Emplois en conformité et protection des données en Afrique francophone

Qui contrôle la protection des données personnelles en Afrique francophone ?

Chaque pays a sa loi et son autorité de contrôle. Au Sénégal, c'est la Commission de Protection des Données Personnelles (CDP). En Côte d'Ivoire, c'est l'Autorité de Régulation des Télécommunications/TIC de Côte d'Ivoire (ARTCI). Au Maroc, c'est la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP).

En République démocratique du Congo (RDC), l'autorité prévue par la loi n'existe pas encore, et le régulateur des télécommunications assure l'intérim. Cette page s'adresse aux professionnels de la conformité, des risques, de l'audit et de la protection des données qui visent Dakar, Abidjan, Casablanca ou Kinshasa. Chaque fait renvoie à sa source, consultée le 10 novembre 2026.

Que demande la CDP aux entreprises de Dakar ?

• CDP, présentation : la Commission est une autorité administrative indépendante. Elle a été instituée par la loi n° 2008-12 du 25 janvier 2008 portant sur la protection des données à caractère personnel.
• Loi n° 2008-12, article 18 : en règle générale, un traitement de données personnelles fait l'objet d'une déclaration auprès de la CDP. Celle-ci délivre un récépissé dans un délai d'un mois.
• Loi n° 2008-12, article 20 : six catégories de traitements exigent une autorisation préalable. Parmi elles figurent les données biométriques et les traitements portant sur un numéro national d'identification.
• CDP, formalités : la demande d'autorisation vise aussi les données sensibles, comme la santé, et les transferts de données vers un pays tiers.
• CDP, avis trimestriel n° 02-2025 : d'avril à juin 2025, la Commission a traité 73 déclarations et 23 demandes d'autorisation. Elle a aussi instruit cinq plaintes.
• CDP, avis trimestriel n° 03-2021 : la loi de 2008 ne prévoit pas de délégué à la protection des données. La CDP en a pourtant recommandé un dans un avis adressé au ministère de la Justice.

Que demande l'ARTCI aux entreprises d'Abidjan ?

• ARTCI, missions : l'ARTCI est l'autorité de protection des données à caractère personnel en Côte d'Ivoire. Elle tient ce rôle de la loi n° 2013-450 du 19 juin 2013 relative à la protection des données à caractère personnel, parue au Journal officiel du 8 août 2013.
• Autorité de protection, obligations du responsable du traitement : avant tout traitement, l'entreprise déclare ou demande une autorisation préalable. Les personnes morales désignent un correspondant à la protection des données.
• Autorité de protection, correspondants : le responsable du traitement notifie à l'ARTCI la désignation du correspondant. L'ARTCI a 30 jours pour s'y opposer si le profil ne convient pas.
• Communiqué du 6 janvier 2026 : l'ARTCI constitue un fichier national des correspondants. Ils sont désignés selon l'arrêté n° 0099/MTND/CAB du 16 août 2024, qui définit leur profil et leurs conditions d'emploi.

Notre lecture : à Abidjan, le correspondant à la protection des données est le poste à viser. La loi l'exige des personnes morales, et un arrêté de 2024 en fixe le profil.

Que demande la CNDP aux entreprises de Casablanca ?

• Loi n° 09-08, Bulletin officiel n° 5714 : le dahir n° 1-09-15 du 18 février 2009 a promulgué la loi 09-08. Elle porte sur la protection des personnes physiques à l'égard du traitement des données à caractère personnel. Son article 27 institue la CNDP auprès du Premier ministre.
• CNDP, déclaration : tout traitement fait l'objet d'une déclaration préalable, sauf exclusion, dispense ou régime d'autorisation. La CNDP délivre le récépissé dans un délai de 24 heures.
• CNDP, autorisation préalable : les données sensibles, dont la santé et les données génétiques, exigent une autorisation préalable.
• CNDP, 18 mars 2025 : les traitements d'intelligence artificielle (IA) qui utilisent des données personnelles relèvent de la loi 09-08. Le même jour, la CNDP a lancé des auditions en vue d'une délibération sur le sujet.
• CNDP, communiqué du 11 septembre 2025 : la CNDP a signé une convention avec le ministère de la Transition numérique et de la Réforme de l'administration. Elle porte sur un cadre d'IA responsable.

Et en République démocratique du Congo ?

• Journal officiel de la RDC : l'ordonnance-loi n° 23/010 du 13 mars 2023 porte code du numérique. Ratifiée par la loi n° 23/011 du 22 mai 2023, elle prévoit une Autorité de protection des données dans son livre III.
• Arrêté ministériel du 17 août 2024 : l'Autorité de régulation de la poste et des télécommunications du Congo (ARPTC) exerce les missions de cette autorité. Elle le fait « en attendant la création effective » de celle-ci.

Au 10 novembre 2026, nous n'avons pas trouvé au Journal officiel de texte qui crée l'Autorité de protection des données. Notre lecture : à Kinshasa, ces métiers passent pour l'instant par la conformité des banques et des opérateurs, comme le montrent les offres plus bas.

Quel texte africain relie ces pays ?

La Convention de l'Union africaine sur la cybersécurité et la protection des données à caractère personnel a été adoptée à Malabo le 27 juin 2014 (Union africaine). Elle est entrée en vigueur le 8 juin 2023, après le dépôt du quinzième instrument de ratification (état des ratifications).

• Union africaine, état au 2 février 2026 : le Sénégal a ratifié la convention le 3 août 2016. La Côte d'Ivoire l'a ratifiée le 8 mars 2023, et la RDC le 6 mars 2025.
• Même liste : le Maroc ne l'a ni signée ni ratifiée.

Qui recrute en conformité dans ces quatre villes ?

Ces employeurs montrent, sur leur propre site, une fonction de conformité, de gestion des risques ou de protection des données.

• Sonatel, à Dakar : l'opérateur publie son dispositif d'alerte, rattaché à sa démarche éthique et compliance.
• Banque Centrale des États de l'Afrique de l'Ouest (BCEAO), à Dakar : la banque centrale a son siège à Dakar. Elle recrute notamment dans le domaine « Juridique et conformité ». Les candidats doivent être ressortissants d'un État membre de l'Union Monétaire Ouest Africaine (UMOA).
• Orange Côte d'Ivoire, à Abidjan : l'opérateur, dont le siège est à Cocody (mentions légales), a adopté une charte d'éthique et de déontologie ainsi qu'un code de conduite anti-corruption.
• Bank of Africa, à Casablanca : la direction Compliance Groupe est installée avenue Hassan II. Le groupe a nommé un délégué à la protection des données (DPO) et réunit un comité de protection des données.
• Crédit du Maroc, à Casablanca : la banque présente ses engagements en culture conformité, sécurité financière, prévention de la fraude et protection des données à caractère personnel.
• Vodacom Congo, à Kinshasa : l'opérateur publie, pour les partenaires M-Pesa, sa procédure de lutte contre le blanchiment de capitaux et le financement du terrorisme (LBC/FT).
• Rawbank, à Kinshasa : la banque a un pôle Administration, Conformité et Développement durable, un comité d'éthique et de conformité et un comité des risques.

Quels postes étaient ouverts le 10 novembre 2026 ?

Nous avons vérifié quatre offres sur le site de l'employeur lui-même. Les offres ferment sans préavis.

• Crédit du Maroc, Manager Contrôle Interne : contrat à durée indéterminée (CDI) dans le Grand Casablanca. Il faut au moins 10 ans d'expérience en contrôle interne ou en audit.
• Crédit du Maroc, Responsable Gouvernance : un CDI dans le Grand Casablanca, pour préparer et coordonner les organes de gouvernance de la banque.

À Dakar et à Abidjan, nous n'avons trouvé ce jour-là aucune offre en conformité ouverte sur les sites des employeurs cités.

Quels postes publie notre site ?

Quels mots retrouve-t-on dans les offres ?

Les textes cités plus haut emploient ces termes. Les offres des groupes internationaux sont souvent rédigées en anglais : la colonne de droite donne le terme qu'elles utilisent.

Pour aller plus loin, lisez notre guide Comment débuter une carrière en protection des données et notre lexique officiel anglais-français. Pour choisir une certification, consultez grc-careers.org (en anglais). Nos prises de position sur le métier sont sur grccareers.ai (en anglais).