Loi 18-07 : la protection des données personnelles en Algérie

La loi 18-07 du 10 juin 2018 est le premier texte algérien entièrement consacré à la protection des personnes physiques dans le traitement de leurs données à caractère personnel. Elle s'applique à tout organisme, public ou privé, établi en Algérie ou ciblant directement des résidents algériens. Pour ces organismes, elle ne relève pas de la formalité administrative : c'est une obligation de fond, adossée à des sanctions pénales. En comprendre l'architecture, c'est comprendre ce que le régulateur attend réellement d'une organisation qui collecte, stocke ou exploite des données personnelles.

Ce que protège la loi 18-07, et qui elle oblige

Une donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable — directement, par son nom et son prénom, ou indirectement, en croisant plusieurs éléments. Elle peut prendre la forme d'un texte, d'une image, d'un son ou d'un code, sur n'importe quel support : nom, photo, adresse e-mail, numéro de téléphone, CV, fiche de paie sont autant de données couvertes. La loi accorde une protection renforcée aux données sensibles, comme celles qui touchent à la santé, à l'origine sociale ou ethnique.

Le champ d'application est large. Il couvre les traitements automatisés comme non automatisés, y compris les fichiers manuels. Il vise le responsable de traitement établi en Algérie, ou dans un État dont la législation est reconnue équivalente. Et lorsqu'un responsable non établi en Algérie recourt à des moyens situés sur le territoire national, il doit notifier à l'autorité nationale l'identité de son représentant installé dans le pays. Quelques traitements échappent au texte : les activités purement personnelles ou domestiques non communiquées à des tiers, ceux relevant de la défense et de la sécurité nationales, les bases de données judiciaires, ainsi que certains traitements de santé — suivi thérapeutique individuel, contrôle assurantiel, études menées par le personnel médical.

Les acteurs du traitement et les principes qui les encadrent

La loi organise la protection autour de trois rôles. Le responsable de traitement décide des finalités et des moyens : il collecte, conserve, met à jour et supprime les données, déclare ses traitements, recueille le consentement, informe les personnes de leurs droits et gère leurs demandes. Le délégué à la protection des données (DPO), indépendant et doté de compétences spécifiques, conseille l'organisme, contrôle la conformité et sert de point de contact avec les autorités. Le sous-traitant, enfin, agit pour le compte du responsable et sur ses instructions ; il est tenu à des obligations propres de confidentialité, de sécurité, de transparence et de responsabilité.

Ces acteurs partagent un socle de principes. Le traitement doit être légitime, loyal et transparent. Il obéit à une limitation des finalités et à un principe de proportionnalité : seules les données strictement nécessaires aux objectifs poursuivis sont traitées. La minimisation impose des données adéquates, pertinentes et non excessives (Art. 9), exactes et conservées pour une durée raisonnable. Le consentement exprès de la personne concernée est en principe requis (Art. 7), sauf exceptions — obligation légale, sauvegarde de la vie, exécution d'un contrat, intérêt public ou intérêt légitime. À ces exigences s'ajoute une obligation de sécurité et de confidentialité, qui se traduit par des mesures techniques et organisationnelles comme le chiffrement, l'authentification forte et la gestion des accès. C'est là que la protection des données rejoint la gouvernance, gestion des risques et conformité de l'organisation.

Les droits des personnes concernées

Face à ces obligations, la loi ouvre aux individus quatre droits qui structurent la relation avec le responsable de traitement. Le droit à l'information impose que la personne soit informée, avant la collecte, de l'identité du responsable, des finalités et de toute autre information utile — sauf pour les traitements à des fins statistiques, historiques ou scientifiques. Le droit d'accès permet d'obtenir la confirmation qu'un traitement existe, d'en connaître les finalités, les catégories de données et les destinataires, et de recevoir ses données sous une forme intelligible ainsi que des informations sur leur origine ; le responsable peut fixer des délais raisonnables et s'opposer aux demandes abusives.

Le droit de rectification ouvre la mise à jour, la rectification, l'effacement ou le verrouillage gratuits des données lorsque le traitement n'est pas conforme. Le responsable doit y procéder dans les dix jours ; à défaut, la personne peut saisir l'autorité nationale, et les rectifications doivent être notifiées aux tiers auxquels les données ont été communiquées. Le droit d'opposition, enfin, permet de refuser un traitement pour des motifs légitimes, et de s'opposer sans condition à l'usage de ses données à des fins de prospection commerciale.

Se mettre en conformité : déclaration, autorisation et l'ANPDP

La loi a créé l'Autorité nationale de protection des données à caractère personnel (ANPDP), autorité indépendante chargée de faire respecter le texte et de garantir les droits des individus. Avant tout traitement, le responsable dépose une déclaration préalable qui décrit son identité et celle de son représentant, la nature et les finalités du traitement, les catégories de personnes et de données concernées, les destinataires, la durée de conservation, le service où s'exercent les droits, les mesures de sécurité et les éventuelles interconnexions ou cessions à des tiers. Un accompagnement structuré, tel qu'un audit de conformité à la loi 18-07, aide à constituer ces dossiers sans faille.

Le système distingue trois types de demandes. La déclaration vaut pour les traitements standards, avec un délai d'instruction de l'ordre de dix jours. L'autorisation s'impose pour les données sensibles, les interconnexions et les transferts ; son examen prend deux mois, prolongeables jusqu'à quatre. La consultation, enfin, permet de demander un avis sur un projet. Les démarches se font sur le portail de l'ANPDP, complétées d'un dépôt physique du dossier et de la remise d'un récépissé. Les transferts de données vers l'étranger requièrent une autorisation préalable ; ils sont interdits lorsqu'ils compromettent la sécurité publique ou les intérêts vitaux de l'État, et n'admettent que des exceptions strictes — consentement explicite, sauvegarde de la vie, obligations légales. Pour faire respecter ce régime, l'ANPDP peut mener enquêtes, inspections et audits, et accéder aux données et documents quel qu'en soit le support.

Violations, sanctions et articulation avec les autres cadres

La loi impose au responsable de traitement de documenter les violations de données, d'en tenir un registre et de prendre les mesures correctives pour en limiter les effets. Le manquement se paie : les infractions au régime de protection des données à caractère personnel exposent à des amendes de 20 000 à 1 000 000 de dinars et à des peines d'emprisonnement de deux mois à cinq ans, les personnes morales étant elles aussi passibles de sanctions pénales selon les règles du code pénal. En cas de violation, l'ANPDP peut saisir les autorités judiciaires compétentes.

La loi 18-07 ne vit pas isolée. Elle s'articule avec le Référentiel national de sécurité des systèmes d'information (RNSI-2020), socle de mesures que les organismes publics doivent mettre en œuvre, et avec la norme ISO 27001, qui structure un système de management de la sécurité de l'information. Les deux se renforcent : la première fixe l'obligation légale, la seconde outille sa mise en œuvre. Depuis, le cadre s'est élargi avec la loi 25-11, qui introduit la notion de souveraineté des données. Pour une organisation algérienne, l'enjeu reste le même : traiter la conformité comme une démarche continue — gouvernance, sécurité, formation — et non comme un dossier classé une fois pour toutes.