Accompagnement protection des données personnelles pour entreprises

La cartographie avant les formulaires, la base juridique avant les cases à cocher, le registre des violations avant l'incident : la conformité se construit dans cet ordre — et elle se documente.

Mots-clés de cette page

loi 18-07 mise en conformité déclaration ANPDP cartographie des traitements données sensibles transferts à l'étranger registre des violations notices d'information
De quoi il s'agit. Une mission de mise en conformité à la loi n° 18-07 conduite dans l'ordre où la loi la pense — cartographier, qualifier, déclarer, documenter — parce que c'est là que les erreurs coûtent : un dossier déposé sans cartographie préalable, une base clients traitée comme un simple outil commercial, un hébergement étranger découvert après coup. Nous ne délivrons aucun récépissé ni aucune autorisation : c'est le monopole de l'autorité nationale. Nous faisons que ce que vous déposez correspond à ce que vous faites réellement — et que ce qui suit le dépôt tienne devant un contrôle.

Pourquoi la conformité improvisée coûte plus cher que la conformité menée

La loi 18-07 ne punit pas seulement le traitement clandestin ; elle punit surtout le traitement approximatif. Les situations que nous rencontrons derrière les demandes d'aide reviennent presque toujours aux mêmes quatre décisions prises trop vite :

  • Un dépôt sans cartographie. On déclare « fichier clients » et on oublie le fichier prospects acheté, la caméra du magasin, l'outil RH en ligne — chaque traitement non déclaré est une infraction autonome.
  • Un consentement décoratif. La case cochée par défaut ne vaut pas consentement exprès ; et dès qu'une donnée sensible entre en jeu — santé, convictions, opinions — le régime bascule vers l'autorisation.
  • Un hébergement découvert tard. Le serveur est à l'étranger depuis trois ans quand la question arrive : le transfert requérait une autorisation (art. 44), et l'infraction se chiffre jusqu'à cinq ans et un million de dinars.
  • Zéro trace écrite. Ni notice d'information, ni contrat de sous-traitance avec clauses données, ni registre des violations : rien qui prouve la bonne foi au jour du contrôle ou de la plainte.

L'autorité, elle, a organisé son arsenal : portail de déclaration actif, portail de plaintes séparé, contrôles prévus par la loi, sanctions graduées jusqu'au retrait définitif. La conformité n'y est plus un horizon — c'est un état vérifiable.

Ce que couvre la mission

1
Cartographie des traitements. Fichier par fichier — clients, prospects, salariés, fournisseurs, caméras, formulaires web, outils hébergés : finalités, catégories de personnes et de données, destinataires, durées de conservation, sous-traitants, localisation réelle des données. C'est cette carte qui commande tout le reste.
2
Qualification juridique. Pour chaque traitement : déclaration ordinaire, déclaration unique pour finalités liées, ou demande d'autorisation (données sensibles, interconnexion, transfert vers l'étranger). Le test se fait article par article, pas à l'intuition.
3
Mise à niveau des fondations. Bases légales corrigées (consentement exprès, intérêt légitime, obligation contractuelle), notices d'information rédigées selon l'article 32, durées de conservation fixées et procédure de purge des bases anciennes.
4
Dossiers déposés. Constitution complète sur le portail de l'autorité : formulaire électronique, pièces justificatives, signature du premier responsable, prise de rendez-vous et dépôt, suivi de l'instruction jusqu'au récépissé — corrections re-déposées si l'instruction les exige.
5
Contrats et habilitations. Clauses de protection des données insérées dans vos contrats d'hébergement, de paie, de maintenance et de marketing (art. 39), charte de confidentialité signée par les habilités, désignation du service d'exercice des droits exigée par l'article 14.
6
Vie de la conformité. Registre des violations tenu et alimenté, procédure interne de réponse aux demandes d'accès et de rectification dans le délai de dix jours, calendrier annuel de revue — parce qu'un dispositif sans gardien retombe en infraction en silence.

Ce que la mission n'est pas. Nous ne délivrons ni récépissé ni autorisation. La compétence appartient exclusivement à l'autorité nationale. Nous n'installons pas non plus de solutions techniques de sécurité. Notre livrable est le cadre juridique et documentaire qui rend votre dispositif opposable. Aucune mission ne comporte d'engagement de résultat sur une décision de l'autorité.

Quel calendrier prévoir ?

PhaseDurée indicativeRésultat intermédiaire
Cartographie et qualification1 à 2 semaines selon le nombre de fichiersTableau maître : un traitement = une ligne = un régime
Mise à niveau documentaire2 à 3 semaines, en parallèle des dépôtsNotices, clauses, chartes signées, procédures droits
Dépôts sur le portailQuelques jours par dossier + instruction de l'autoritéRécépissés de déclaration ; autorisations suivies jusqu'à décision
Revue de clôture1 semaineRegistre des violations opérationnel, calendrier annuel posé

Les délais propres de l'autorité s'ajoutent : étude du déclaratif annoncée sous dix jours, autorisation sous deux mois prolongeables à quatre. Ils dépendent de l'autorité, pas de nous. Nos livrables sont calés pour ne rien leur laisser manquer.

Par quoi commencer si tout n'est pas possible d'un coup ?

Toute l'entreprise n'a pas besoin d'être conforme le même jour. L'ordre qui rapporte le plus par dinar investi :

  1. Les données sensibles et les transferts viennent d'abord. C'est là que les peines montent jusqu'à cinq ans et un million, donc on qualifie ces traitements la première semaine.
  2. Les traitements visibles de l'extérieur viennent ensuite. Le site web, la prospection et la boutique, ce sont eux que les concurrents, les clients et les journalistes voient, et donc signalent.
  3. Le cœur interne vient en dernier. Paie, dossiers du personnel et archives font des volumes importants, mais le risque d'incident y est maîtrisé, ils viennent ensuite.

Une conversation d'une heure suffit à poser cette priorisation sur votre cas réel. Elle est gratuite, et elle se conclut souvent par une liste de trois actions à lancer sans nous.

Avant de déposer vos premiers dossiers

Cadrage de la mise en conformité. Première consultation gratuite, réponse sous 24 heures.

Questions fréquentes

Sources et références

Services liés

Passager, ou pilote ?

ProfitPilot — profitpilot.dz