Le verdict en trois phrases
La loi 2008-12 sur la protection des données personnelles impose un consentement explicite et éclaire avant de collecter des données de paiement (numéro mobile money, données carte, identité). Quatre éléments sont obligatoires : numéro d'enregistrement CDP affiche, finalité déclarée, case d'opt-in pour la conservation au-delà de 30 jours, et droit à l'effacement. Le non-respect expose à une sanction de 2 000 000 à 10 000 000 FCFA, et stocker des numéros mobile money sans consentement à déclenche 3 actions CDP en 2025.
Les 4 piliers du consentement conforme
La Commission de protection des données personnelles (CDP) contrôle l'usage des données au Sénégal. Voici ce que votre checkout doit afficher.
| Élément obligatoire | Ce que ça veut dire | Sanction si absent |
|---|---|---|
| Numéro CDP affiché | Récépissé de déclaration visible (footer/CGV) | 2 000 000 à 10 000 000 FCFA |
| Finalité déclarée | Pourquoi vous collectez la donnée | Mise en demeure + amende |
| Opt-in conservation | Case à cocher pour garder > 30 jours | Données à supprimer |
| Droit à l'effacement | Procédure pour supprimer ses données | Injonction CDP |
Le point le plus oublié : la case d'opt-in ne doit jamais être pré-cochée. Un consentement validé est libre, spécifique et éclairé ; une case pré-cochée est considérée comme non validé par la CDP.
Cartographie violation -> sanction -> correctif
Voici comment la CDP traite les manquements les plus fréquents sur un site marchand, avec le correctif technique recommandé (estimation 2026).
| Violation | Fourchette de sanction | Correctif technique |
|---|---|---|
| Pas de numéro CDP affiché | 2 000 000 à 5 000 000 FCFA | Mention récépissé en footer |
| Numéro mobile money stocke sans consentement | 3 000 000 à 10 000 000 FCFA | Opt-in + purge auto 30 jours |
| Case opt-in pré-cochée | Mise en demeure | Case décochée par défaut |
| Pas de procédure d'effacement | Injonction + astreinte | Formulaire "supprimer mes données" |
| Transfert hors UEMOA non déclaré | Amende + suspension | Déclaration CDP + clause sous-traitant |
En 2025, 3 actions CDP ont vise des marchands qui conservaient des numéros mobile money sans base légale. Le correctif est simple : opt-in clair et purge automatique des données non nécessaires après 30 jours.
Mini cas pratique
Awa gère une boutique en ligne de prêt-à-porter à Dakar. Son site stocke chaque numéro Wave de client "pour le SAV", sans consentement ni numéro CDP affiché. Risque cumulé : absence de récépissé (jusqu'à 5 000 000 FCFA) plus stockage non consenti (jusqu'à 10 000 000 FCFA). On met en place : récépissé CDP en footer, case d'opt-in décochée au checkout, et purge automatique des numéros après 30 jours sauf consentement explicite. Coût de mise en conformité : environ 150 000 FCFA d'intégration. Risque évité : jusqu'à 15 000 000 FCFA de sanction cumulée. Le rapport bénéfice/coût est sans appel.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Dois-je vraiment afficher un numéro CDP sur mon site ?
Oui si vous collectez des données personnelles (ce qui est le cas de tout e-commerce). Le récépissé de déclaration CDP doit être visible, typiquement en footer ou dans les CGV. Son absence est sanctionnée de 2 000 000 à 10 000 000 FCFA.
Puis-je conserver les numéros Wave de mes clients ?
Uniquement avec un consentement explicite et pour une finalité déclarée. Sans opt-in clair, la CDP considère le stockage illégal ; purgez automatiquement les numéros non nécessaires après 30 jours.
La case de consentement peut-elle être pré-cochée ?
Non. Un consentement validé doit être libre et actif : la case doit être décochée par défaut. Une case pré-cochée est invalide aux yeux de la CDP et peut entraîner une mise en demeure.
Que faire si un client demande la suppression de ses données ?
La loi 2008-12 consacre un droit à l'effacement. Vous devez prévoir une procédure simple (formulaire ou e-mail dédié) et supprimer les données dans un délai raisonnable, sauf obligation légale de conservation comptable.
Le RGPD européen s'applique-t-il à mon site sénégalais ?
Le RGPD s'applique dès que vous ciblez des clients de l'UE (diaspora). Dans ce cas, votre site doit cumuler loi 2008-12 et exigences RGPD : bannières cookies, registre des traitements et clauses de transfert.
Discutons de votre projet. Nous mettons votre checkout en conformité loi 2008-12 et CDP : consentement, récépissé, purge automatique. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
