Données personnelles au Togo : le guide 2026 (loi 2019-014)

Depuis mars 2025, l'Instance de protection des données à caractère personnel (IPDCP) est officiellement en activité au Togo. Elle a lancé la déclaration des caméras de surveillance, ouvert une plateforme en ligne pour ces déclarations en mars 2026, commencé à certifier des correspondants à la protection des données et rappelé aux entreprises comme aux administrations leurs obligations. La loi qu'elle fait appliquer date pourtant d'octobre 2019 : la loi n° 2019-014 relative à la protection des données à caractère personnel.

Si votre site a un formulaire de contact, si votre application crée des comptes ou si vous envoyez des SMS à vos clients, vous traitez des données personnelles, et cette loi s'applique à vous. Voici ce qu'elle exige concrètement, vu par quelqu'un qui conçoit ces systèmes, avec les articles à l'appui.

Cet article est une lecture technique de la loi, à jour au 12 octobre 2026. Il ne remplace pas l'avis d'un juriste : pour un cas précis, adressez-vous à l'IPDCP ou à un avocat.

L'essentiel en 7 points

Presque tout traitement se déclare à l'IPDCP avant d'être mis en œuvre ; certains (biométrie, santé, numéro national d'identification) demandent une autorisation.
Le consentement est la règle : libre, éclairé et explicite, sauf exceptions prévues par la loi (contrat, obligation légale, mission d'intérêt public, sauvegarde des intérêts de la personne).
Chaque formulaire doit informer la personne : qui collecte, pour quoi faire, pendant combien de temps, avec quels droits.
Les cookies et traceurs doivent être expliqués, avec un moyen clair de s'y opposer.
La prospection par SMS, WhatsApp ou e-mail exige un accord préalable.
Héberger ou transférer des données hors du Togo suppose un niveau de protection suffisant et une information préalable de l'IPDCP.
Les sanctions vont jusqu'à 100 millions de FCFA d'amende administrative, et jusqu'à cinq ans de prison pour les infractions pénales.

Votre site ou votre application est-il concerné ?

Une donnée personnelle est toute information qui permet d'identifier une personne, directement ou indirectement : un nom, un numéro de téléphone, une adresse e-mail, une photo, un numéro client (article 4). Le traitement couvre tout ce que vous en faites : collecter, enregistrer, consulter, transmettre, stocker, effacer.

La loi s'applique aux entreprises, aux associations, à l'État et aux collectivités locales (article 2). Elle vise aussi un responsable établi hors du Togo dès qu'il utilise des moyens de traitement situés sur le territoire. Seuls lui échappent les usages strictement personnels ou domestiques (article 3).

En pratique, sont concernés :

le site vitrine avec un formulaire de contact ;
la boutique en ligne et son fichier clients ;
l'application mobile avec création de compte ;
le logiciel RH, la pointeuse, le CRM ;
la liste de diffusion WhatsApp ou SMS ;
les caméras de surveillance d'un commerce ou d'un bureau.

Déclaration, autorisation ou avis : quelle formalité ?

La loi prévoit trois formalités préalables. Elles s'accomplissent avant la mise en œuvre du traitement, pas après.

La déclaration, le cas général

Par défaut, tout traitement fait l'objet d'une déclaration auprès de l'IPDCP (article 6). L'Instance délivre un récépissé dans un délai maximal d'un mois, prorogeable une fois. Point important : seule la réception du récépissé donne le droit de lancer le traitement, et il ne vous exonère d'aucune de vos responsabilités.

L'IPDCP peut publier des normes simplifiées qui allègent ou suppriment la déclaration pour les traitements courants (article 7). Désigner un correspondant à la protection des données dispense aussi de déclaration, sauf si vous transférez des données vers l'étranger (article 5).

L'autorisation, pour les traitements sensibles

Une autorisation de l'IPDCP est nécessaire avant de traiter (article 8) :

des données biométriques, par exemple une pointeuse à empreintes digitales ou une reconnaissance faciale ;
des données génétiques ou de recherche en santé ;
des données relatives à des infractions, des condamnations ou des mesures de sûreté ;
un numéro national d'identification ou tout autre identifiant de portée générale ;
des données traitées pour un motif d'intérêt public, notamment à des fins historiques, statistiques ou scientifiques ;
une interconnexion de fichiers.

Si l'IPDCP ne s'est pas prononcée dans le délai fixé par voie réglementaire, l'autorisation est réputée favorable (article 11).

L'avis, pour l'État

Les traitements opérés pour le compte de l'État, d'un établissement public, d'une collectivité locale ou d'un organisme gérant un service public, lorsqu'ils portent sur la sécurité publique, les infractions, le recensement, les données sensibles ou les salaires, pensions et impôts, sont décidés par acte réglementaire après avis motivé de l'IPDCP (article 9).

Ce que doit contenir votre dossier

L'article 10 liste les informations à fournir : identité du responsable, finalités, données collectées et personnes concernées, durée de conservation, destinataires, service auprès duquel exercer le droit d'accès, mesures de sécurité, recours à un sous-traitant, transferts vers l'étranger. Dans un communiqué du 15 avril 2026, l'IPDCP prévient qu'un dossier incomplet allonge les délais d'instruction et retarde la délivrance du récépissé.

Pour les caméras de surveillance, la déclaration se fait en ligne depuis mars 2026, sur le portail Service Public, et donne droit à un récépissé et à un pictogramme à afficher sur place. Pour les autres traitements, le service en ligne de l'IPDCP est annoncé mais pas encore ouvert : contactez l'Instance directement.

Le consentement, et ses exceptions

Un traitement est légitime si la personne y consent (article 14). La loi définit le consentement comme une manifestation de volonté expresse, non équivoque, libre, spécifique et informée (article 4). Dans une lettre du 16 octobre 2025, l'IPDCP a rappelé que toute collecte, y compris une simple fiche de présence ou un formulaire d'inscription, doit respecter ce principe.

Le consentement n'est pas requis quand le traitement est nécessaire (article 14) :

à l'exécution d'un contrat avec la personne, par exemple pour livrer sa commande ;
au respect d'une obligation légale ;
à une mission d'intérêt public ;
à la sauvegarde de ses intérêts ou de ses droits et libertés fondamentaux.

Dans une application, cela se traduit par des choix simples :

une case à cocher, jamais pré-cochée, pour chaque usage qui n'est pas indispensable au service (newsletter, partage avec un partenaire) ;
un consentement distinct par finalité, plutôt qu'une seule case « J'accepte tout » ;
un horodatage de chaque consentement en base de données, pour pouvoir le prouver ;
un moyen aussi simple de retirer son accord que de le donner.

Ce que vos formulaires doivent afficher

Au moment de la collecte, vous devez indiquer à la personne (article 35) :

l'identité du responsable du traitement ;
la finalité de la collecte ;
les catégories de données concernées ;
les destinataires des données ;
le caractère obligatoire ou facultatif des réponses, et les conséquences d'un défaut de réponse ;
la possibilité de demander à ne plus figurer dans le fichier ;
ses droits d'accès et de rectification ;
la durée de conservation ;
les éventuels transferts vers l'étranger.

Une courte mention sous le formulaire, avec un lien vers une politique de confidentialité complète, fait l'affaire. Un détail que beaucoup de sites ignorent : dans sa lettre d'octobre 2025, l'IPDCP demande d'éviter les références aux normes étrangères. Une politique de confidentialité copiée d'un modèle européen qui cite le RGPD n'est donc pas adaptée : elle doit s'appuyer sur la loi togolaise n° 2019-014.

Cookies et traceurs

L'article 36 s'applique directement aux cookies, aux pixels publicitaires et aux outils de mesure d'audience. Tout utilisateur doit être informé de manière claire et complète de la finalité de toute action qui accède à des informations stockées sur son appareil, ou qui y en inscrit, et des moyens dont il dispose pour s'y opposer.

Les cookies strictement nécessaires au service demandé, comme la session de connexion ou le panier, en sont dispensés. Pour les outils d'analyse et de publicité (Google Analytics, pixel Meta), prévoyez un bandeau qui explique leur usage et permet de les refuser aussi facilement que de les accepter. Le plus sûr reste de ne charger ces scripts qu'après accord.

Prospection par SMS, WhatsApp et e-mail

La loi interdit toute prospection directe, quel que soit le moyen de communication, auprès d'une personne qui n'a pas exprimé son consentement préalable (article 26). Elle couvre la prospection commerciale, mais aussi politique ou caritative (article 4).

Autrement dit, un fichier de numéros acheté ou récupéré ne peut pas servir à envoyer des promotions sur WhatsApp. La personne doit aussi se voir offrir, gratuitement, le droit de s'opposer à cette utilisation (article 45) : prévoyez un lien ou un mot-clé de désinscription dans chaque message. Ignorer une opposition est puni de un à cinq ans de prison et de 5 à 20 millions de FCFA d'amende (article 85).

Données sensibles : santé, biométrie, opinions

Le traitement de données révélant l'origine raciale ou ethnique, la filiation, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, la vie sexuelle, les données génétiques ou l'état de santé est interdit par principe (article 21). Il reste possible dans les cas prévus à l'article 22, notamment avec le consentement écrit de la personne.

Une clinique qui ouvre la prise de rendez-vous en ligne, une école qui conserve des dossiers médicaux, une entreprise qui installe une pointeuse biométrique : ce sont des projets à cadrer avec l'IPDCP avant d'écrire la première ligne de code.

Héberger ses données hors du Togo

La plupart des sites togolais sont hébergés à l'étranger, en Europe ou aux États-Unis, et beaucoup d'entreprises utilisent des messageries ou des CRM installés hors du pays. Juridiquement, ce sont des transferts vers un pays tiers.

Un transfert n'est permis que si le pays de destination assure un niveau de protection suffisant, et l'IPDCP doit en être informée au préalable (article 28). Un transfert ponctuel et non massif reste possible avec le consentement exprès de la personne, ou s'il est nécessaire à l'exécution d'un contrat (article 29). À défaut, l'IPDCP peut l'autoriser si vous apportez des garanties suffisantes (article 30). Les transferts envisagés doivent aussi figurer dans votre déclaration (article 10).

À surveiller : début 2026, les autorités ont annoncé leur intention d'obliger les opérateurs du numérique à stocker les données des Togolais au Togo. Aucun texte ne l'impose encore, mais une architecture qui permet de déplacer facilement les données (base de données isolée, fournisseur interchangeable) vous épargnera une migration coûteuse le jour venu.

La sécurité, traduite en mesures techniques

L'article 52 impose au responsable de prendre toute précaution utile et détaille dix objectifs. Voici comment ils se traduisent dans un projet :

Contrôle des accès : chaque utilisateur interne n'accède qu'aux données de son périmètre, grâce à des rôles et des permissions, avec une authentification forte pour les comptes d'administration.
Traçabilité : un journal indique qui a consulté ou modifié quelles données, et quand.
Transmission : HTTPS partout, et aucune donnée personnelle dans les URL ni dans les journaux d'erreurs.
Stockage : mots de passe hachés (bcrypt ou Argon2), chiffrement des données les plus sensibles, clés et secrets hors du code.
Sauvegardes : des copies régulières, chiffrées, testées et stockées séparément.
Pérennité : des formats et des outils qui permettront encore de lire les données dans dix ans (article 54).

Les personnes qui manipulent les données doivent signer un engagement de confidentialité, et le contrat avec chaque sous-traitant (hébergeur, agence, prestataire SMS) doit préciser ses obligations de sécurité et l'obliger à n'agir que sur vos instructions (articles 20 et 51).

Combien de temps garder les données

Les données ne doivent pas être conservées au-delà de la durée nécessaire aux finalités de leur collecte (articles 16 et 53). Fixez une durée par type de données, par exemple trois ans après le dernier contact pour un prospect, et automatisez la suppression ou l'anonymisation. Conserver des données au-delà de cette durée est puni de un à cinq ans de prison et de 1 à 10 millions de FCFA d'amende (article 89).

Les droits de vos utilisateurs

Votre site ou votre application doit permettre à chacun :

d'accéder à ses données et d'en obtenir une copie, facturée au plus au coût de reproduction (articles 39 et 40) ;
de les faire rectifier ou supprimer : vous avez un mois pour le faire, sans frais pour la personne (article 46) ;
de les faire effacer : sans réponse sous un mois, la personne peut saisir l'IPDCP, qui se prononce en trois semaines (article 47) ;
de s'opposer à leur traitement pour des motifs légitimes, et gratuitement à leur usage pour la prospection (article 45).

Concrètement : une adresse de contact dédiée, un export des données depuis l'espace client, et une suppression de compte qui supprime vraiment les données.

Le correspondant à la protection des données

La loi prévoit un correspondant à la protection des données, l'équivalent du DPO européen (articles 75 à 78). Il informe et conseille, veille au respect de la loi, tient la liste des traitements et sert d'interlocuteur à l'IPDCP. Sa désignation est notifiée à l'Instance, et elle dispense de la déclaration des traitements, sauf en cas de transfert vers l'étranger (article 5).

L'IPDCP structure activement cette fonction : une première promotion de 32 correspondants issus de la banque, de l'assurance, des télécoms, de la santé et des collectivités a été formée en juin 2026, et des communiqués de septembre 2026 fixent le profil attendu et les conditions de certification. Les ministères et les institutions ont été invités à désigner le leur.

Les sanctions

Les sanctions administratives sont prononcées par l'IPDCP (articles 70 à 73) :

un avertissement ou une mise en demeure ;
si la mise en demeure reste sans effet, une amende pouvant atteindre 100 millions de FCFA, ou le retrait de l'autorisation ;
en cas d'urgence, l'interruption du traitement ou le verrouillage des données pendant trois mois au plus, et une astreinte pouvant atteindre 5 millions de FCFA par jour ;
pour un traitement lancé sans les formalités préalables, des mesures conservatoires pouvant aller jusqu'à rendre inaccessible le site ou le module concerné.

Les sanctions pénales sont prononcées par le juge (articles 79 à 93) :

un traitement sans les formalités préalables, ou sans les mesures de sécurité prescrites : de un à cinq ans de prison et de 1 à 10 millions de FCFA d'amende ;
une collecte frauduleuse, ou une prospection malgré une opposition : de un à cinq ans de prison et de 5 à 20 millions de FCFA d'amende ;
un détournement de finalité : de un à cinq ans de prison et de 5 à 25 millions de FCFA d'amende.

À son lancement, l'IPDCP a annoncé une première phase centrée sur la sensibilisation avant les contrôles. Mais les délais de mise en conformité prévus par la loi, un an pour les entreprises et deux ans pour l'État, sont écoulés depuis longtemps (article 95) : tous les traitements devraient déjà être conformes.

Votre plan d'action en 10 étapes

Inventoriez vos traitements : formulaires, comptes, CRM, fichiers Excel, caméras, listes WhatsApp.
Identifiez la base légale de chacun : consentement, contrat ou obligation légale.
Supprimez les données que vous n'utilisez pas, et ne collectez que l'indispensable.
Réécrivez vos mentions d'information et votre politique de confidentialité en vous appuyant sur la loi togolaise.
Installez un bandeau cookies honnête, et ne chargez les traceurs qu'après accord.
Revoyez la sécurité : accès, journalisation, HTTPS, sauvegardes, mots de passe.
Fixez des durées de conservation et automatisez la purge.
Prévoyez le traitement des demandes d'accès, de rectification et de suppression.
Encadrez par contrat vos sous-traitants et vos transferts hors du Togo.
Accomplissez vos formalités auprès de l'IPDCP, ou désignez un correspondant.

Questions fréquentes

Mon site vitrine avec un simple formulaire de contact doit-il être déclaré ?

En principe, oui : la déclaration est le régime par défaut (article 6), sauf norme simplifiée publiée par l'IPDCP (article 7) ou désignation d'un correspondant (article 5). En cas de doute, posez la question directement à l'IPDCP.

Un bandeau cookies est-il obligatoire au Togo ?

La loi impose d'informer clairement l'utilisateur sur les traceurs et sur la manière de s'y opposer (article 36). Pour les outils d'analyse et de publicité, un bandeau est le moyen le plus simple de remplir cette obligation.

Puis-je héberger mon site ou mes données à l'étranger ?

Oui, à condition que le pays de destination offre un niveau de protection suffisant, d'en informer l'IPDCP au préalable et de le mentionner dans votre déclaration (articles 10 et 28 à 30).

Ma politique de confidentialité peut-elle citer le RGPD ?

L'IPDCP demande d'éviter les références aux normes étrangères (lettre du 16 octobre 2025) : appuyez-vous sur la loi n° 2019-014.

En combien de temps l'IPDCP répond-elle à une déclaration ?

Le récépissé est délivré dans un délai maximal d'un mois, prorogeable une fois par décision motivée (article 6). Un dossier incomplet retarde son instruction.

Comment contacter l'IPDCP ?

Par e-mail à contact@ipdcp.tg, par téléphone au +228 22 25 13 34, ou à son siège d'Agoè 2 Lions, à Lomé.

La conformité se décide dans l'architecture

La conformité ne se règle pas avec une page de mentions légales ajoutée la veille du lancement. Elle se décide dans l'architecture : quelles données collecter, où les héberger, qui y accède, combien de temps les garder. C'est bien plus simple à prévoir dès la conception qu'à corriger après coup.

Vous préparez une plateforme, une application ou la refonte d'un site qui traite des données de clients, d'usagers ou de patients ? Parlons-en : je conçois des systèmes qui respectent la loi togolaise dès la première version.

Protection des données au Togo : le guide 2026 pour votre site et votre application

L'essentiel en 7 points

Votre site ou votre application est-il concerné ?