Un traitement de données personnelles ne démarre pas sans formalité préalable
En résumé : La règle tient en une phrase. En Algérie, toute opération de traitement de données à caractère personnel — clients, salariés, prospects, caméras — doit faire l'objet soit d'une déclaration préalable auprès de l'autorité nationale de protection des données, soit d'une autorisation quand le traitement présente des risques (art. 12, loi 18-07). La déclaration donne droit à un récépissé sous quarante-huit heures et permet de démarrer dès sa réception ; l'autorisation se demande pour deux mois, et son silence vaut rejet, pas accord.
Mots-clés de cet article
1. Aucun traitement ne démarre sans formalité préalable
C'est l'article 12 de la loi n° 18-07 du 10 juin 2018, et il ne comporte aucune exception de taille : « toute opération de traitement des données à caractère personnel » — quelle que soit la taille de l'organisation qui la porte — « est soumise à une déclaration préalable à l'autorité nationale ou à son autorisation ». Un fichier clients sur tableur entre dans le champ, comme la plateforme e-commerce ou le système de vidéosurveillance.
Trois régimes coexistent donc, et le premier travail consiste à situer votre traitement dans le bon :
| Déclaration préalable | Autorisation préalable | |
|---|---|---|
| Point de départ | Règle de droit commun : c'est le régime par défaut (art. 12) | Le traitement présente des dangers manifestes pour la vie privée et les libertés, à l'examen de la déclaration (art. 17) |
| Cas imposés par la loi | — | Données sensibles (art. 18) ; interconnexion de fichiers (art. 19) ; recherche et études de santé (art. 21) |
| Délai de réponse de l'autorité | Récépissé immédiat ou sous 48 heures (art. 13) | Deux mois, prolongeables une fois pour la même durée (art. 20) |
| Que peut-on faire en attendant ? | Mettre le traitement en œuvre dès réception du récépissé (art. 13) | Attendre : le silence de l'autorité vaut rejet, pas accord (art. 20) |
Le champ d'application mérite une vérification avant toute autre chose : la loi couvre les traitements automatisés, même partiellement, et les fichiers manuels ; elle atteint aussi le responsable établi hors d'Algérie qui recourt à des moyens situés sur le territoire national (art. 4).
2. La déclaration : déposer, recevoir le récépissé, démarrer
La déclaration est un acte simple par sa forme, exigeant par son contenu. Déposée auprès de l'autorité nationale — la voie électronique est expressément prévue par l'article 13 —, elle vaut engagement que le traitement sera conduit conformément à la loi, et un récépissé de dépôt est remis immédiatement ou au plus tard dans les quarante-huit heures. À compter de cette réception, le responsable peut mettre son traitement en œuvre, sous sa responsabilité.
L'article 14 fixe neuf éléments obligatoires, qui dessinent exactement ce que vous devez savoir de votre propre traitement avant de le déclarer :
Deux suites logistiques complètent le dispositif. Les traitements d'un même responsable ayant des finalités identiques ou liées peuvent faire l'objet d'une déclaration unique (art. 13) — inutile d'empiler les dossiers. Et toute modification des informations déclarées, comme toute suppression de traitement, doit être portée sans délai à l'autorité (art. 14) : la déclaration n'est pas un papier archivé, c'est un état qui suit la vie du traitement. En cas de cession d'un fichier, le cessionnaire refait les formalités à son nom.
3. Quand la déclaration bascule en autorisation
L'autorisation préalable intervient dans deux configurations. Soit le traitement entre d'emblée dans une catégorie que la loi y soumet ; soit l'autorité, à l'examen de la déclaration déposée, constate des dangers manifestes pour la vie privée et les libertés et décide de soumettre le traitement à ce régime — décision motivée notifiée dans les dix jours du dépôt (art. 17).
Les trois blocs imposés par la loi :
| Bloc | Contenu | Article |
|---|---|---|
| Données sensibles | Origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, santé y compris données génétiques : leur traitement est interdit par principe, et n'est admis que dans les cas limitativement énumérés — intérêt public indispensable lié aux fonctions légales ou statutaires du responsable, consentement exprès, disposition légale, autorisation de l'autorité, et quelques cas précis (intérêts vitaux, données rendues publiques, défense d'un droit en justice) | Art. 3 et 18 |
| Interconnexion de fichiers | Le rapprochement de fichiers relevant de personnes morales gérant un service public poursuivant des intérêts différents, comme celui de fichiers privés aux finalités principales différentes, passe par une autorisation | Art. 19 |
| Recherche et santé | Les traitements à finalité d'intérêt public de recherche, d'étude ou d'évaluation dans le domaine de la santé sont autorisés par l'autorité, qui peut regrouper plusieurs traitements sous une décision unique | Art. 21 |
S'y ajoute le cas que beaucoup d'entreprises découvrent trop tard : le transfert de données vers un pays étranger. L'article 44 le subordonne à l'autorisation de l'autorité et à un niveau de protection suffisant assuré par l'État destinataire — et l'article 14 impose déjà de signaler, dans la déclaration elle-même, les données dont un transfert est envisagé. Héberger ses fichiers clients chez un hébergeur étranger, faire tourner sa gestion sur une plateforme hébergée hors d'Algérie, transmettre des fichiers à une maison mère : chacun de ces circuits pose cette question.
4. Les rares cas dispensés — et une liste qui reste à paraître
Tout n'est pas déclaré. Trois familles sortent du champ :
- Les exclusions de la loi elle-même (art. 6) : les données traitées par une personne physique dans le cadre exclusivement personnel ou domestique et non destinées à être diffusées ; celles recueillies pour la défense et la sécurité nationales ; celles traitées à des fins de prévention, de poursuites et de répression des infractions, qui suivent leurs propres textes.
- Les registres publics (art. 16) : la tenue d'un registre ouvert à la consultation du public — ou de toute personne justifiant d'un intérêt légitime — est dispensée de déclaration, à condition de désigner un responsable du traitement dont l'identité est rendue publique et notifiée à l'autorité, et de communiquer sur demande finalité, identité du responsable, données traitées et destinataires.
- Les traitements simples (art. 15) : l'autorité fixe la liste des catégories de traitements sans risque pour les droits et libertés, qui bénéficient d'une déclaration simplifiée réduite à six des neuf éléments de l'article 14 — et peut étendre ce régime aux traitements non automatisés.
Sur cette troisième famille, un point d'état doit rester daté : à notre date de vérification (22 août 2026), nous n'avons pas trouvé cette liste publiée sur les supports officiels de l'autorité. La loi confie la liste à l'autorité ; rien de consultable ne dit aujourd'hui quelles catégories elle couvre. Tant qu'elle n'est pas accessible, le réflexe sûr est de traiter tout fichier professionnel comme relevant de la déclaration ordinaire — et d'user de la consultation, qui fait partie des missions mêmes de l'autorité (art. 25).
5. Ce que coûte l'absence de déclaration
La loi punit sévèrement le traitement clandestin. Le cœur du dispositif est l'article 56 : procéder à un traitement sans respect des conditions de l'article 12 — donc sans déclaration déposée ni autorisation obtenue — expose à deux à cinq ans d'emprisonnement et 200 000 à 500 000 DA d'amende. Les mêmes peines frappent celui qui a fait de fausses déclarations ou qui a continué à traiter malgré le retrait de son récépissé ou de son autorisation.
L'escalade complète, telle que la fixe le chapitre pénal :
| Fait | Sanction | Article |
|---|---|---|
| Traitement sans déclaration ni autorisation, fausses déclarations, poursuite malgré un retrait | 2 à 5 ans + 200 000 à 500 000 DA | Art. 56 |
| Données sensibles traitées hors des cas admis | 2 à 5 ans + 200 000 à 500 000 DA | Art. 57 |
| Données utilisées à d'autres fins que celles déclarées ou autorisées | 6 mois à 1 an + 60 000 à 100 000 DA | Art. 58 |
| Collecte par moyen frauduleux, déloyal ou illicite | 1 à 3 ans + 100 000 à 300 000 DA | Art. 59 |
| Refus sans motif légitime des droits d'information, d'accès, de rectification ou d'opposition | 2 mois à 2 ans + 20 000 à 200 000 DA | Art. 64 |
| Transfert illégal vers un État étranger | 1 à 5 ans + 500 000 à 1 000 000 DA | Art. 67 |
| Récidive | Peines portées au double | Art. 74 |
En parallèle, l'autorité dispose d'un bras administratif gradué (art. 46) : avertissement, mise en demeure, retrait provisoire — au plus un an — ou définitif du récépissé ou de l'autorisation, et amende. Une amende administrative est chiffrée par la loi elle-même : 500 000 DA contre le responsable qui refuse sans motif légitime les droits des personnes ou omet les notifications prévues aux articles 4, 14 et 16 (art. 47), avec bascule vers le pénal en cas de récidive. Ses décisions se contestent devant le Conseil d'État.
Cartographier vos traitements et déposer vos dossiers sans tâtonner
Liste des traitements à régulariser, choix entre déclaration et autorisation, constitution des dossiers sur le portail de l'autorité et suivi jusqu'au récépissé : nous cadrons la mise en conformité avec vous.
Cadrer ma mise en conformité6. Le parcours tel qu'il se déroule aujourd'hui
La loi décrit la formalité ; l'autorité décrit son parcours réel. Son document officiel de procédures de conformité (publié en avril 2025) et ses guides du portail électronique organisent le circuit suivant :
Cet état de service est daté : il décrit le parcours tel que documenté par l'autorité à notre date de vérification, et peut évoluer sans qu'aucun texte ne bouge. Ce qu'il montre bien, en revanche, tient en une phrase : la formalité n'est pas une case à cocher mais un petit projet — cartographie, formulaire, signature, dépôt — dont chaque étape produit un document que l'on garde.
FAQ — Questions fréquentes
Oui. L'article 12 soumet toute opération de traitement, sans seuil de taille ni de volume. La taille change l'effort de mise en forme du dossier, pas l'obligation. Seules les exclusions de l'article 6 — usage strictement personnel, défense et sécurité nationales, traitement judiciaire des infractions — et la dispense des registres publics échappent à la formalité.
La loi donne deux repères. Le récépissé de dépôt doit être remis immédiatement ou au plus tard sous quarante-huit heures (art. 13), et le responsable peut démarrer son traitement dès réception. Côté autorité, son document de procédures annonce l'étude du déclaratif sous dix jours, avec notification dans ce délai s'il faut le basculer vers l'autorisation. La durée réelle dépend surtout de la complétude du dossier.
Non — et c'est le point le plus contre-intuitif du dispositif. Passés les deux mois, prolongeables une fois, sans décision, la demande est réputée rejetée (art. 20). Le silence ne délie pas : il interdit. Traiter malgré tout expose aux peines de l'article 56.
Cela place votre traitement sur la voie de l'autorisation : le transfert de données vers un État étranger requiert l'accord de l'autorité et suppose un niveau de protection suffisant dans le pays destinataire (art. 44), et la violation expose à des peines pouvant aller jusqu'à cinq ans et un million de dinars (art. 67). Le document de procédures de l'autorité cite expressément l'hébergement à l'étranger parmi les cas relevant du régime d'autorisation.
Elle reste un traitement de données à caractère personnel comme les autres : images permettant d'identifier des personnes, finalité de sûreté, durée de conservation définie. Elle relève donc de la formalité préalable de l'article 12, et l'article 29 permet en outre à l'autorité de fixer des règles sectorielles spécifiques pour la vidéosurveillance — un point à suivre, car ces règlements sont attendus.
Sources et références
- Loi n° 18-07 du 10 juin 2018 relative à la protection des personnes physiques dans le traitement des données à caractère personnel — JO n° 34 du 10/06/2018, p. 11-21 (texte intégral lu) — Journal officiel de la République algérienne (JORADP) · Vérifié le 22/08/2026
- Document « إجراءات المطابقة » (procédures de conformité) : parcours de dépôt, cas d'autorisation obligatoire, pièces du dossier et délais constatés côté autorité — Autorité nationale de protection des données à caractère personnel (ANPDP), avril 2025 · Vérifié le 22/08/2026
- Guide officiel de la déclaration de traitement sur le portail électronique de l'autorité (guide_declaration_traitement V1.0) — Autorité nationale de protection des données à caractère personnel (ANPDP) · Vérifié le 22/08/2026
- Portails officiels de l'autorité : déclarations et demandes d'autorisation (portail.anpdp.dz), plaintes et recours (plaintes.anpdp.dz), présentation de l'autorité et de ses missions — Autorité nationale de protection des données à caractère personnel (ANPDP) · Vérifié le 22/08/2026
Articles liés sur ProfitPilot
