Sécurité et protection des données de facturation au Sénégal : vos obligations en 2026

Par Équipe MaFactureProSN · 10 avril 2026 · 8 min de lecture · Documents & Facturation

Une facture est un fichier de données personnelles — pas seulement un montant

On regarde une facture par son total. Un juriste la regarde autrement : elle porte le nom d'une personne, son adresse, souvent son téléphone, son NINEA, ce qu'elle a acheté, quand, et à quel prix. Multipliez par trois ans de clients et vous ne tenez plus une pile de documents, vous tenez un fichier — au sens que la loi donne à ce mot.

C'est ce basculement que beaucoup de PME sénégalaises n'ont pas encore fait. Elles protègent leur trésorerie et laissent les données de leurs clients sur une clé USB partagée. Les deux ont pourtant la même valeur pour celui qui veut nuire.

La loi n° 2008-12 : ce qu'elle demande à VOTRE entreprise

La loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel encadre au Sénégal tout traitement de données identifiantes, et elle a créé la Commission de Protection des Données Personnelles (CDP).

Le point que presque personne n'applique : un fichier clients est un traitement, et un traitement se déclare auprès de la CDP. Ce n'est pas réservé aux banques ou aux opérateurs télécoms. Une PME qui tient un fichier de plusieurs centaines de clients, avec noms, contacts et historique d'achats, entre dans le champ.

Cette démarche appartient au responsable de traitement — c'est-à-dire à vous, pour vos propres clients. Aucun éditeur de logiciel ne peut la faire à votre place, et aucun ne devrait le laisser croire : la déclaration porte sur la finalité de VOTRE traitement, les catégories de données que VOUS collectez et la durée pendant laquelle VOUS les gardez.

Les grands principes à tenir sont simples à énoncer, plus exigeants à appliquer :

• Finalité — vous collectez pour facturer et pour tenir votre comptabilité, pas pour revendre une base de prospection.
• Minimisation — un numéro de pièce d'identité n'a rien à faire sur une facture de restauration.
• Durée limitée — les données de facturation se conservent le temps de l'obligation comptable, pas « pour toujours ».
• Droit d'accès et de rectification — un client peut vous demander ce que vous détenez sur lui, et faire corriger une erreur.
• Sécurité — c'est le point qui suit, et c'est celui qui se mesure.

Dix ans : la durée qui ne se négocie pas

Le droit OHADA impose la conservation des livres et pièces comptables pendant dix ans. Une facture est une pièce comptable. La DGI peut donc, lors d'un contrôle, demander la production d'un document émis en 2019, et l'incapacité à le produire ne se plaide pas.

Trois qualités sont attendues de cette conservation, et elles sont cumulatives :

• intégrité — le document ne doit pas avoir été modifiable après émission ;
• accessibilité — il doit être retrouvé en un temps raisonnable, pas au terme d'une fouille ;
• lisibilité — il doit rester consultable et imprimable, dans un format qui n'aura pas disparu entre-temps.

Cette troisième condition élimine plus d'archives qu'on ne le croit. Un fichier tableur enregistré dans une version de 2016, ouvert dix ans plus tard, ne s'ouvre pas toujours — et une facture illisible équivaut à une facture perdue. Le sujet est détaillé dans notre guide sur l'archivage et la conservation des factures au Sénégal.

Les quatre façons les plus courantes de perdre dix ans d'archives

Ce ne sont pas des hypothèses de manuel. Ce sont les quatre scénarios qu'on rencontre réellement dans les PME de Dakar, Thiès ou Touba.

1. Le disque dur de l'ordinateur de la comptable

Un seul exemplaire, sur une seule machine, sans copie. La panne n'est pas une possibilité lointaine : c'est la fin de vie normale d'un disque, à trois ou cinq ans. Elle arrive donc statistiquement avant la fin de l'obligation de conservation.

2. La clé USB qui circule

Elle se perd, elle se prête, elle attrape ce que traînent les machines sur lesquelles on la branche. Et rien, sur une clé ordinaire, n'empêche celui qui la ramasse de tout lire.

3. Les factures envoyées par messagerie et jamais archivées ailleurs

Le document existe, mais il vit dans une conversation. Retrouver la facture d'un client de 2022 revient alors à faire défiler trois ans de messages. C'est accessible en théorie, pas en pratique — et un contrôle fiscal juge sur la pratique.

4. Le prestataire qui détient tout, et qu'on ne joint plus

Un ancien comptable, un neveu qui « gérait l'informatique », un prestataire dont le contrat s'est terminé sans restitution. Les données existent, mais pas chez vous. C'est le scénario le plus difficile à rattraper, parce qu'il n'y a rien à réparer techniquement — il fallait le prévoir au contrat.

Le risque interne, celui dont on ne parle jamais

La menace qu'on imagine vient de l'extérieur. Celle qui se produit vient le plus souvent de l'intérieur : un collaborateur qui accède à l'ensemble du fichier clients alors que son poste ne le justifie pas, et qui part avec.

La réponse n'est pas la surveillance, c'est le cloisonnement : chacun voit ce dont il a besoin pour travailler, et rien de plus. Un vendeur consulte ses propres devis ; il n'a pas de raison d'exporter la base entière. Ce principe porte un nom — le moindre privilège — et il se met en place le jour où l'on distribue les comptes, pas après l'incident. Voir à ce sujet notre article sur la facturation multi-utilisateurs et la gestion des rôles.

Chiffrement en transit, chiffrement au repos : ce que ça veut dire

Deux mots reviennent partout et méritent d'être distingués, parce qu'ils protègent contre deux choses différentes.

En transit : entre votre navigateur et le serveur, la connexion est chiffrée (HTTPS/TLS). Cela protège de l'interception sur un réseau partagé — le wifi d'un hôtel, d'un espace de travail, d'un aéroport. Une adresse qui commence par http:// et non https:// n'offre pas cette protection : c'est vérifiable en une seconde, dans la barre d'adresse.

Au repos : sur le disque du serveur, les données sont stockées chiffrées. Cela protège du vol physique du support. C'est une garantie d'infrastructure, pas un label — et il faut se méfier du vocabulaire : « chiffré » décrit une mesure technique, « certifié » suppose un audit par un tiers. Un fournisseur qui emploie le second mot doit pouvoir produire l'attestation correspondante.

Sur MaFactureProSN, l'isolation ne repose pas seulement sur ce que l'interface affiche : elle est appliquée dans la base de données elle-même, ligne par ligne. Une requête qui ne correspond pas à votre compte ne renvoie rien, même formée à la main, même hors de l'application. C'est la différence entre une porte fermée et une porte qui n'existe pas pour qui n'a pas la clé.

La checklist en huit points

• Vos factures existent-elles à deux endroits au moins, dont un hors de vos locaux ?
• Pouvez-vous produire une facture de l'exercice 2021 en moins de dix minutes ?
• Vos collaborateurs ont-ils des comptes nominatifs, ou partagent-ils un mot de passe ?
• Un départ de collaborateur entraîne-t-il la suppression de son accès le jour même ?
• L'adresse de votre outil commence-t-elle par https:// ?
• Votre traitement de données clients est-il déclaré auprès de la CDP ?
• Vos mentions légales indiquent-elles ce que vous collectez, pourquoi et pour combien de temps ?
• Si votre prestataire informatique disparaissait demain, auriez-vous encore vos données ?

Une réponse « non » n'est pas une faute : c'est une tâche. Traitez-les dans l'ordre, la première est la plus rentable.

Questions fréquentes

Puis-je conserver mes factures uniquement en PDF sur mon ordinateur ?

Légalement, un PDF non modifiable peut satisfaire l'exigence d'intégrité. Le problème n'est pas le format, c'est l'exemplaire unique : une seule copie sur une seule machine ne survit ni à une panne, ni à un vol, ni à un incendie. Le minimum praticable est une deuxième copie, ailleurs, mise à jour automatiquement — parce qu'une sauvegarde manuelle finit toujours par ne plus être faite.

Dois-je vraiment déclarer mon fichier clients à la CDP ?

La loi 2008-12 soumet les traitements de données personnelles à une formalité préalable auprès de la CDP. Un fichier clients en est un. La démarche relève du responsable de traitement, c'est-à-dire de votre entreprise, et elle dépend de ce que vous collectez exactement : le plus sûr est de poser la question directement à la CDP, qui renseigne sur le régime applicable à votre activité.

Un logiciel de facturation peut-il me mettre en conformité ?

Non, et il faut se méfier de celui qui l'affirme. Un logiciel fournit des mesures techniques — chiffrement, sauvegardes, cloisonnement des accès, traçabilité. La conformité, elle, couvre aussi vos pratiques : ce que vous collectez, ce que vous en dites à vos clients, qui y accède dans votre entreprise, et la formalité auprès de la CDP. L'outil couvre une partie du chemin, jamais la totalité.

Que risque-t-on à ne pas pouvoir produire une facture lors d'un contrôle ?

L'absence de pièce justificative fragilise la déduction correspondante et expose aux sanctions applicables aux manquements de facturation. Le détail des sanctions figure dans notre article sur la facturation non conforme au Sénégal, et les mentions à ne pas oublier dans la checklist des mentions obligatoires.