Protection des données personnelles en Algérie : le guide de l'entreprise

Chapitre 01

Données personnelles, traitement, responsable : de quoi parle-t-on ?

La loi n° 18-07 du 10 juin 2018 construit tout son édifice sur quelques définitions, posées à son article 3. Elles méritent d'être lues une à une, parce que chacune décide si vos pratiques entrent dans le champ.

Deux précisions utiles. D'abord, la loi protège les personnes physiques : les données d'une société en tant que telle ne sont pas des données personnelles — mais celles de son dirigeant personne physique le sont. Ensuite, le « traitement » ne commence pas au moment où vous exploitez les données : conserver un vieux fichier est déjà un traitement au sens de la loi.

Chapitre 02

Le champ d'application : qui est concerné, qui ne l'est pas

Le périmètre se lit dans trois articles.

Article 4 — le critère territorial. La loi couvre les traitements automatisés, en tout ou en partie, et les traitements manuels contenus ou appelés à figurer dans des fichiers. Elle vise le responsable établi sur le territoire algérien — toute activité exercée sur le territoire, quelle que soit la forme juridique, suffit — mais aussi le responsable établi à l'étranger qui recourt à des moyens, automatisés ou non, situés en Algérie ; dans ce dernier cas, il doit notifier à l'autorité l'identité de son représentant installé en Algérie.

Articles 5 et 21 — la santé. Les traitements de recherche ou d'études dans le domaine de la santé sont soumis à la loi, avec des exceptions dessinées pour la pratique médicale courante (suivi thérapeutique individuel, études internes au personnel soignant, remboursement) ; ceux qui restent dans le champ sont soumis à autorisation.

Article 6 — les exclusions. Trois familles sortent : les données traitées par une personne physique dans le cadre exclusivement personnel ou domestique sans diffusion ; celles recueillies dans l'intérêt de la défense et de la sécurité nationales ; celles traitées à des fins de prévention, de poursuites et de répression des infractions, régies par leurs propres textes.

Chapitre 03

Avant de collecter : consentement et principes de qualité

Avant même la formalité déclarative, la loi impose des règles de fond. Elles tiennent en quatre blocs.

1. Le consentement exprès, règle de départ (art. 7). Le traitement ne peut être effectué qu'avec le consentement exprès de la personne concernée, qui peut se rétracter à tout moment. Communiquer les données à un tiers exige elle aussi ce consentement préalable — sauf si le traitement est nécessaire, selon la liste de l'article 7 : au respect d'une obligation légale, à la sauvegarde de la vie, à l'exécution d'un contrat auquel la personne est partie, à une mission d'intérêt public, ou à la réalisation d'un intérêt légitime du responsable, sous réserve des droits et libertés fondamentaux de la personne.

2. Les enfants (art. 8). Traiter les données d'un enfant suppose le consentement de son représentant légal — voire l'autorisation du juge, qui peut aussi imposer le traitement dans l'intérêt supérieur de l'enfant.

3. La qualité des données (art. 9). Cinq exigences cumulatives : licité et loyauté ; finalités déterminées, explicites et légitimes, sans réutilisation incompatible ; données adéquates, pertinentes et non excessives ; exactitude et mise à jour ; conservation limitée à la durée nécessaire. C'est cet article qui condamne les bases clients jamais nettoyées : conserver indéfiniment n'est pas neutre, c'est une infraction.

4. Pas de décision automatisée seule (art. 11). Aucune décision produisant des effets juridiques ne peut reposer sur le seul traitement automatisé d'un profil — sauf dans l'exécution d'un contrat, si la personne a pu présenter ses observations. Un scoring qui refuse un client sans intervention humaine possible entre dans cette ligne de mire.

S'y ajoute l'article 10, souvent ignoré : les données relatives aux infractions, peines et mesures de sûreté ne peuvent être traitées que par l'autorité judiciaire, certaines autorités publiques et les auxiliaires de justice. Une entreprise privée n'a pas à tenir un « casier » de ses clients litigieux.

Chapitre 04

La formalité préalable : déclaration ou autorisation

Une fois les principes acquis reste la formalité qui conditionne tout démarrage : l'article 12 soumet toute opération de traitement à une déclaration préalable auprès de l'autorité nationale, ou à son autorisation lorsque le traitement présente des dangers manifestes pour la vie privée et les libertés. Trois points structurent ce régime :

• La déclaration donne droit à un récépissé sous quarante-huit heures et permet de mettre le traitement en œuvre dès sa réception (art. 13). Son contenu est fixé par neuf éléments obligatoires (art. 14), des finalités aux mesures de sécurité, en passant par les destinataires, la durée de conservation et les transferts envisagés.
• L'autorisation s'impose pour les données sensibles (art. 18), l'interconnexion de fichiers (art. 19) et les recherches en santé (art. 21) — ou quand l'autorité bascule votre déclaration vers ce régime après examen (art. 17). Deux mois de délai, prorogeables ; et le silence vaut rejet, pas accord (art. 20).
• Le transfert vers l'étranger relève lui-même de l'autorisation, avec ses propres conditions (art. 44).

Le parcours détaillé — contenu du dossier, dispenses, dépôt réel sur le portail de l'autorité, sanctions du défaut — fait l'objet d'un article dédié : déclarer un traitement de données à l'ANPDP. Ce guide poursuit le fil là où cet article s'arrête : ce qui doit être vrai dans le traitement déclaré.

Chapitre 05

Les droits des personnes : information, accès, rectification, opposition

La loi consacre son titre IV aux droits des personnes concernées. Ils forment un paquet cohérent que votre organisation doit être capable de servir — pas en théorie, mais avec un service désigné, des procédures et des délais.

Refuser ces droits sans motif légitime n'est pas une impolitesse : c'est une amende administrative de 500 000 DA (art. 47) et une infraction pénale punie de deux mois à deux ans d'emprisonnement (art. 64). Le document officiel de procédures de l'autorité recommande de désigner explicitement le service chargé de recevoir ces demandes — une boîte fonctionnelle dédiée suffit — et de l'indiquer dans la déclaration elle-même, où l'article 14 l'exige.

Chapitre 06

Les obligations continues du responsable

Le titre V met à la charge du responsable des obligations continues. Quatre structurent la gouvernance interne.

Une obligation sectorielle complète le tableau : les prestataires de certification électronique ne peuvent traiter les données recueillies pour la délivrance des certificats que pour ces seules fins (art. 42) — le pont naturel avec notre guide sur la signature électronique en entreprise.

Chapitre 07

Envoyer des données vers un pays étranger

C'est probablement la disposition la plus lourde de conséquences pour une économie numérique : l'article 44 interdit de transférer des données à caractère personnel vers un État étranger sans l'autorisation de l'autorité nationale, et seulement si cet État assure un niveau de protection suffisant de la vie privée et des libertés. Le caractère suffisant s'apprécie par l'autorité : textes du pays, mesures de sécurité, caractéristiques du traitement, nature, origine et destination des données. Et dans tous les cas, le transfert susceptible de porter atteinte à la sécurité publique ou aux intérêts vitaux de l'État est interdit.

L'article 45 ouvre des portes dérogatoires précises :

• le consentement exprès de la personne au transfert ;
• la nécessité : sauvegarde de la vie, intérêt public, exercice ou défense d'un droit en justice, exécution d'un contrat avec la personne concernée, conclusion d'un contrat dans son intérêt, entraide judiciaire internationale, prévention ou soin médical ;
• un accord bilatéral ou multilatéral auquel l'Algérie est partie ;
• l'autorisation de l'autorité lorsque le traitement respecte l'article 2.

Traduit en situations d'entreprise : un site e-commerce hébergé hors d'Algérie, une gestion de ressources humaines tournée sur un outil étranger, l'envoi de fichiers consolidés à une maison mère, un service de stockage qui réplique les données à l'étranger — chacun de ces circuits franchit l'article 44 et appelle soit une dérogation de l'article 45, soit l'autorisation. L'infraction coûte cher : un à cinq ans d'emprisonnement et 500 000 à 1 000 000 DA d'amende (art. 67).

Chapitre 08

L'autorité qui contrôle, les sanctions qui frappent

L'autorité. La loi crée auprès du Président de la République une autorité administrative indépendante, dotée de la personnalité morale et de l'autonomie financière (art. 22), composée de seize membres nommés par décret présidentiel pour cinq ans renouvelables (art. 23). Ses missions couvrent tout le cycle de vie du dispositif (art. 25) : délivrer les autorisations et recevoir les déclarations ; informer et conseiller ; recevoir plaintes et recours ; autoriser les transferts transfrontaliers ; ordonner modifications, fermetures, retraits ou destructions de données ; prononcer les sanctions administratives ; élaborer normes et règles de bonne conduite. Elle tient le registre national des traitements (art. 28), mène des investigations sur place hors des locaux d'habitation, auxquelles le secret professionnel ne peut être opposé (art. 49), et saisit immédiatement le procureur général en cas de faits pénaux. L'institution n'est plus théorique : règlement intérieur approuvé dès juillet 2023, portail de déclaration actif, portail de plaintes séparé, rapports annuels publiés — l'appareil fonctionne.

Les sanctions administratives (art. 46-48). Une échelle graduée : avertissement, mise en demeure, retrait provisoire — au plus un an — ou définitif du récépissé ou de l'autorisation, et amende. L'amende chiffrée par la loi est de 500 000 DA pour le refus des droits ou le défaut de notification ; le retrait peut être immédiat si le traitement porte atteinte à la sécurité nationale ou aux bonnes mœurs. Les décisions se contestent devant le Conseil d'État.

Les sanctions pénales (art. 54-69). Le chapitre pénal aligne treize incriminations :

Trois multiplicateurs généraux complètent l'ensemble : la tentative est punie comme l'infraction consommée (art. 73), la récidive double les peines (art. 74), et les personnes morales répondent selon le code pénal avec peines complémentaires possibles jusqu'à l'effacement ordonné des données (art. 70-72).

Et la mise en conformité ? L'article 75 avait fixé le cadre : les traitements existants devaient se conformer à la loi dans un délai maximal d'un an à compter de l'installation de l'autorité, sous peine des sanctions de l'article 56. Avec une autorité opérationnelle depuis 2023 et des services en ligne actifs, ce compte à rebours est derrière nous. La question utile n'est donc plus « quand faut-il s'y mettre ? » mais « quel chantier lancer cette semaine ? » — cartographie des traitements, formalités déposées, notices d'information, contrats de sous-traitance, registre des violations. C'est précisément l'ordre du jour d'une mission de mise en conformité.