Protection des données en Afrique de l'Ouest : Bénin, Sénégal, Côte d'Ivoire, Togo et Burkina Faso comparés
Loi, autorité, déclaration ou autorisation, transferts, sanctions : cinq pays comparés texte en main, avec pour chaque case le statut de notre vérification, et les questions à poser à votre client.
Protection des données en Afrique de l'Ouest : Bénin, Sénégal, Côte d'Ivoire, Togo et Burkina Faso comparés
Les cinq pays exigent une formalité auprès de leur autorité avant de traiter des données, et tous encadrent les transferts hors du pays, mais les définitions, les régimes et les sanctions diffèrent assez pour qu'une même entreprise ne puisse pas tout traiter d'un seul coup.
Une entreprise qui gère les clients de plusieurs pays d'Afrique de l'Ouest (une boutique en ligne, une banque, un chatbot WhatsApp, un CRM) traite des données personnelles soumises à plusieurs lois. Cet article compare celles du Bénin, du Sénégal, de la Côte d'Ivoire, du Togo et du Burkina Faso sur quatre points : l'autorité, la déclaration ou l'autorisation préalable, les transferts et les sanctions. Il termine par les questions qu'une agence qui livre à distance doit poser à son client.
Chaque case des tableaux porte un statut de vérification. Nous avons lu les cinq lois, mais pas toutes de la même façon, et nous le disons case par case.
Transparence et limites
Transparence. BOVO Digital est une agence basée à Abomey-Calavi, au Bénin : elle livre à distance des projets de chatbots et d'automatisation, donc elle est concernée par ces règles. Cet article ne contient aucune donnée, aucun client et aucun prix de BOVO. Il repose sur des textes de loi et des sites d'autorités consultés le 7 novembre 2026.
Ce n'est pas un conseil juridique. C'est une information générale, écrite par des non-juristes à partir de sources publiques, sans tenir compte de votre secteur, de vos données ni de vos contrats. Pour chaque pays où vous traitez des données, faites valider votre pratique par un juriste local ou posez la question à l'autorité nationale.
Comment lire les statuts
| Statut | Signification |
|---|---|
| Texte lu | Texte de loi ouvert en texte brut, article lu. |
| Texte lu par OCR | Texte de loi disponible seulement en image ; nous l'avons passé à un logiciel de reconnaissance de caractères et relu les articles cités. Le risque d'erreur de lecture est réel, surtout sur les chiffres. |
| Site de l'autorité | Information lue sur le site officiel de l'autorité. |
| Non lu | Source trouvée, pas ouverte ou illisible. |
| Non vérifié | Information entendue (presse, résumé) que nous n'avons pas pu confirmer à la source. Nous ne l'utilisons pas comme un fait. |
Une réserve vaut pour les cinq pays : nous n'avons trouvé de version consolidée officielle pour aucun d'eux. Nous avons lu les textes tels qu'adoptés, sans pouvoir exclure une modification ultérieure.
Tableau 1 : la loi et l'autorité
| Pays | Ce que nous avons trouvé | Statut de la vérification |
|---|---|---|
| Bénin | Loi n° 2017-20 du 20 avril 2018 portant Code du numérique (Livre V sur les données). Le texte lu dit « l'Autorité » ; c'est l'APDP. | Texte lu : scan du Secrétariat général du gouvernement, à texte brut bruité, donc version de 2018. La loi n° 2020-35 du 6 janvier 2021 (lue) ne touche que les articles 121, 125 et 464. Site de l'APDP non ouvert (échec de connexion sécurisée). |
| Sénégal | Loi n° 2008-12 du 25 janvier 2008. Autorité : Commission des Données Personnelles (CDP). | Texte lu : copie hébergée par WIPO Lex, pas le Journal officiel. Site de la CDP non lu (contenu chargé par JavaScript). |
| Côte d'Ivoire | Loi n° 2013-450 du 19 juin 2013. Autorité : l'ARTCI, dont le site se présente comme « Autorité de protection des données personnelles ». | Texte lu par OCR : scan publié par l'ARTCI, colonnes du Journal officiel mélangées. Site de l'autorité pour le rôle de l'ARTCI et le numéro de la loi. |
| Togo | Loi n° 2019-014 du 29 octobre 2019. Autorité : Instance de protection des données à caractère personnel (IPDCP). | Texte lu par OCR : PDF publié par l'IPDCP. Site de l'autorité pour la loi, les missions, le cadre juridique. Date de démarrage de l'IPDCP : non vérifié (la presse avance mars 2025, nous ne l'utilisons pas). |
| Burkina Faso | Loi n° 001-2021/AN du 30 mars 2021. Autorité : Commission de l'informatique et des libertés (CIL). | Texte lu : PDF du site de l'Assemblée nationale (texte adopté). Publication au Journal officiel et site de la CIL non lus. |
Tableau 2 : déclaration ou autorisation préalable
| Pays | Ce que dit le texte lu | Statut de la vérification |
|---|---|---|
| Bénin | Article 405 : déclaration préalable à l'Autorité, ou inscription à un registre tenu par une personne désignée. Article 407 : autorisation préalable pour des catégories dont l'identifiant national, la biométrie, l'interconnexion de fichiers et le transfert vers un État tiers. Article 406 : normes simplifiées. | Texte lu (scan bruité). Les démarches concrètes (formulaires, délais, frais) : non lu. |
| Sénégal | Article 18 : déclaration auprès de la CDP, avec récépissé délivré en un mois, et seule la réception du récépissé permet de commencer. Article 17 : dispenses. Article 20 : autorisation pour les données génétiques, les infractions, l'interconnexion, l'identifiant national, la biométrie, l'intérêt public. | Texte lu (copie WIPO). Normes simplifiées de l'article 19 : lues dans le texte, listes de la CDP non lues. |
| Côte d'Ivoire | Article 5 : déclaration préalable à l'autorité. Article 7 : autorisation préalable pour, entre autres, les identifiants nationaux « notamment les numéros de téléphones », la biométrie, et le transfert envisagé vers un pays tiers. | Texte lu par OCR. La mention des numéros de téléphone est importante pour un chatbot : elle est lisible dans l'OCR mais à confirmer sur le PDF de l'ARTCI avant de vous y fier. |
| Togo | Article 6 : déclaration, récépissé délivré dans un délai maximal d'un mois. Article 8 : autorisation pour les données génétiques, les infractions, l'interconnexion, l'identifiant national, la biométrie, l'intérêt public. | Texte lu par OCR. Barème des prestations payantes de l'IPDCP : arrêtés de 2025 vus seulement par leur titre, non lus. |
| Burkina Faso | Articles 26 et 27 : déclaration normale par défaut ; article 28 : exemptions ; article 31 : autorisation pour la biométrie privée, l'interconnexion, l'identifiant national, les transferts vers l'étranger et les traitements d'aide à la décision reposant sur l'intelligence artificielle à des fins prédictives. | Texte lu. Décret sur les modalités de saisine et les délais (article 32) : non lu. |
Tableau 3 : transferts hors du pays
| Pays | Ce que dit le texte lu | Statut de la vérification |
|---|---|---|
| Bénin | « État tiers » : tout État hors CEDEAO (définitions). Article 391 : transfert possible si l'Autorité constate un niveau de protection équivalent, et autorisation de l'Autorité avant tout transfert effectif. Article 392 : exceptions (consentement exprès, exécution d'un contrat, etc.). | Texte lu (scan bruité). Aucune liste de pays jugés équivalents trouvée : non vérifié. |
| Sénégal | « Pays tiers » : tout État autre que le Sénégal. Article 49 : transfert seulement si l'État offre une protection suffisante, avec information préalable de la CDP. Article 50 : transferts ponctuels et non massifs avec consentement exprès, ou nécessaires à un contrat. Article 51 : la CDP peut autoriser un transfert avec des garanties suffisantes. | Texte lu (copie WIPO). |
| Côte d'Ivoire | « Pays tiers » : tout État hors CEDEAO. Article 26 : transfert seulement vers un État offrant une protection supérieure ou équivalente, et autorisation préalable de l'autorité avant tout transfert effectif ; contrôle régulier. | Texte lu par OCR. |
| Togo | « Pays tiers » : tout État autre que le Togo. Article 28 : protection suffisante, avec information préalable de l'IPDCP qui donne un avis motivé. Article 29 : transferts ponctuels. Article 30 : autorisation possible avec garanties. Article 31 : pour les données venues de l'étranger, l'IPDCP vérifie d'abord le niveau de protection du responsable. | Texte lu par OCR. |
| Burkina Faso | Article 42 : transfert vers un pays étranger seulement si le niveau de protection est adéquat ; avant tout transfert, autorisation de la CIL, clause de confidentialité, clause de réversibilité et mesures de sécurité dont le chiffrement. Article 44 : exceptions. | Texte lu. Définition de « pays étranger » : non lue. |
Tableau 4 : sanctions
| Pays | Ce que dit le texte lu | Statut de la vérification |
|---|---|---|
| Bénin | Articles 460 et 461 : traiter sans respecter les formalités, ou transférer vers un État tiers sans satisfaire aux exigences, est puni de 6 mois à 10 ans de prison et de 10 à 50 millions de FCFA d'amende, ou de l'une des deux peines. Par négligence, pour le défaut de formalités : amende seule de 5 à 50 millions. Prospection non autorisée (article 337) : 30 jours à 6 mois et 50 000 à 500 000 FCFA. | Texte lu (scan bruité) ; les chiffres ont été relus. Peines appliquées en pratique : non vérifié. |
| Sénégal | Articles 29 et 30 : avertissement, mise en demeure, puis retrait provisoire de l'autorisation et amende de 1 à 100 millions de FCFA. L'article 75 renvoie les infractions pénales au Code pénal et à la loi sur la cybercriminalité. | Texte lu pour les sanctions administratives. Code pénal et loi sur la cybercriminalité : non lus. |
| Côte d'Ivoire | Article 22 : prospection directe sans consentement, 1 à 5 ans de prison et 1 à 10 millions de FCFA. Article 45 : entrave à l'autorité, 1 mois à 2 ans et 1 à 10 millions. Article 49 : avertissement et mise en demeure. | Texte lu par OCR. Sanction du défaut de déclaration et montants des sanctions pécuniaires de l'autorité : non trouvés dans les articles relus. |
| Togo | Article 71 : après mise en demeure, retrait provisoire de l'autorisation et amende pouvant aller jusqu'à 100 millions de FCFA. Article 79 : traiter sans les formalités préalables, 1 à 5 ans de prison et 1 à 10 millions de FCFA, ou l'une des deux peines ; 1 à 3 ans et 500 000 à 5 millions en cas de négligence. | Texte lu par OCR ; chiffres à confirmer sur le PDF de l'IPDCP. Page « Sanctions » du site de l'IPDCP : vide à la date de consultation. |
| Burkina Faso | Article 63 : avertissement, mise en demeure, injonction, verrouillage, amende forfaitaire, retrait de l'autorisation. Article 65 : amende de 1 % du chiffre d'affaires hors taxes du dernier exercice au premier manquement, 5 % en cas de récidive. Article 68 : 5 à 20 millions de FCFA pour un traitement sans les formalités préalables. Article 70 : 5 à 100 millions pour détournement de finalité. | Texte lu. Articulation des articles 65 et 68, et dispositions pénales : non lues. |
Ce que le comparatif montre
Les trois points suivants sont notre lecture des tableaux, pas un avis d'autorité.
1. Le mot « transfert » ne veut pas dire la même chose partout. Au Bénin et en Côte d'Ivoire, le texte lu définit l'État tiers comme tout État hors CEDEAO. Au Sénégal et au Togo, c'est tout État autre que le pays lui-même. Un prestataire béninois qui accède à des données d'un client sénégalais ou togolais se trouve donc, selon ces définitions, dans un État tiers vu depuis Dakar ou Lomé. Le texte du Burkina utilise « pays étranger » sans que nous ayons lu de définition.
2. L'Europe et les États-Unis sont des États tiers dans les cinq textes lus. Un client qui héberge sa base chez un fournisseur européen ou américain, ou qui utilise un outil dont les serveurs sont hors de la CEDEAO, est dans le cas du transfert. L'autorisation ou l'information préalable de l'autorité est alors à prévoir, selon le pays. Le texte béninois exige même l'autorisation de l'Autorité avant tout transfert effectif.
3. La nature des données change le régime. Biométrie, identifiants nationaux, interconnexion de fichiers : les cinq textes demandent une autorisation et non une simple déclaration. Le texte ivoirien lu par OCR range aussi les numéros de téléphone dans cette catégorie, ce qui, si l'OCR est exact, toucherait tout service construit sur des numéros (WhatsApp, SMS, Mobile Money). Le texte burkinabè soumet à autorisation des traitements d'aide à la décision fondés sur l'IA à des fins prédictives. Ces deux points sont ceux à faire valider en priorité par un juriste local.
La Convention de Malabo
La page de l'Union africaine indique une adoption le 27 juin 2014. La liste de statut du 8 juillet 2024 (texte lu) donne : Bénin, signature le 28 janvier 2015 sans ratification ; Burkina Faso, aucune signature ni ratification ; Côte d'Ivoire, ratification déposée le 3 avril 2023 ; Sénégal, dépôt le 16 août 2016 ; Togo, dépôt le 19 octobre 2021. La presse juridique rapporte une ratification béninoise postérieure à cette liste (décret 2024-772) : non vérifié à la source. L'entrée en vigueur au 8 juin 2023, annoncée par la presse spécialisée, n'est pas confirmée par une page de l'Union africaine que nous ayons lue. Nous n'avons pas lu le texte de la Convention : les PDF de l'Union africaine sont des images que nous n'avons pas traitées.
Ce qu'une agence qui livre à distance doit demander à son client
Ces questions sont une bonne pratique d'après notre lecture, pas une obligation tirée d'un des textes. Faites-les par écrit.
- Dans quel pays se trouvent les personnes concernées ? Une réponse par pays, car chaque pays a sa loi.
- Qui est le responsable de traitement et où est-il établi ? Le contrat doit nommer l'entité qui décide des finalités, pas seulement celle qui paie.
- Quelles formalités ont été accomplies ? Demandez le récépissé de déclaration ou la décision d'autorisation, avec le numéro et la date, pour chaque pays.
- Quelles catégories de données ? Numéros de téléphone, biométrie, identifiant national, santé : ce sont celles qui peuvent déclencher une autorisation.
- Où sont hébergées les données, et où se connecte l'équipe ? Pour chaque pays, dites si l'hébergement ou l'accès de l'agence est un transfert au sens du texte local, et qui demande l'autorisation ou informe l'autorité.
- Quels outils tiers reçoivent des données ? Hébergeur, outil d'automatisation, messagerie, modèle d'IA : chacun peut être un transfert.
- Quel contrat avec l'agence ? Confidentialité, sécurité, instructions écrites, restitution et suppression en fin de mission. Le Burkina Faso demande explicitement une clause de réversibilité et du chiffrement avant un transfert.
- Des données réelles sont-elles nécessaires pour développer ? Sinon, travaillez sur des données de test : vous réduisez le périmètre des démarches.
- Quel consentement pour les messages commerciaux ? Les cinq lois lues interdisent la prospection sans consentement préalable. Sur WhatsApp, voir l'article sur le Code du numérique béninois et l'opt-in WhatsApp.
- Qui est le juriste local de chaque pays ? Nommez-le avant de lancer, pas après un incident.
Si votre client est aussi soumis au RGPD, ces règles s'ajoutent : voir la checklist RGPD pour un prestataire hors UE. Pour le choix du lieu d'exécution des modèles d'IA, voir IA locale ou cloud pour une PME ; pour cadrer un projet de chatbot avant de parler de données, le modèle de cahier des charges.
Ce que nous ne savons pas
- Les versions en vigueur. Aucune version consolidée officielle trouvée pour les cinq pays. Le Sénégal a une loi de 2008 et la presse évoque une réforme ; nous n'avons trouvé aucun texte voté sur les données personnelles (non vérifié).
- La qualité de nos lectures OCR. Les textes ivoirien et togolais, et le texte béninois en partie, sont lus par reconnaissance de caractères. Les numéros d'articles et les montants cités ont été relus, mais confirmez-les sur le PDF officiel avec votre juriste.
- Les sites de l'APDP et de la CIL. Non ouverts. Nous ne savons rien des formulaires, des délais, des frais ni des guides pratiques de ces deux autorités.
- Les décisions et les pratiques. Nous n'avons lu aucune décision ni aucune sanction publiée. Nous ne savons pas comment les autorités traitent l'accès à distance par un prestataire étranger.
- Les droits pénaux nationaux (Sénégal, Burkina Faso) et les lois sectorielles (santé, banque, télécoms).
- Le droit CEDEAO. L'Acte additionnel de 2010 est cité par l'IPDCP comme source ; nous ne l'avons pas lu.
- Les passages « notre lecture » sont un raisonnement, pas une autorité : faites-les valider par un juriste de chaque pays.
Sources consultées le 7 novembre 2026
- République du Bénin, Loi n° 2017-20 du 20 avril 2018 portant code du numérique, Secrétariat général du gouvernement (articles 1er, 337, 391, 392, 405 à 407, 460 et 461). Scan à texte brut bruité.
- République du Bénin, Loi n° 2020-35 du 6 janvier 2021, Secrétariat général du gouvernement (articles 121, 125 et 464).
- République du Sénégal, Loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel, WIPO Lex (articles 17 à 20, 29 à 32, 47, 49 à 51, 75).
- Commission des Données Personnelles du Sénégal, site officiel (contenu non lisible sans JavaScript).
- République de Côte d'Ivoire, Loi n° 2013-450 du 19 juin 2013, copie publiée par l'ARTCI, lue par OCR (articles 5, 7, 22, 26, 45, 49 et 54).
- ARTCI, page Protection des données et page d'accueil.
- République togolaise, Loi n° 2019-014 du 29 octobre 2019, PDF publié par l'IPDCP, lu par OCR (articles 4 à 8, 26, 28 à 31, 71, 79).
- IPDCP, Cadre juridique, Missions, Sanctions et Lois.
- Burkina Faso, Loi n° 001-2021/AN du 30 mars 2021, site de l'Assemblée nationale (articles 14, 26 à 28, 31, 42 à 44, 63 à 70, 81 et 82).
- Union africaine, page de la Convention et liste de statut du 8 juillet 2024.
Un projet qui touche plusieurs pays d'Afrique de l'Ouest ? Notre page agence IA en Afrique décrit ce que nous construisons.
Étiquettes
FAQ
Une même entreprise doit-elle se déclarer dans chaque pays où elle traite des données ?
Chaque loi lue prévoit une formalité auprès de son autorité nationale (déclaration, ou autorisation pour certaines données), et nous n'avons trouvé aucun guichet unique régional. Notre lecture : si vous traitez des données de personnes dans plusieurs de ces pays, comptez une démarche par pays, avec ses règles propres. Le champ d'application exact de chaque loi (territoire, établissement du responsable) est à faire confirmer par un juriste local.
Héberger des données de clients ivoiriens ou togolais en Europe est-il un transfert ?
Sous les textes que nous avons lus, un État tiers est un État hors CEDEAO (Bénin, Côte d'Ivoire) ou tout État autre que le pays lui-même (Sénégal, Togo). L'Europe est donc un État tiers dans les cas lus, et l'hébergement peut relever des règles de transfert : autorisation ou information préalable de l'autorité selon le pays. Dans les articles lus, nous n'avons pas trouvé de mention de l'accès à distance. Notre lecture, à valider avec un juriste local.
La Convention de Malabo remplace-t-elle ces lois nationales ?
Non, pas à elle seule. Selon la liste de statut de l'Union africaine du 8 juillet 2024, la Côte d'Ivoire, le Sénégal et le Togo l'ont ratifiée, le Bénin l'avait signée sans ratification et le Burkina Faso n'y figurait pas. Ce sont les lois nationales, avec leur autorité, que vous appliquez au quotidien. Nous n'avons pas lu le texte de la Convention en entier.
Un prestataire peut-il se contenter du contrat de son client ?
Non. Les textes lus imposent des obligations de confidentialité et de sécurité à celui qui traite des données pour le compte du responsable, et le Burkina Faso exige, avant un transfert, une clause de confidentialité, une clause de réversibilité et des mesures de sécurité dont le chiffrement. Demandez un contrat écrit qui nomme le pays, l'autorité et les formalités accomplies. Information générale, pas un conseil juridique.
Les sanctions sont-elles appliquées en pratique ?
Nous ne le savons pas. Nous avons lu les barèmes des textes, pas des décisions. Le site de l'IPDCP togolais affiche une page « Sanctions » vide à la date de consultation (7 novembre 2026), et nous n'avons pas pu lire les sites de l'APDP et de la CIL. L'absence de sanction publiée ne prouve pas l'absence de contrôle.
Budget, process, priorités : on tranche ensemble
Site, chatbot ou automatisation ? On aligne le prochain chantier sur ce qui débloque du cash, pas sur la techno à la mode.
- 30 min
- Priorités claires
- Sans engagement
Singbo Davy AGONMA
Développeur Fullstack & Expert IA. Spécialiste automatisation n8n, développement Laravel/Flutter et intégration d'agents IA. Master CS — IFRI.
