Sont soumis à la présente loi :
1) Toute collecte, tout traitement, toute transmission, tout stockage et toute utilisation des données à caractère personnel par une personne physique, par l’Etat, les collectivités locales, les personnes morales de droit public ou de droit privé ;
2) Tout traitement automatisé ou non de données contenues ou appelées à figurer dans un fichier, à l'exception des traitements mentionnés à l'article 3 de la présente loi ;
3) Tout traitement mis en œuvre par un responsable tel que défini à l’article 4.14 de la présente loi sur le territoire sénégalais ou en tout lieu où la loi sénégalaise s’applique ;
4) Tout traitement mis en œuvre par un responsable, établi ou non sur le territoire sénégalais, qui recourt à des moyens de traitement situés sur le territoire sénégalais, à l’exclusion des moyens qui ne sont utilisés qu’à des fins de transit sur ce territoire. Dans les cas visés à l’alinéa précédent, le responsable du traitement doit désigner un représentant établi sur le territoire sénégalais, sans préjudice d’actions qui peuvent être introduites à son encontre ;
5) Tout traitement des données concernant la sécurité publique, la défense, la recherche et la poursuite d’infractions pénales ou la sûreté de l’Etat, même liées à un intérêt économique ou financier important de l’Etat, sous réserve des dérogations que définit la présente loi et des dispositions spécifiques en la matière fixées par d’autres lois.