement sur Internet, les démarches varient aussi selon leur emplacement. Retirer une donnée d’un site et obtenir son retrait des résultats d’un moteur de recherche sont deux opérations différentes. Notre guide sur le déréférencement Google explique cette distinction.
Comment saisir la CDP au Sénégal ?
Lorsqu’un organisme utilise vos données de manière contestable, la première démarche conseillée par la Commission consiste à écrire directement à cet organisme.
La CDP met à disposition des modèles de lettres sur son site officiel, pour les demandes d’accès, de suppression et d’opposition à la publicité.
Préparer une réclamation solide
Reprenons l’exemple des SMS promotionnels. L’habitante de Dakar commence par identifier l’enseigne, relever les dates des messages et conserver des captures d’écran.
Elle adresse ensuite une demande écrite pour faire cesser la prospection. Si la réponse n’est pas satisfaisante, elle peut saisir la Commission.
Pour faciliter l’examen de la situation, mieux vaut suivre quelques étapes :
- Décrire les faits avec des mots simples, sans supposer ce qui n’est pas établi.
- Préciser les dates, l’organisme concerné et les démarches déjà effectuées.
- Mentionner les preuves disponibles : captures d’écran, messages reçus, copie du courrier.
- Expliquer clairement ce que vous contestez et envoyer votre réclamation.
Déposer une plainte ou effectuer un signalement
Sur le site officiel de la CDP, la rubrique « Plainte et signalement » permet de contacter la Commission.
Une plainte concerne le traitement de vos données personnelles. Le formulaire demande votre prénom, votre nom, votre adresse électronique et une description de la situation.
Un signalement vise plutôt une violation ou un incident relatif aux données. Il se fait au moyen d’un simple message, sans indiquer votre nom.
Le formulaire ne comporte pas de champ permettant de joindre des pièces. Décrivez donc les éléments de preuve dont vous disposez et conservez les documents originaux pour la suite.
L’article 24 autorise toute personne à saisir la CDP directement, par l’intermédiaire de son avocat ou d’une personne dûment mandatée.
Vous pouvez également contacter la Commission :
- Téléphone : +221 33 859 70 30
- E-mail : contact.cdp@cdp.sn
- Adresse : Complexe SICAP, Point E, avenue Cheikh Anta Diop x Canal IV, Dakar
Aucun délai précis n’est prévu pour le traitement d’une plainte par la CDP. Conserver un dossier chronologique facilite donc le suivi de votre démarche.
En présence d’un incident de sécurité, il faut aussi distinguer la plainte individuelle d’une fuite de données, qui touche parfois en même temps les informations de nombreuses personnes.
Quelle loi encadre la protection des données personnelles au Sénégal ?
Le texte central reste la loi n° 2008-12 du 25 janvier 2008 portant sur la protection des données à caractère personnel, complétée par le décret n° 2008-721 du 30 juin 2008.
Des règles sur le consentement, la sécurité et les transferts
Le consentement au traitement des données est la règle, avec des exceptions prévues par l’article 33. Le texte protège particulièrement les données sensibles, comme celles relatives à la santé, aux opinions politiques ou aux convictions religieuses. Leur traitement est interdit, sauf exceptions légales.
Elle impose également des obligations de sécurité, prévoit l’information sur les cookies et traceurs, et encadre les transferts vers des pays offrant une protection suffisante.
Une réforme attendue
En octobre 2026, la loi de 2008 reste en vigueur. Aucun nouveau texte ne l’a encore remplacée.
Le chantier a été lancé par la CDP en 2017. Le projet a reçu un avis favorable de la Cour suprême en 2022, mais son adoption était toujours attendue en octobre 2024.
En mars 2026, l’expert Saïkou Fall estimait que la loi était « devenue caduque » et indiquait que le projet de réforme se trouvait toujours dans le circuit institutionnel.
Le Sénégal a également ratifié la Convention de Malabo sur la cybersécurité et la protection des données personnelles, entrée en vigueur en 2023.
Les autorités de protection des données personnelles en Afrique francophone (et en France)
La CDP sénégalaise n’est pas un organisme isolé. Plusieurs pays disposent de leur propre autorité de contrôle, avec des noms et des cadres juridiques différents.
| Pays | Autorité | Sigle | Loi |
|---|---|---|---|
| Sénégal | Commission de protection des données personnelles | CDP | Loi n° 2008-12 du 25 janvier 2008 |
| Maroc | Commission nationale de contrôle de la protection des données à caractère personnel | CNDP | Loi n° 09-08 du 18 février 2009 |
| Côte d’Ivoire | Autorité de régulation des télécommunications/TIC de Côte d’Ivoire, chargée également de la protection des données | ARTCI | Loi n° 2013-450 du 19 juin 2013 |
| Burkina Faso | Commission de l’informatique et des libertés | CIL | Loi n° 001-2021/AN du 30 mars 2021 |
| Mali | Autorité de protection des données à caractère personnel | APDP | Loi n° 2013-015 du 21 mai 2013 |
| Bénin | Autorité de protection des données personnelles | APDP | Loi n° 2017-20 portant code du numérique, promulguée le 20 avril 2018 |
| Tunisie | Instance nationale de protection des données personnelles | INPDP | Loi organique n° 2004-63 du 27 juillet 2004 |
| France | Commission nationale de l’informatique et des libertés | CNIL | Loi Informatique et libertés du 6 janvier 1978 et RGPD |
La CDP est souvent présentée comme l’équivalent sénégalais de la CNIL française. Les deux organismes informent les citoyens, contrôlent les traitements, examinent les plaintes et disposent de pouvoirs de sanction.
Leurs cadres juridiques restent différents. En France, le règlement général sur la protection des données (RGPD) européen de 2016 s’applique. Au Sénégal, la loi nationale de 2008 demeure la référence principale.
Reprendre la main sur les informations qui circulent à votre sujet
Savoir que la CDP protège les données personnelles au Sénégal est une première réponse. Connaître vos droits vous donne ensuite des moyens d’agir lorsqu’un organisme conserve, exploite ou diffuse des informations vous concernant.
Vous pouvez entreprendre vous-même ces démarches. Elles demandent toutefois de repérer les informations concernées, d’identifier les bons interlocuteurs, de formuler des demandes adaptées et d’en suivre les résultats.
Tout se complique lorsque votre nom apparaît dans plusieurs annuaires, sur d’anciens comptes ou dans des résultats de recherche que vous préféreriez ne plus voir associés à votre identité.
Les Nouveaux Dissidents accompagnent les particuliers qui souhaitent faire supprimer leurs données personnelles et mieux maîtriser leur image en ligne.
Quelles informations sur vous sont encore visibles sur Internet ? Un diagnostic gratuit permet de commencer à faire le point sur votre présence numérique et les démarches à envisager.
FAQ : les autorités de protection des données personnelles
Quel est l’équivalent de la CNIL au Sénégal ?
C’est la Commission de protection des données personnelles (CDP). Cette autorité administrative indépendante, créée par la loi n° 2008-12 du 25 janvier 2008, informe les citoyens, contrôle les traitements de données et examine les plaintes.
Quelle autorité protège les données personnelles au Maroc ?
Au Maroc, il s’agit de la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP), instituée dans le cadre de la loi n° 09-08 du 18 février 2009.
Quelle autorité protège les données personnelles en Côte d’Ivoire ?
En Côte d’Ivoire, cette mission relève de l’Autorité de régulation des télécommunications/TIC de Côte d’Ivoire (ARTCI), dans le cadre de la loi n° 2013-450 du 19 juin 2013.
La CDP peut-elle sanctionner une entreprise ?
Oui. Après un avertissement ou une mise en demeure restée sans effet, la CDP peut prononcer des sanctions, dont une amende de 1 million à 100 millions de francs CFA, conformément aux articles 29 et 30 de la loi sénégalaise.
La loi sénégalaise de 2008 va-t-elle changer ?
Une réforme est engagée depuis 2017, mais aucune nouvelle loi n’a été adoptée en octobre 2026. La loi n° 2008-12 reste donc applicable en attendant une éventuelle adoption du nouveau texte.