Vidéosurveillance au Sénégal : comment être conforme à la CDP en 2026 ?
Installer des caméras de surveillance dans une entreprise, un commerce, un hôtel, un entrepôt ou un immeuble est devenu courant au Sénégal. La vidéosurveillance permet de renforcer la sécurité des personnes, de protéger les biens et de faciliter l’analyse d’un incident.
Mais installer des caméras ne consiste pas uniquement à choisir leur emplacement et à connecter un enregistreur.
Dès lors qu’une caméra permet d’identifier directement ou indirectement une personne, les images enregistrées entrent dans le champ de la protection des données à caractère personnel. La loi sénégalaise n° 2008-12 encadre donc leur collecte, leur utilisation, leur conservation et leur sécurisation.
Pour une entreprise au Sénégal, la question n’est donc plus seulement :
« Quel système de vidéosurveillance installer ? »
Elle doit aussi se demander :
« Mon système est-il conforme aux exigences de la Commission de Protection des Données Personnelles ? »
La vidéosurveillance doit-elle être déclarée à la CDP au Sénégal ?
Oui.La CDP met aujourd’hui à disposition un formulaire de déclaration spécifiquement consacré aux systèmes de vidéosurveillance. La Commission distingue notamment ce formulaire des déclarations ordinaires relatives à d’autres systèmes d’information.
Cette démarche découle notamment de l'article 18 de la loi n° 2008-12, selon lequel les traitements de données personnelles qui ne relèvent pas d'un régime particulier doivent faire l'objet d'une déclaration auprès de la CDP. La loi prévoit que le récépissé délivré par la Commission permet ensuite la mise en œuvre du traitement.
La CDP a d'ailleurs renouvelé sa communication sur ce sujet en 2026 en rappelant aux particuliers et aux professionnels l'obligation d'accomplir cette formalité avant l'exploitation d'un dispositif de vidéosurveillance.
Autrement dit, acheter et installer des caméras ne suffit pas pour disposer d'un système conforme.
Pourquoi les images des caméras sont-elles considérées comme des données personnelles ?
La loi sénégalaise définit comme donnée à caractère personnel toute information relative à une personne physique identifiée ou identifiable.Une image permettant de reconnaître un salarié, un client, un visiteur ou un prestataire entre donc dans cette définition. Son enregistrement, sa consultation, son stockage ou sa transmission constituent des opérations de traitement de données.
C'est ce qui explique pourquoi la vidéosurveillance relève à la fois de la sécurité électronique et de la protection des données personnelles.
Une installation techniquement performante peut donc malgré tout être juridiquement mal configurée.
Peut-on installer une caméra partout dans une entreprise ?
Non.C'est l'un des points les plus importants à intégrer dès la conception du système.
La CDP encadre notamment la vidéosurveillance sur les lieux de travail à travers sa délibération n° 2016-00238/CDP du 11 novembre
La jurisprudence administrative de la CDP et ses contrôles ont notamment conduit à distinguer les zones pouvant légitimement nécessiter une surveillance des espaces portant une atteinte excessive à la vie privée.
Les entrées et sorties des bâtiments, parkings, voies de circulation, escaliers, issues de secours, entrepôts ou certaines zones sensibles peuvent, selon leur configuration et leur finalité, justifier la présence d'une caméra. En revanche, la surveillance permanente d'un poste de travail, d'un vestiaire, d'un espace de pause ou d'autres espaces privés est fortement encadrée, voire interdite.
En février 2026 encore, la CDP indiquait avoir constaté des installations non conformes dans certaines structures et avoir ordonné le retrait de caméras placées notamment dans des bureaux, des salles de soins ou d'autres espaces considérés comme inappropriés.
C'est pourquoi l'étude de l'emplacement des caméras doit précéder leur installation, et non l'inverse.
Une caméra peut-elle filmer les salariés ?
La présence de salariés dans le champ d'une caméra n'est pas automatiquement interdite.Ce qui pose problème est notamment une surveillance délibérée, systématique et permanente de leur activité professionnelle.
La CDP rappelle que la finalité légitime d'un système installé dans une entreprise doit essentiellement rester liée à des objectifs tels que la sécurité des personnes et des biens. Filmer continuellement un bureau ou orienter une caméra directement vers un salarié dans le but d'évaluer son travail n'obéit pas à la même logique.
La distinction est importante : une caméra protégeant l'accès à une salle informatique n'a pas la même finalité qu'une caméra braquée huit heures par jour sur le technicien qui y travaille.
Les personnes filmées doivent-elles être informées ?
Oui.La transparence constitue l'un des principes de la législation sénégalaise sur les données personnelles. Le responsable du traitement doit notamment informer les personnes concernées des finalités du traitement, des catégories de données collectées, de leurs destinataires, de la durée de conservation et de leurs droits.
Dans le cadre de la vidéosurveillance, cela implique notamment une signalisation suffisamment visible permettant aux salariés, visiteurs ou clients de savoir qu'ils pénètrent dans un espace surveillé.
La CDP demande également aux organismes de prévoir les modalités permettant aux personnes concernées d'exercer leurs droits.
Un petit autocollant « zone sous vidéosurveillance » placé dans un endroit peu visible ne doit donc pas être considéré comme l'ensemble d'une politique de conformité.
Combien de temps peut-on conserver les images ?
Le principe posé par la loi est simple : les données ne doivent être conservées que pendant la durée nécessaire à la finalité pour laquelle elles ont été collectées.Pour les systèmes de vidéosurveillance, la CDP a indiqué dans ses communications qu'une durée maximale de trois mois devait être respectée, sous réserve naturellement du régime applicable à la situation concernée et de la durée déclarée auprès de la Commission.
Cela ne signifie pas qu'une entreprise doit automatiquement conserver toutes ses images pendant trois mois.
Une entreprise doit au contraire déterminer une durée cohérente avec son besoin réel et le traitement déclaré.
Stocker plusieurs années d'images « au cas où » serait difficilement compatible avec le principe de limitation de la conservation.
Qui peut regarder les images de vidéosurveillance ?
Pas tout le monde.Le responsable du traitement doit limiter l'accès aux personnes qui en ont réellement besoin dans le cadre de leurs fonctions.
La loi impose notamment des mesures permettant de contrôler les accès aux données, d'empêcher l'accès de personnes non autorisées et, lorsque cela est possible, de pouvoir identifier les personnes ayant accédé au système et les opérations réalisées.
Pour un système professionnel, il est donc préférable de prévoir des comptes utilisateurs individuels, des niveaux d'autorisation adaptés, des mots de passe robustes et une traçabilité des connexions plutôt qu'un identifiant administrateur partagé entre plusieurs personnes.
Ces règles deviennent encore plus importantes lorsqu'un système permet une consultation à distance depuis un smartphone, un ordinateur ou un centre de télésurveillance.
Et si les images sont enregistrées dans le cloud ?
La question mérite une attention particulière.Un système de vidéosurveillance moderne peut envoyer les images vers un serveur distant ou vers une plateforme cloud située à l'extérieur du Sénégal.
Or la déclaration auprès de la CDP doit notamment préciser les éventuels transferts de données vers des pays tiers. La législation sénégalaise encadre ces transferts, et les formalités de la Commission prévoient un régime spécifique lorsque des données personnelles sont transférées à l'étranger.
Avant de retenir une solution cloud, une entreprise devrait donc savoir où sont hébergées les vidéos, qui peut y accéder et quelles mesures protègent leur transmission et leur stockage.
Le choix d'un NVR installé dans les locaux et celui d'une solution CCTV entièrement hébergée dans le cloud n'ont pas forcément les mêmes implications.
Reconnaissance faciale : attention au changement de régime
Toutes les caméras ne traitent pas les images de la même manière.Une caméra classique enregistrant une scène n'est pas équivalente à un système identifiant automatiquement les personnes à partir de caractéristiques biométriques.
La loi sénégalaise prévoit expressément que les traitements comportant des données biométriques sont soumis à une autorisation préalable de la CDP.
La reconnaissance faciale, certains systèmes de contrôle d'accès biométrique ou les dispositifs qui analysent automatiquement l'identité des individus doivent donc être étudiés avec encore davantage de précaution.
La CDP s'est d'ailleurs montrée particulièrement attentive à l'utilisation de la reconnaissance faciale dans le domaine du pointage des salariés.
C'est une question qui va devenir de plus en plus importante avec le développement de la vidéosurveillance intelligente et de l'intelligence artificielle.
Que risque une entreprise en cas de non-conformité ?
La CDP dispose de pouvoirs de contrôle et d'investigation lui permettant notamment de réaliser des contrôles sur pièces ou sur place et d'accéder aux systèmes informatiques et aux données lorsqu'elle exerce ses missions.La loi prévoit d'abord des mesures telles qu'un avertissement ou une mise en demeure.
En cas de non-respect de la mise en demeure, elle prévoit également des sanctions pouvant notamment comprendre une amende comprise entre 1 million et 100 millions de francs CFA, ainsi que, selon les circonstances, le retrait d'une autorisation. La CDP peut également ordonner l'interruption ou l'interdiction d'un traitement dans certaines situations.
La conformité ne doit donc pas être considérée comme une formalité administrative secondaire.
La checklist avant d'installer des caméras dans votre entreprise
Avant la mise en service d'un système de vidéosurveillance à Dakar ou ailleurs au Sénégal, l'entreprise devrait notamment vérifier :* la finalité exacte du dispositif ;
* les zones réellement nécessaires à surveiller ;
* le champ de vision de chaque caméra ;
* les formalités à accomplir auprès de la CDP ;
* l'information des salariés, visiteurs et clients ;
* la durée de conservation des images ;
* les personnes habilitées à accéder aux enregistrements ;
* la sécurisation du NVR, DVR, serveur ou stockage cloud ;
* les éventuels transferts d'images hors du Sénégal ;
* la présence de fonctions avancées telles que reconnaissance faciale, lecture automatique de plaques ou analyse intelligente.
Cette réflexion doit idéalement être menée avant le câblage et l'installation définitive des caméras.
Sécurité et conformité doivent être pensées ensemble
Un bon système de vidéosurveillance ne se mesure pas au nombre de caméras installées.Il doit couvrir les zones réellement sensibles, produire des images exploitables en cas d'incident, limiter les angles morts, protéger les enregistrements et rester adapté aux risques du site.
Mais au Sénégal, cette conception doit également intégrer les obligations relatives à la protection des données personnelles.
Chez VIGILUS, nos équipes conçoivent, installent et maintiennent des solutions de vidéosurveillance adaptées aux entreprises, commerces, sites industriels, hôtels, banques, entrepôts, résidences et autres infrastructures. Notre approche consiste notamment à analyser les zones à sécuriser afin de concevoir une architecture CCTV cohérente avec les besoins opérationnels du site. La page dédiée aux solutions CCTV présente déjà ces prestations de vidéosurveillance, télésurveillance, alarmes, contrôle d'accès et maintenance.
Pour les démarches réglementaires, le responsable du traitement reste naturellement responsable du respect de ses obligations auprès de la CDP.
Vous envisagez d'installer, moderniser ou auditer votre système de vidéosurveillance à Dakar ou au Sénégal ? Contactez VIGILUS pour étudier votre projet de sécurité électronique.
