Loi 25-11 sur les données personnelles en Algérie : le guide de conformité

La loi 25-11, désormais en vigueur, modifie et renforce la loi 18-07 de 2018 relative à la protection des personnes physiques dans le traitement des données à caractère personnel. Pour les organisations algériennes, ce n'est pas une simple mise à jour : le texte crée des obligations documentaires nouvelles, précise des notions restées floues et dote l'Autorité nationale de protection des données à caractère personnel (ANPDP) de pouvoirs de contrôle et d'audit élargis. Ce guide fait le tri entre ce que la loi impose réellement et ce qu'il faut mettre en place pour s'y conformer.

Pourquoi la loi 25-11, et ce qu'elle corrige

L'Algérie s'est dotée en 2018 d'un premier cadre dédié à la protection des données personnelles. La loi 18-07 en a posé les principes fondateurs, mais elle a été écrite pour un paysage numérique que la digitalisation des entreprises — accélérée par la pandémie — a depuis profondément transformé. En multipliant les points de contact avec les données personnelles, cette transformation a fait apparaître des risques que le texte de 2018 ne couvrait pas assez précisément.

La loi 25-11 vient combler ces angles morts. Plusieurs lacunes sont explicitement adressées : l'absence de cadre strict pour les données biométriques, alors que la reconnaissance faciale et les empreintes digitales se banalisent ; l'absence de définition du profilage, qui laissait le marketing personnalisé et l'intelligence artificielle largement hors du champ réglementaire ; le flou sur les obligations de documentation des traitements ; et l'imprécision sur les autorités habilitées à traiter des données dans un cadre judiciaire. Le message d'ensemble est clair : l'Algérie passe d'un cadre de principes à un cadre de contrôle, appuyé sur une autorité désormais outillée pour inspecter et auditer.

Nouvelles définitions et fonction du délégué à la protection des données

La loi 25-11 enrichit d'abord le vocabulaire juridique, et ces définitions ne sont pas cosmétiques : elles déterminent ce qui tombe sous le coup de la loi. Elle cadre précisément les données biométriques — celles qui, issues d'un traitement technique spécifique, permettent ou confirment l'identification unique d'une personne à partir de ses caractéristiques physiques, physiologiques ou comportementales. Elle définit le profilage comme l'utilisation de données personnelles pour évaluer ou prédire des aspects tels que le rendement au travail, la situation économique, la santé ou les préférences d'une personne. Elle consacre enfin la pseudonymisation, ce traitement qui rend les données inattribuables à une personne sans recourir à des informations supplémentaires conservées à part.

La seconde innovation est organisationnelle. La loi impose aux responsables de traitement et aux autorités compétentes — les autorités publiques chargées de la prévention et de la détection des infractions, des investigations, des enquêtes et des poursuites — de désigner un délégué à la protection des données. Cette obligation ne vise pas automatiquement toute entreprise privée : elle concerne d'abord le secteur public et des contextes de traitement spécifiques, les juridictions en étant dispensées lorsqu'elles exercent leurs fonctions juridictionnelles. Le délégué informe et conseille sur les obligations légales, contrôle le respect de la loi et des procédures internes, oriente l'analyse d'impact des traitements et assure la liaison avec l'autorité nationale. Pour relayer ce contrôle sur l'ensemble du territoire, la loi dote par ailleurs l'ANPDP de pôles régionaux chargés de l'audit et de l'inspection.

Registre des traitements et carnet automatisé : la nouvelle exigence documentaire

C'est sans doute le changement le plus concret pour les directions informatiques. La loi 25-11 crée deux obligations documentaires distinctes. Le registre des activités de traitement décrit, traitement par traitement, qui traite quoi et pourquoi : les coordonnées du responsable et de son délégué, les finalités et le fondement juridique des opérations, les catégories de personnes et de données concernées, les destinataires des données, les délais d'effacement prévus et les mesures de sécurité en place.

Le carnet automatisé des opérations va plus loin. Il doit tracer chaque opération réalisée sur les données — de la collecte à la destruction, en passant par la consultation, la modification, la communication, l'interconnexion ou le chiffrement — en enregistrant le motif, la date, l'heure et l'identité de la personne qui y a accédé. C'est, en pratique, un journal d'audit permanent des données personnelles. Il suppose des capacités de journalisation que peu d'architectures existantes offrent sans refonte, et déplace la charge de la preuve : il ne suffit plus d'affirmer que l'on protège les données, il faut pouvoir le montrer, ligne par ligne.

Violations, transferts internationaux et cadre judiciaire

La loi encadre strictement la gestion des violations. Le responsable du traitement doit informer l'Autorité nationale dans les cinq jours suivant la connaissance d'une violation, en décrivant sa nature, ses conséquences possibles et les mesures prises ou proposées pour en atténuer les effets. Lorsque la violation présente un risque élevé pour les droits des personnes concernées, celles-ci doivent également être informées, « en des termes simples et clairs ». Ce délai court impose une chose que beaucoup d'organisations n'ont pas encore : une procédure de détection et de notification prête à se déclencher.

Les transferts internationaux sont soumis à une évaluation préalable : niveau de protection adéquat du pays destinataire, respect des droits de l'Homme et des libertés fondamentales, existence d'une autorité de contrôle dans ce pays, et mesures de sécurité applicables. Enfin, un titre entier — le Titre V bis — est consacré aux traitements à des fins de prévention et de détection des infractions, en désignant clairement les autorités habilitées : l'autorité judiciaire, les services légalement habilités à rechercher les infractions, les auxiliaires de justice et l'administration pénitentiaire.

Se mettre en conformité : une feuille de route par le risque

La mise en conformité ne se décrète pas d'un trait. Elle commence par un audit de l'existant — une cartographie précise des traitements en cours, qui révèle les écarts avec les nouvelles exigences — puis se hiérarchise par le risque : tous les traitements ne pèsent pas le même poids, et l'effort doit d'abord porter sur les données les plus sensibles et les violations les plus lourdes de conséquences. Viennent ensuite la désignation ou la formation d'un délégué qualifié, la tenue des registres, la mise en place du carnet automatisé et la formalisation des procédures de notification.

Techniquement, l'obstacle principal est le carnet : il impose d'intégrer des capacités de journalisation avancées, souvent via un SIEM capable d'automatiser la détection des violations et la traçabilité des accès. Les registres, eux, contiennent des informations sensibles qu'il faut protéger sans les rendre inaccessibles au contrôle — un enjeu classique de protection des données. Au-delà de l'outillage, c'est l'ensemble des équipes, et pas seulement le délégué, qu'il faut sensibiliser ; cet effort alimente directement la posture de gouvernance, risques et conformité de l'organisation.

Prise ainsi, par phases et par le risque, la contrainte devient un investissement. En documentant ses traitements et en démontrant sa maîtrise, une organisation algérienne ne fait pas que se prémunir des sanctions : elle renforce la confiance de ses clients et de ses partenaires, et prend une avance concrète dans une économie numérique où la protection des données est devenue un critère de choix.