Le verdict en trois phrases
Une filiale à Dakar d'un groupe européen doit respecter deux régimes en même temps : la loi sénégalaise 2008-12 sur les données personnelles, contrôlée par la Commission de Protection des Données Personnelles (CDP), et le RGPD que le siège applique à ses traitements. Le budget de mise en conformité du site se situe en 2026 entre 500 000 et 1 500 000 FCFA pour l'audit et 300 000 à 800 000 FCFA pour la refonte des formulaires et des cookies, sur un délai de 4 à 8 semaines. L'erreur fréquente consiste à copier la politique RGPD du groupe sans déclaration préalable à la CDP, alors que c'est elle qui conditionne la légalité des traitements au Sénégal.
Ce que la loi 2008-12 exige concrètement pour un site
La loi 2008-12 impose que tout traitement de données personnelles fasse l'objet d'une déclaration auprès de la CDP, ou d'une autorisation préalable pour les traitements sensibles : données de santé, données biométriques, interconnexion de fichiers, et transfert vers un pays tiers qui n'offre pas un niveau de protection suffisant. Pour une filiale dont le site envoie les formulaires vers un CRM hébergé en Europe ou aux États-Unis, la question du transfert se pose dès le premier contact commercial.
| Exigence | Loi 2008-12 (CDP) | RGPD (siège) | Impact sur le site |
|---|---|---|---|
| Formalité préalable | Déclaration ou autorisation auprès de la CDP | Pas de déclaration, registre interne | Dossier CDP à déposer avant mise en ligne des formulaires |
| Information des personnes | Obligatoire à la collecte | Obligatoire (art. 13) | Mentions sous chaque formulaire, en français |
| Transfert hors Sénégal | Encadré, autorisation de la CDP selon le pays | Clauses contractuelles types hors UE | Localisation du CRM et de l'hébergement à documenter |
| Cookies et traceurs | Information et consentement attendus | Consentement préalable strict | Bandeau unique paramétré au niveau le plus exigeant |
| Droits des personnes | Accès, rectification, opposition | Accès, effacement, portabilité, opposition | Formulaire de demande et délai de réponse |
| Sanctions | Sanctions pécuniaires jusqu'à 100 millions de FCFA, plus sanctions pénales | Jusqu'à 4 % du chiffre d'affaires mondial | Double exposition filiale et groupe |
Un projet de refonte de la loi est discuté au Sénégal depuis plusieurs années. En 2026, la loi 2008-12 reste le texte applicable, et la CDP publie régulièrement des délibérations et des sanctions.
Le budget détaillé et le calendrier
Les montants ci-dessous sont des ordres de grandeur 2026 constatés à Dakar pour un site d'entreprise de 15 à 40 pages avec 3 à 6 formulaires. Ils incluent le travail technique et documentaire, hors honoraires d'avocat pour un contentieux.
| Poste | Coût (ordre de grandeur 2026) | Équivalent EUR | Délai |
|---|---|---|---|
| Audit de conformité du site et des flux | 500 000 à 1 500 000 FCFA | 760 à 2 290 EUR | 1 à 2 semaines |
| Refonte des formulaires et du bandeau cookies | 300 000 à 800 000 FCFA | 460 à 1 220 EUR | 1 à 3 semaines |
| Constitution du dossier de déclaration ou d'autorisation CDP | 150 000 à 400 000 FCFA | 230 à 610 EUR | 1 semaine de préparation |
| Instruction par la CDP | Pas de frais d'agence | Pas de frais d'agence | Variable, de quelques semaines à plusieurs mois pour une autorisation |
| Politique de confidentialité alignée loi 2008-12 et RGPD | 150 000 à 350 000 FCFA | 230 à 530 EUR | 3 à 5 jours |
| Maintenance Kolonell avec veille de conformité (formule Standard) | 75 000 FCFA / mois | 110 EUR / mois | Continu |
Le calendrier réaliste est de 4 à 8 semaines pour la partie site et dossier, la durée d'instruction par la CDP s'ajoutant si une autorisation est nécessaire. Prévoyez de mettre les formulaires concernés en mode minimal (contact sans transfert) pendant l'instruction.
Articuler la conformité locale avec le RGPD du siège
La méthode la plus efficace consiste à appliquer la règle la plus exigeante des deux régimes sur chaque point technique, puis à ajouter les formalités propres au Sénégal. Concrètement : un bandeau cookies au standard RGPD, des mentions rédigées pour couvrir les deux textes, un registre commun tenu par le DPO du groupe avec une section filiale, et un dossier CDP spécifique qui décrit les transferts vers les outils du siège. Le DSI local garde la main sur la relation avec la CDP, le DPO groupe valide la cohérence.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
M. Fall, DSI de la filiale dakaroise de 60 salariés d'un groupe logistique européen (personnage illustratif), doit mettre en conformité un site de 25 pages avec 4 formulaires reliés au CRM du siège. Budget retenu : audit 900 000 FCFA, refonte des formulaires et du bandeau 550 000 FCFA, dossier CDP 250 000 FCFA, soit 1 700 000 FCFA (environ 2 590 EUR). Le siège avait reçu un devis de 6 000 EUR (environ 3 936 000 FCFA) d'un cabinet européen qui ne couvrait pas la déclaration CDP. Économie : 2 236 000 FCFA, avec en plus la formalité locale traitée.
FAQ
Le site d'une filiale doit-il être déclaré à la CDP ?
Oui, dès qu'il collecte des données personnelles via des formulaires, un espace client ou des traceurs. Les traitements sensibles ou les transferts vers certains pays tiers exigent une autorisation préalable plutôt qu'une simple déclaration.
La conformité RGPD du groupe suffit-elle au Sénégal ?
Non, le RGPD ne remplace pas la loi 2008-12 pour les traitements réalisés au Sénégal. Il couvre l'essentiel des exigences techniques, mais pas la formalité préalable auprès de la CDP.
Combien coûte un audit de conformité à Dakar ?
Comptez 500 000 à 1 500 000 FCFA en ordre de grandeur 2026 pour un site de 15 à 40 pages. Le prix dépend du nombre de formulaires, d'outils connectés et de flux vers l'étranger.
Combien de temps prend la mise en conformité ?
La partie technique et documentaire prend 4 à 8 semaines. L'instruction d'une demande d'autorisation par la CDP peut ajouter plusieurs semaines, voire plusieurs mois.
Que risque une filiale non conforme ?
La CDP peut prononcer des avertissements, des mises en demeure et des sanctions pécuniaires pouvant atteindre 100 millions de FCFA, sans compter les sanctions pénales prévues par la loi. Pour le groupe, une non-conformité locale peut aussi fragiliser ses propres engagements RGPD.
Parlons de votre projet. Décrivez votre site, vos formulaires et les outils du siège auxquels ils sont reliés : nous chiffrons l'audit, la refonte et le dossier CDP, avec un budget indicatif et un calendrier de 4 à 8 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
