Avertissement
Cet article présente les implications organisationnelles et techniques de la loi n° 2024/017. Il ne constitue pas un avis juridique. Pour l'interprétation précise de vos obligations, consultez un avocat ou un conseil spécialisé en droit du numérique.
Introduction
Le Cameroun s'est doté, le 23 décembre 2024, de sa première loi entièrement consacrée à la protection des données à caractère personnel : La loi n° 2024/017. Les organisations disposent d'un délai de 18 mois pour s'y conformer, soit jusqu'au 23 juin 2026.
Que vous dirigiez une PME, une direction informatique ou une structure publique, la question n'est plus de savoir si vous devez agir, mais par où commencer. Cet article traduit les obligations de la loi en actions concrètes sur vos systèmes d'information : Où sont stockées vos données, comment elles sont protégées, sauvegardées et archivées.
Ce que change la loi n° 2024/017
Qui est concerné
La loi s'applique à toute organisation publique ou privée, ainsi qu'aux professionnels agissant à titre individuel, qui traitent des données de personnes résidant, établies ou en transit au Cameroun, qu'ils soient eux-mêmes basés au Cameroun ou à l'étranger. Une entreprise étrangère qui vend en ligne à des clients camerounais, par exemple, entre dans le champ d'application de la loi.
Ce que la loi considère comme donnée personnelle
Sans entrer dans le détail juridique, retenez que la loi couvre toute information permettant d'identifier une personne, directement ou indirectement : Nom, numéro de téléphone, adresse, données de paiement, données biométriques, historique de navigation, etc. Certaines catégories (données de santé, données biométriques) sont considérées comme particulièrement sensibles et font l'objet d'exigences renforcées.
L'échéance du 23 juin 2026 et ce qui se passe après
La loi accorde une période transitoire de 18 mois à compter la date de sa promulgation. Passé le 23 juin 2026, l'Autorité de Protection des Données Personnelles, l'organisme indépendant créé par la loi pour en assurer l'application, est habilitée à exercer pleinement ses pouvoirs d'enquête et de sanction.
Les obligations concrètes pour une organisation
Autorisation préalable et consentement
Le traitement de données personnelles nécessite en principe une autorisation préalable de l'autorité compétente. Le consentement des personnes concernées, lorsqu'il est requis, doit être « libre, éclairé, spécifique, non ambigu et exprès ». Une simple case pré-cochée ou une clause noyée dans des conditions générales ne suffit pas. Pour les mineurs de moins de 18 ans, le consentement parental est nécessaire.
Registre des traitements
Toute organisation doit pouvoir documenter, pour chaque traitement de données qu'elle effectue : Sa finalité, les catégories de données concernées, les destinataires, les éventuels transferts à l'international, la durée de conservation et les mesures de sécurité associées.
Notification des violations de données
En cas de fuite, de perte ou d'accès non autorisé à des données personnelles, la loi impose une notification « sans délai » à l'autorité, et aux personnes concernées lorsque leurs droits sont menacés.
Transferts de données à l'étranger
Toute transmission de données personnelles vers un pays étranger nécessite une autorisation préalable de l'autorité, qui vérifie que ce pays offre un niveau de protection équivalent. C'est un point de vigilance direct pour toute organisation qui utilise un service cloud ou un prestataire hébergé hors du Cameroun.
Faut-il un délégué à la protection des données (DPO) ?
La désignation d'un Délégué à la Protection des Données est présentée par plusieurs analyses spécialisées comme obligatoire pour les administrations publiques et pour de grandes entreprises dans des secteurs sensibles telles les banques, télécoms, assurances, hôpitaux. Le DPO devient alors le point de contact unique avec l'autorité et le pilote interne de la mise en conformité.
Pour une PME en dehors de ces secteurs, le caractère obligatoire ou non d'un DPO n'est pas toujours évident à trancher sans lecture précise du texte et de ses décrets d'application. Dans le doute, faire désigner un référent interne même sans le titre formel de DPO reste une bonne pratique.
Les sanctions en cas de non-conformité
Les sanctions prévues se déclinent à trois niveaux : Administratif (mise en demeure, suspension d'activité, amendes), civil (réparation du préjudice) et pénal (amendes et peines d'emprisonnement pour les manquements les plus graves). Les montants exacts varient selon les sources consultées. De quelques millions à plusieurs dizaines de millions de FCFA pour un traitement sans autorisation, jusqu'à plusieurs centaines de millions voire le milliard de FCFA pour les personnes morales dans les cas les plus graves. Retenez l'ordre de grandeur. Le risque financier est réel, pas symbolique.
Par où commencer : 4 étapes techniques concrètes
- Cartographier ses données et son stockage : Savoir ce que l'on a, quelles données personnelles sont collectées, où elles sont stockées, qui y a accès.
- Formaliser ses procédures : Politique de confidentialité, registre des traitements, procédure de notification de violation.
- Sécuriser le stockage, l'archivage et les sauvegardes : Chiffrement des données sensibles, contrôle des accès, sauvegardes régulières et testées, archivage électronique conforme.
- Intégrer la protection des données dès la conception des nouveaux projets : La question doit se poser dès le départ, pas en fin de parcours.
FAQ
Qu'est-ce que la loi n° 2024/017 sur la protection des données au Cameroun ?
C'est la première loi camerounaise entièrement dédiée à la protection des données à caractère personnel, promulguée le 23 décembre 2024.
Quelles organisations sont concernées par cette loi ?
Toute organisation publique ou privée, camerounaise ou étrangère, qui traite des données de personnes résidant, établies ou en transit au Cameroun.
Quelle est la date limite de mise en conformité ?
Le 23 juin 2026, soit 18 mois après la promulgation de la loi.
Quelles sont les sanctions en cas de non-conformité ?
Des sanctions administratives, civiles et pénales, dont les montants précis varient selon les sources et doivent être vérifiés dans le texte officiel.
Faut-il obligatoirement désigner un délégué à la protection des données (DPO) ?
Cela semble clairement requis pour les administrations et certains grands secteurs. Pour les autres organisations, un référent interne reste une bonne pratique.
Par où commencer techniquement pour se mettre en conformité ?
Par une cartographie de vos données et de leur stockage, avant de formaliser vos procédures et de sécuriser stockage, sauvegardes et archivage.
Conclusion
La loi n° 2024/017 ne se résume pas à une contrainte juridique de plus : Elle pousse les organisations camerounaises à faire ce qu'une bonne gouvernance de la donnée aurait dû imposer de toute façon. Savoir où sont ses données, qui y a accès, et comment elles sont protégées. Les 18 mois donnés dès promulgation de cette loi suffisent pour agir méthodiquement, à condition de commencer immédiatement.
Vous voulez faire le point sur votre infrastructure de stockage, de sauvegarde et d'archivage au regard de ces nouvelles obligations ? Parlons-en : DataOptime accompagne les organisations sur ces sujets techniques
⚡ Nous contacter →Pour aller plus loin
- Loi n° 2024/017 du 23 décembre 2024 (texte officiel) - Présidence de la République du Cameroun
