Données personnelles au Togo : les obligations de votre entreprise

Un fichier clients Excel, les bulletins de paie, les contacts du WhatsApp Business de la boutique : votre entreprise traite des données personnelles tous les jours. Or, au Togo, la loi n° 2019-014 du 29 octobre 2019 encadre chacun de ces gestes. Elle impose des formalités avant de créer un fichier et des règles de fond pour l’exploiter. Les sanctions montent jusqu’à 100 millions de francs CFA d’amende administrative. Pourtant, la plupart des dirigeants de PME togolaises n’ont jamais entendu parler de leurs obligations.

Cet article fait le tri, avec un objectif pragmatique. D’abord, savoir ce que la loi exige de votre entreprise et ce qu’elle interdit. Ensuite, mesurer ce que vous risquez. Enfin, voir ce qu’il est réellement possible de faire aujourd’hui auprès de l’autorité de contrôle, l’IPDCP.

Votre entreprise traite des données personnelles, probablement sans le savoir

Une donnée à caractère personnel est toute information qui permet d’identifier une personne physique, directement ou indirectement (article 4 de la loi). Concrètement, un nom, un numéro de téléphone, une adresse, une photo, un matricule ou un numéro de compte suffisent. Et le « traitement » ne vise pas seulement les logiciels. En effet, la loi énumère la collecte, l’enregistrement, la conservation, la consultation, l’utilisation, la copie ou la diffusion, « à l’aide de procédés automatisés ou non ».

Les fichiers concernés dans une PME

Par conséquent, presque toute activité commerciale entre dans le champ de la loi. Celle-ci concerne votre entreprise dès qu’elle tient :

• un fichier clients, même un simple cahier ou un tableau Excel avec noms et téléphones ;
• les dossiers du personnel : contrats, bulletins de paie, données CNSS et AMU ;
• une liste de prospects pour vos relances commerciales ou vos livraisons ;
• des images de vidéosurveillance où l’on reconnaît des personnes ;
• les contacts de vos groupes WhatsApp Business et de vos pages de vente en ligne.

Aucune taille minimale, aucun secteur épargné

L’article 2 de la loi soumet expressément toute collecte et tout traitement opérés par « les personnes morales de droit public ou de droit privé ». Autrement dit, la SARL, l’entreprise individuelle, la microfinance, l’école privée et même l’association déclarée obéissent aux mêmes règles. Seuls échappent à la loi les traitements strictement personnels ou domestiques : votre répertoire téléphonique privé, pas celui de la boutique.

Les formalités préalables avant de traiter des données personnelles

La loi togolaise pose un principe simple et méconnu : on ne crée pas un fichier de données personnelles librement. En effet, l’article 6 impose une déclaration préalable auprès de l’Instance de protection des données à caractère personnel (IPDCP). L’Instance accuse réception, puis délivre un récépissé dans un délai maximal d’un (1) mois, prorogeable une fois sur décision motivée.

« La déclaration, conforme à un modèle établi par l’Instance de protection des données à caractère personnel, comporte l’engagement que le traitement satisfait aux exigences de la loi. Toutefois, seule la réception du récépissé donne droit à la mise en œuvre d’un traitement. »

Source : Article 6, loi n° 2019-014 du 29 octobre 2019 relative à la protection des données à caractère personnel

Retenez la dernière phrase : en droit strict, le récépissé précède le fichier, et non l’inverse. De plus, certains traitements jugés plus sensibles relèvent d’un régime renforcé d’autorisation préalable de l’IPDCP (article 8). C’est le cas notamment des données biométriques, comme une pointeuse à empreinte digitale. Le même régime vaut pour les données relatives aux infractions et condamnations, les interconnexions de fichiers et les numéros nationaux d’identification.

Pour ces demandes, l’article 11 prévoit un délai d’instruction fixé par voie réglementaire. Passé ce délai, l’autorisation « est réputée favorable ». Faute de texte fixant ce délai, cette garantie reste toutefois difficile à invoquer aujourd’hui.

Des normes simplifiées promises, pas encore publiées

Enfin, l’article 7 charge l’IPDCP de publier des normes simplifiées ou d’exonération pour les traitements les plus courants, ceux qui ne menacent ni la vie privée ni les libertés. Ces normes allégeront la charge des petites entreprises. À notre connaissance, elles n’existent pas encore.

Les règles de fond qui s’appliquent à tous vos fichiers

Déclarer ne suffit pas. La loi impose ensuite des principes de fond, applicables à chaque fichier de votre entreprise, du cahier de crédits clients au logiciel de paie.

Consentement, finalité, exactitude

Le consentement d’abord. L’article 14 pose la règle : un traitement est légitime si la personne concernée donne son consentement. La même disposition prévoit toutefois des dérogations utiles à l’entreprise. Ainsi, vous pouvez traiter sans consentement séparé les données nécessaires à l’exécution d’un contrat avec votre client. Il en va de même pour respecter une obligation légale, par exemple vos déclarations sociales et fiscales.

Une finalité précise, une durée limitée. L’article 16 impose de collecter les données pour des finalités déterminées, explicites et légitimes. Il interdit tout traitement ultérieur incompatible avec ces finalités. Les données doivent rester exactes et à jour (article 17). Leur conservation ne peut pas excéder la durée nécessaire à la finalité. Par exemple, garder les coordonnées d’anciens candidats à l’embauche « au cas où », pendant des années, expose l’entreprise.

Sécurité, confidentialité et sous-traitants

La sécurité ensuite. Les articles 19, 51 et 52 imposent de restreindre l’accès aux données aux seules personnes autorisées. Ils exigent aussi de prévenir les modifications non consenties, de sécuriser locaux et systèmes, et d’effectuer des sauvegardes régulières. Un ordinateur de caisse sans mot de passe, accessible à tout le personnel, contredit déjà ces obligations.

Le sous-traitant enfin, et par écrit. Un prestataire traite des données pour votre compte ? Comptable externe pour la paie, agence pour vos campagnes, développeur pour votre site : l’article 20 vous impose de choisir un sous-traitant « qui apporte des garanties suffisantes ». Surtout, la loi exige « un contrat ou un acte juridique consigné par écrit », qui prévoit que le sous-traitant n’agit que sur votre instruction. La loi renvoie la nature exacte des garanties à un texte réglementaire dont nous ne trouvons trace à ce jour. Le contrat écrit, lui, s’impose dès maintenant.

SMS et WhatsApp publicitaires : interdits sans consentement préalable

C’est probablement la règle la plus violée au Togo, et l’une des plus sévèrement punies. Beaucoup d’entreprises achètent ou échangent des listes de numéros, puis lancent des envois groupés de SMS ou de messages WhatsApp. Or la loi l’interdit frontalement.

« Est interdite toute prospection directe à l’aide de tout moyen de communication utilisant, sous quelque forme que ce soit, les données à caractère personnel d’une personne physique qui n’a pas exprimé son consentement préalable à recevoir de telles prospections. »

Source : Article 26, loi n° 2019-014 du 29 octobre 2019 relative à la protection des données à caractère personnel

Le consentement doit donc être préalable : la personne accepte de recevoir vos publicités avant le premier message, et non après coup. En pratique, recueillez cet accord au moment où vous collectez le numéro. Une case à cocher, une mention signée sur le bon de commande ou un message de confirmation conservé suffisent. Ensuite, gardez la preuve : c’est elle qui vous protège en cas de plainte.

Le versant pénal est dissuasif. En effet, l’article 85 punit la prospection, notamment commerciale, menée au mépris du droit d’opposition de la personne. Le juge peut alors prononcer de 1 à 5 ans de prison et de 5 à 20 millions de francs CFA d’amende, ou l’une de ces deux peines. Un client qui a dit « stop » et continue de recevoir vos messages dispose ainsi d’un fondement redoutable. Pour mémoire, notre guide sur vos droits face à l’IPDCP détaille ce que vos clients peuvent vous opposer : accès, rectification, opposition, effacement.

Le correspondant à la protection des données : la voie qui dispense des formalités

La loi togolaise offre un levier que presque personne n’utilise : le correspondant à la protection des données à caractère personnel. Il s’agit de l’équivalent togolais du délégué à la protection des données. L’article 5 écrit son intérêt noir sur blanc.

« Sont dispensés des formalités préalables prévues aux articles 6 à 9 de la présente loi : […] 3) les traitements pour lesquels le responsable a désigné un correspondant à la protection des données à caractère personnel chargé d’assurer, d’une manière indépendante, le respect des obligations prévues dans la présente loi, sauf lorsqu’un transfert de données à caractère personnel à destination d’un pays tiers est envisagé. »

Source : Article 5, loi n° 2019-014 du 29 octobre 2019 relative à la protection des données à caractère personnel

Ce que change le correspondant pour votre entreprise

Autrement dit, l’entreprise qui désigne un correspondant n’a plus à déclarer ses traitements courants un par un. Vous notifiez simplement sa désignation à l’IPDCP et, le cas échéant, vous en informez les représentants du personnel (article 77). Le correspondant informe et conseille l’entreprise, veille au respect de la loi, forme le personnel (article 76). De plus, la loi protège son statut : il « ne peut faire l’objet d’aucune sanction de la part de l’employeur du fait de l’accomplissement de ses missions » (article 75).

Les deux limites à connaître

D’une part, l’article 75 confie à l’IPDCP le soin de préciser le profil requis du correspondant. À notre connaissance, cette précision n’existe pas encore. D’autre part, la dispense tombe dès que vous envisagez un transfert vers un pays tiers. Or vous atteignez vite ce cas : héberger votre fichier clients sur un serveur étranger constitue déjà un transfert.

L’article 28 exige alors deux choses. Le pays de destination doit assurer un niveau de protection suffisant, et vous devez informer préalablement l’IPDCP, qui donne un avis motivé. À défaut, l’article 29 n’admet que des transferts ponctuels et non massifs. Il faut alors le consentement exprès de la personne, ou un cas limité comme l’exécution d’un contrat.

Ce que votre entreprise risque : de la mise en demeure à la prison

Les sanctions administratives de l’IPDCP

La loi organise une gradation. D’abord, l’IPDCP peut adresser un avertissement, puis une mise en demeure de faire cesser les manquements dans un délai qu’elle fixe (article 70). Ensuite, si la mise en demeure reste sans effet, l’article 71 prend le relais, après procédure contradictoire. L’IPDCP peut alors prononcer un retrait provisoire d’autorisation de trois (3) mois, définitif sans mesures correctives. Elle peut aussi infliger une amende pouvant atteindre cent millions (100 000 000) de francs CFA.

Les sanctions pénales

Par ailleurs, le chapitre pénal de la loi frappe fort. Voici les peines principales qui concernent directement une entreprise :

Dans chacun de ces cas, le juge peut prononcer les deux peines ou l’une d’elles seulement. Notons aussi que ces sanctions s’ajoutent aux infractions voisines du droit numérique togolais, détaillées dans notre article sur la loi cybercriminalité.

Des sanctions réellement appliquées ?

Reste la question que tout dirigeant se pose : ces sanctions tombent-elles réellement ? À la date du 24 août 2026, nous ne trouvons trace d’aucune sanction publiée par l’IPDCP. Sa rubrique « sanctions » reste d’ailleurs vide sur son site officiel. L’Instance, qui fonctionne depuis mars 2025, traverse manifestement une phase de sensibilisation.

Cependant, deux réalités demeurent. Les sanctions pénales relèvent des tribunaux, qu’un client mécontent peut saisir sans attendre l’IPDCP. Et l’histoire récente de la conformité au Togo, de la facture normalisée aux contrôles fiscaux, montre que les autorités finissent par appliquer les textes qu’elles ont laissés dormir.

FAQ : questions fréquentes sur les données personnelles en entreprise

Ce qu’il faut retenir

La loi n° 2019-014 s’applique à votre entreprise depuis fin 2020, quelle que soit sa taille. Trois gestes concentrent l’essentiel du risque. D’abord, prospecter par SMS ou WhatsApp sans consentement préalable. Ensuite, laisser vos fichiers sans sécurité. Enfin, confier vos données à des prestataires sans contrat écrit.

À l’inverse, désigner un correspondant à la protection des données, puis le notifier à l’IPDCP, dispense des formalités préalables pour les traitements courants. C’est aujourd’hui la voie de mise en conformité la plus accessible pour une PME togolaise.

L’IPDCP fonctionne désormais et monte en puissance. Les entreprises qui documentent leur conformité dès maintenant, inventaire, consentements, contrats, correspondant, aborderont ses premiers contrôles avec une longueur d’avance.

Sources et références

📚 Articles similaires

Tribunal de commerce au Togo : délais, seuils et appel

Rupture conventionnelle au Togo : indemnité et délais

Se marier au Togo : dossier, 45 jours de délai et la dot