Un cahier de commandes avec les noms et les numéros des clients. Un groupe WhatsApp de 400 contacts récupérés en boutique. Un fichier Excel d'adresses de livraison. Beaucoup de commerçants sénégalais manipulent quotidiennement des données personnelles sans se dire qu'ils tiennent un fichier au sens de la loi — et sans savoir qu'une commission publique est chargée de les encadrer.
Voici ce que prévoit le texte en vigueur, les formalités qu'il impose et les habitudes simples qui évitent les ennuis. Ces informations sont données à titre général : pour une situation précise, la Commission de protection des données personnelles ou un juriste restent les bons interlocuteurs.
Un carnet de numéros est déjà un fichier de données personnelles
Le cadre sénégalais repose sur la loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel, complétée par son décret d'application de 2008. Elle a créé la Commission de protection des données personnelles, la CDP, qui met ses formulaires à disposition en ligne.
Une donnée personnelle, c'est toute information qui permet d'identifier une personne : un nom, un numéro de téléphone, une adresse de livraison, une photo, un numéro de compte mobile money. Peu importe le support. Un cahier tenu à la main est un traitement au même titre qu'un logiciel de caisse. Dans un commerce, cela couvre en pratique :
- le fichier des clients et des commandes, y compris les captures d'écran de paiements ;
- la liste de diffusion WhatsApp ou SMS utilisée pour annoncer les promotions ;
- le fichier du personnel et des candidatures reçues ;
- les images de vidéosurveillance de la boutique ou de l'entrepôt.
La loi prévoit des dispenses, notamment pour les traitements strictement personnels ou domestiques et pour certains organismes à but non lucratif. Le carnet d'adresses privé d'un particulier n'est donc pas visé ; le fichier commercial d'une boutique, si.
Déclarer ses traitements à la CDP : ce que prévoit le texte
L'article 18 de la loi pose le principe : les traitements de données à caractère personnel font l'objet d'une déclaration auprès de la Commission, qui dispose d'un mois pour délivrer un récépissé. C'est une formalité administrative, pas une autorisation à négocier : on déclare ce qu'on collecte, pourquoi, et combien de temps on le garde.
Certains traitements vont plus loin et relèvent d'une autorisation préalable. La loi cite notamment les données biométriques, les données génétiques, la recherche en santé, les données relatives aux infractions et condamnations, l'interconnexion de fichiers poursuivant des finalités différentes et l'usage du numéro national d'identification. Concrètement, une PME qui installe une pointeuse à empreinte digitale pour ses salariés n'est pas dans le même régime qu'une boutique qui tient un simple fichier clients : elle doit se rapprocher de la CDP avant d'installer l'appareil, pas après.
La Commission dispose de pouvoirs de contrôle sur pièces et sur place, et d'une échelle de sanctions administratives : avertissement, amende, interruption du traitement, retrait de l'autorisation. Le texte fixe la fourchette de l'amende entre un million et cent millions de francs CFA, et renvoie par ailleurs au Code pénal et à la loi sur la cybercriminalité pour les infractions les plus graves.
Prospection : le consentement avant le message
C'est l'article qui concerne le plus directement les commerçants. La loi interdit la prospection directe sans le consentement préalable de la personne physique concernée, la prospection étant définie très largement comme toute sollicitation destinée à promouvoir des biens, des services ou l'image d'une personne — y compris à but politique ou caritatif.
Traduit en gestes quotidiens, cela veut dire qu'un numéro laissé pour suivre une livraison n'autorise pas à envoyer des promotions tous les samedis. Quatre habitudes suffisent à rester propre :
- Demander l'accord au moment de la collecte, avec une phrase simple : « Souhaitez-vous recevoir nos nouveautés sur ce numéro ? », et noter la réponse.
- Prévoir une sortie facile, par exemple « répondez STOP pour ne plus recevoir ces messages », et l'appliquer dès réception.
- Utiliser les listes de diffusion plutôt que les groupes, pour ne pas exposer les numéros de vos clients les uns aux autres. Notre guide sur la vente sur WhatsApp Business au Sénégal détaille la différence.
- Ne jamais revendre ni prêter son fichier, y compris à un confrère « qui ne vend pas la même chose ».
Ce que vos clients peuvent vous demander
La loi reconnaît aux personnes fichées une série de droits que le commerçant doit pouvoir honorer sans dramatiser : le droit d'être informé de l'identité du responsable, de la finalité du fichier, des destinataires et de la durée de conservation ; le droit d'accès, c'est-à-dire d'obtenir une copie des données le concernant ; le droit de s'opposer au traitement pour des motifs légitimes ; et le droit d'exiger la rectification, la mise à jour ou la suppression de données inexactes, avec un délai d'un mois pour répondre.
Deux principes accompagnent ces droits et coûtent peu à appliquer. Le premier est la minimisation : ne demandez que ce dont vous avez besoin. Une boutique de prêt-à-porter n'a pas à photographier la carte d'identité d'un client pour une livraison à Ouakam. Le second est la sécurité : un téléphone de caisse sans code, un ordinateur partagé sans session, un fichier client envoyé par messagerie à un livreur occasionnel sont autant de portes ouvertes. Un compte compromis expose le fichier entier, et notre guide sur le piratage d'un compte WhatsApp ou Facebook professionnel décrit les réflexes à prendre avant l'incident.
Questions fréquentes
Une petite boutique doit-elle vraiment déclarer son fichier clients ?
La loi ne pose pas de seuil de chiffre d'affaires ni d'effectif : elle vise les traitements, pas la taille de l'entreprise, et prévoit des dispenses limitées qui ne couvrent pas l'usage commercial. En pratique, le plus simple est d'appeler la CDP ou de télécharger le formulaire de déclaration simplifiée sur son site pour savoir dans quelle case vous tombez.
Peut-on ajouter d'office ses clients à un groupe WhatsApp ?
C'est la pratique la plus risquée, pour deux raisons. Elle envoie des messages commerciaux sans accord préalable, ce que la loi interdit, et elle rend visible le numéro de chaque client par tous les autres membres du groupe. Une liste de diffusion, où chacun reçoit le message individuellement et après avoir dit oui, règle les deux problèmes.
Combien de temps garder les données d'un client ?
La loi ne fixe pas une durée unique : elle impose de définir une durée cohérente avec la finalité et d'en informer la personne. Une boutique en ligne gardera les données de commande le temps de la garantie et des obligations comptables, puis purgera le reste. Si vous ouvrez une activité de vente à distance, notre guide sur l'ouverture d'une boutique en ligne au Sénégal reprend les autres briques à mettre en place.
L'essentiel tient en quatre gestes : déclarer ce qu'on collecte, demander l'accord avant d'envoyer, ne garder que l'utile, et protéger l'accès au fichier. Vous êtes commerçant, prestataire ou dirigeant de PME et vous soignez déjà la relation avec vos clients ? Faites-le savoir à ceux qui vous cherchent en ligne : présentez votre activité sur Senlocal et créez votre fiche gratuite.
