Loi n° 2024/017 : ce que votre entreprise devait faire avant le 23 juin 2026
La première loi camerounaise consacrée aux données personnelles fixait un délai de mise en conformité au 23 juin 2026. Cette date est passée. Les obligations s'imposent que le régulateur ait ou non commencé à les sanctionner.
La loi n° 2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel est le premier texte de cette nature au Cameroun. Elle fixait un délai de mise en conformité au 23 juin 2026. Cette date est passée, et toute entreprise qui traite des données personnelles au Cameroun entre désormais formellement dans son champ.
Qui est concerné
La loi s'applique au traitement des données à caractère personnel des personnes établies, résidant ou en transit au Cameroun. La notion de traitement est largement définie et couvre la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation, l'extraction, la diffusion, la transmission, le rapprochement, le verrouillage, l'effacement et le transfert. Il n'est pas nécessaire d'être une entreprise technologique pour être concerné. L'employeur qui détient des dossiers de personnel, la clinique qui détient des dossiers de patients, l'école qui détient des dossiers d'élèves et le commerce qui exploite un programme de fidélité traitent tous des données personnelles.
Ce qu'exige la loi
- Une base valable pour le traitement et, lorsque le consentement est invoqué, un consentement satisfaisant aux conditions posées par la loi.
- Une politique de confidentialité publiée, indiquant ce qui est traité et à quelles fins.
- Un encadrement des transferts transfrontaliers. Les données quittant le Cameroun doivent satisfaire aux exigences de la loi, et une autorisation préalable est requise dans certains cas. C'est le point le plus souvent négligé par les entreprises recourant à des services en nuage hébergés à l'étranger, c'est-à-dire par la plupart d'entre elles.
- Des mesures de sécurité proportionnées, renforcées pour les données sensibles, catégorie dont relèvent les données de santé.
- Une autorisation préalable de l'autorité de protection des données pour certaines catégories de traitements.
- Un délégué à la protection des données certifié lorsque le traitement est réalisé à grande échelle.
Le régulateur
La loi institue une autorité de protection des données. Sa constitution et la parution des textes d'application seront vérifiées au moment de tout audit de conformité, la situation ayant évolué. Les obligations, elles, n'attendent pas le régulateur : elles s'imposent depuis la date de mise en conformité, et l'entreprise qui assimile l'absence d'organe de sanction à l'absence d'obligation accumule une exposition au lieu de l'éviter.
Le cadre environnant
La loi n° 2024/017 ne se lit pas isolément. La loi n° 2010/012 régit la cybersécurité et la cybercriminalité, la loi n° 2010/013 les communications électroniques et la loi n° 2010/021 le commerce électronique. Le secret bancaire relève de la loi n° 2003/004. Le règlement CEMAC 01/20/CEMAC/UMAC/COBAC reconnaît un droit à l'effacement aux clients des banques. Le préambule de la Constitution protège la vie privée.
Un ordre de travail pratique
- Cartographier les données personnelles détenues, leur origine et leur lieu de conservation
- Recenser tous les transferts hors du Cameroun, y compris l'hébergement en nuage, les sociétés du groupe et la paie externalisée
- Déterminer la base de chaque traitement
- Publier une politique de confidentialité conforme à la réalité des traitements
- Conclure des contrats de sous-traitance avec les prestataires traitant des données pour le compte de l'entreprise
- Apprécier si l'échelle des traitements impose la désignation d'un délégué
- Documenter les décisions prises, la capacité à démontrer la conformité faisant elle-même partie de la conformité
Prendre contact
Le cabinet reçoit à ses bureaux du 305 rue Alfred Saker, à Douala-Akwa. Toute correspondance reçoit une réponse dans la langue dans laquelle elle est rédigée, en français comme en anglais.