Protection des données RH au Sénégal : la loi

Les données RH d’un salarié au Sénégal comprennent un identifiant, un salaire, des cotisations, parfois des données de santé et, de plus en plus, une empreinte digitale ou une photo pour le pointage. Ces traitements de données RH sont encadrés par une loi et contrôlés par une autorité indépendante, la Commission de protection des données personnelles. La plupart des entreprises l’ignorent jusqu’au jour où elles déploient un pointage biométrique ou un logiciel hébergé à l’étranger. Ce guide résume ce que la loi impose à l’employeur, article par article, et les mesures concrètes à mettre en place.

Quelle loi encadre les données RH au Sénégal ?

Le texte de référence est la loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel, complétée par un décret d’application de 2008. Elle s’applique à toute collecte, tout traitement, toute transmission, tout stockage et toute utilisation de données personnelles par une personne physique, l’État ou une personne morale de droit public ou privé (article 2). Un logiciel de paie, un outil de recrutement, un dispositif de pointage ou un simple fichier Excel des salariés entrent donc dans son champ.

La loi crée la Commission de protection des données personnelles, la CDP, autorité administrative indépendante chargée de veiller à ce que les traitements soient conformes (article 5). Une révision de la loi est évoquée depuis plusieurs années pour tenir compte de la biométrie, de l’informatique en nuage ou de l’intelligence artificielle ; à la date de rédaction de ce guide, la loi de 2008 reste le texte en vigueur. Les informations et formulaires sont disponibles sur le site de la CDP, et le texte intégral sur WIPO Lex.

La loi s’applique-t-elle à un prestataire étranger ?

C’est la question la plus fréquente avec la généralisation des outils en ligne. La loi s’applique à tout traitement mis en œuvre par un responsable, établi ou non au Sénégal, qui recourt à des moyens de traitement situés sur le territoire sénégalais, hors simple transit. Dans ce cas, le responsable doit désigner un représentant établi au Sénégal (article 2).

Pour l’employeur, l’enjeu principal est ailleurs : c’est lui, en tant que responsable du traitement de ses données RH, qui répond de ses prestataires. La loi impose un contrat écrit avec le sous-traitant, qui ne peut agir que sur instruction et doit respecter les mesures de sécurité (article 39). Et tout transfert vers un pays tiers n’est permis que si cet État assure un niveau de protection suffisant, après information préalable de la CDP (article 49).

Les questions à poser à tout fournisseur : où sont hébergées mes données RH, qui y a accès, quels transferts hors du Sénégal sont prévus, et que prévoit le contrat sur la sécurité et la confidentialité ?

Déclaration ou autorisation : quelle formalité auprès de la CDP ?

La loi prévoit plusieurs régimes selon la nature du traitement.

Vérifiez auprès de la CDP si une norme simplifiée couvre déjà votre traitement de gestion du personnel : c’est la situation la plus favorable.

Toutes les données RH ont-elles le même statut ?

Non, et c’est la principale source d’erreur. Un dossier RH mélange plusieurs catégories.

• Identité, coordonnées, salaire, cotisations : données personnelles ordinaires, à accès restreint.
• Certificats médicaux et arrêts de travail : données de santé. Leur traitement est interdit par principe (article 40), sauf exceptions prévues par la loi, parmi lesquelles le consentement écrit de la personne ou la nécessité de défendre un droit en justice (article 41).
• Empreinte digitale ou reconnaissance faciale : données biométriques, soumises à autorisation préalable de la CDP (article 20).
• Opinions, appartenance syndicale, origine : données dont la collecte est interdite par principe (article 40). Un formulaire RH n’a pas à les demander.
• Évaluations et entretiens : données ordinaires, mais couvertes par le droit d’accès du salarié.

Le pointage biométrique est-il autorisé ?

Oui, mais pas sur simple décision interne. C’est le point le plus mal anticipé dans les projets : un dispositif par empreinte ou reconnaissance faciale est souvent présenté comme une fonctionnalité technique, alors qu’il relève du régime d’autorisation. Traitez la demande auprès de la CDP comme une étape du projet, avec son délai, pas comme une formalité après la mise en service.

Posez-vous aussi la question du besoin réel, car la loi exige des données adéquates, pertinentes et non excessives au regard de la finalité (article 35). Une alternative non biométrique (badge, code, pointage mobile géolocalisé sur le lieu de travail) évite cette contrainte. Voir notre guide du logiciel de pointage au Sénégal.

Quels droits ont les salariés sur leurs données RH ?

• Droit à l’information (article 58) : lors de la collecte, le salarié doit être informé de l’identité du responsable, des finalités, des destinataires, de la durée de conservation et des éventuels transferts à l’étranger.
• Droit d’accès (articles 62 et 63) : il peut demander, par écrit, la communication des données qui le concernent et en obtenir une copie.
• Droit d’opposition (article 68) : pour des motifs légitimes, sauf lorsque le traitement répond à une obligation légale, comme les déclarations sociales.
• Droit de rectification et de suppression (article 69) : l’employeur doit justifier, sans frais, avoir procédé aux corrections dans un délai d’un mois après la demande écrite.

Un système où les dossiers sont éparpillés entre papier, disque partagé et boîtes mail rend ces réponses impossibles dans les délais. C’est le lien direct entre conformité et organisation : voir notre article sur le coffre-fort numérique RH.

Les obligations de l’employeur : confidentialité, sécurité, conservation

Confidentialité

Le traitement est confidentiel et réservé aux personnes agissant sous l’autorité du responsable. Celles-ci doivent signer un engagement écrit de respecter la loi (article 70) : prévoyez-le pour l’équipe RH et paie.

Sécurité

L’employeur prend toute précaution utile au regard de la nature des données (article 71), notamment pour que chaque personne autorisée n’accède qu’aux données relevant de sa compétence et pour pouvoir vérifier a posteriori qui a consulté quoi, et quand.

Conservation

Les données ne sont pas conservées au-delà de la durée nécessaire à leur finalité (article 35). Définissez une durée par type de document, y compris pour les candidatures non retenues.

Que risque l’employeur ?

La CDP peut adresser un avertissement ou une mise en demeure (article 29). Si le responsable ne s’y conforme pas, elle peut, après procédure contradictoire, prononcer un retrait de l’autorisation et une sanction pécuniaire d’un million à cent millions de francs CFA (article 30). En cas d’urgence, elle peut interrompre un traitement ou verrouiller des données pour une durée maximale de trois mois, voire interdire le traitement (article 31). Ces montants sont ceux de la loi de 2008, en vigueur en 2026.

Sept mesures concrètes à mettre en place

1. Recensez vos traitements de données RH : quelles données, pour quelle finalité, conservées combien de temps, accessibles à qui.
2. Vérifiez le régime de chaque traitement (norme, déclaration, autorisation) et accomplissez les formalités.
3. Restreignez les accès aux données RH par profil : un manager n’a pas à voir un certificat médical.
4. Rédigez une notice d’information pour les salariés et les candidats.
5. Fixez et documentez les durées de conservation des données RH.
6. Encadrez vos prestataires par contrat, y compris sur l’hébergement et les transferts.
7. Formez les personnes qui manipulent ces données : beaucoup d’incidents viennent d’un envoi par erreur, pas d’une attaque.

Questions fréquentes sur les données RH au Sénégal

Faut-il déclarer un logiciel de paie à la CDP ?

Le traitement de paie est un traitement de données personnelles soumis à la loi. Selon les cas, il relève d’une norme simplifiée ou d’une déclaration : vérifiez auprès de la CDP. Notre logiciel RH et paie au Sénégal centralise les données nécessaires à cette démarche.

Peut-on héberger les données RH hors du Sénégal ?

Oui, si le pays de destination assure un niveau de protection suffisant et après information préalable de la CDP (article 49).

Le salarié peut-il demander la suppression de son dossier ?

Il peut demander la rectification ou la suppression de données inexactes, périmées ou dont la conservation est interdite (article 69), mais pas celle des données que l’employeur doit conserver en vertu d’une obligation légale.

Données RH au Sénégal : ce qu’il faut retenir

• La loi n° 2008-12 et la CDP encadrent tous les traitements de données RH au Sénégal.
• La déclaration est la règle ; la biométrie et l’identifiant national relèvent de l’autorisation.
• Les données de santé sont interdites par principe, sauf exceptions prévues par la loi.
• Le salarié dispose de droits d’information, d’accès, d’opposition et de rectification.
• Les sanctions pécuniaires vont d’un à cent millions de francs CFA.

Socium centralise les documents RH avec des accès par profil et un archivage traçable. Découvrez notre gestion documentaire RH ou réservez une démo.