Depuis le 23 juin 2026, la loi n° 2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel s’applique pleinement au Cameroun. Le délai de dix-huit mois laissé par son article 73 aux entreprises et aux administrations pour se mettre en conformité est écoulé. Pourtant, sur le terrain, beaucoup d’organisations n’ont pas encore engagé le chantier, ou l’ont réduit à la rédaction d’une politique de confidentialité.
Or cette loi touche le cœur des systèmes d’information : fichiers clients, données du personnel, données de connexion, bases de prospection, sauvegardes, outils hébergés à l’étranger. Pour un opérateur télécom, une banque, un établissement de monnaie électronique ou un assureur, elle concerne chaque jour des millions d’enregistrements. Voici ce qu’il faut retenir, et par où commencer.
Ce que la loi change concrètement
- Un champ très large. Toute entreprise qui collecte et traite, directement ou par un sous-traitant, des données de clients, d’utilisateurs ou de salariés situés au Cameroun est responsable de traitement.
- Une autorité dédiée. La loi crée l’Autorité de protection des données à caractère personnel, organisme public indépendant chargé de veiller à son application et de publier la liste des pays offrant un niveau de protection jugé équivalent.
- Des traitements soumis à autorisation. La loi interdit de traiter des données personnelles sans autorisation préalable des administrations et structures compétentes (article 49), et sans le consentement préalable de la personne concernée (article 50).
- Le consentement et la finalité au centre. Les données doivent être collectées pour une finalité déterminée, limitées à ce qui est nécessaire, et ne pas être réutilisées pour un objectif incompatible.
- Des droits opposables. Les personnes peuvent s’opposer à un traitement, notamment à la prospection, et demander la rectification, la mise à jour ou l’effacement de leurs données.
- Des transferts soumis à autorisation. Tout transfert de données vers un État étranger ou une organisation internationale est subordonné à une autorisation préalable de l’Autorité (article 32).
- Des violations à signaler sans délai. En cas de violation de données, le responsable du traitement doit informer sans délai l’Autorité et les personnes concernées (article 22).
Ce que risquent les entreprises
La loi combine sanctions administratives et pénales. Côté administratif, l’Autorité peut mettre en demeure un responsable de traitement de se conformer sous dix jours, puis prononcer une astreinte pouvant atteindre 100 000 FCFA par jour, voire suspendre ou retirer une autorisation (article 54). Traiter des données sans autorisation préalable expose à une pénalité de 5 à 50 millions de FCFA (article 55), et transférer des données vers un pays tiers sans autorisation, à une amende de 10 à 50 millions (article 60).
Côté pénal, la collecte de données par un moyen frauduleux, déloyal ou illicite est punie de deux à cinq ans d’emprisonnement et de 200 000 à 5 000 000 FCFA d’amende (article 63). Le transfert de données vers un État étranger en méconnaissance de la loi expose à trois à dix ans d’emprisonnement et à une amende de 2 à 20 millions de FCFA (article 69). Les personnes morales encourent des amendes de 50 millions à un milliard de FCFA, sans préjudice de la responsabilité pénale de leurs dirigeants (article 71).
Au-delà de l’amende, le risque est réputationnel et commercial : une fuite de données clients mal gérée, ou un partenaire international qui exige la preuve de votre conformité avant de signer, peuvent coûter bien plus cher.
Le point qu’on oublie : vos outils hébergés à l’étranger
Messagerie en ligne, suite bureautique dans le cloud, CRM, outil de paie, plateforme d’e-mailing, sauvegardes externalisées : la plupart de ces services stockent les données hors du Cameroun. Chacun constitue potentiellement un transfert de données vers un État étranger, que la loi soumet à autorisation préalable. C’est souvent là que se trouve le plus gros écart de conformité, parce que personne ne l’a cartographié.
Par où commencer : six chantiers prioritaires
- Cartographier les traitements. Quelles données, pour quelle finalité, dans quelles applications, hébergées où, accessibles par qui ? Ce registre est la base de tout le reste.
- Vérifier le consentement et les autorisations. Formulaires, contrats, conditions générales, prospection : chaque collecte doit reposer sur un consentement préalable, libre, éclairé et traçable, et les traitements doivent faire l’objet des autorisations requises.
- Recenser les transferts. Lister les prestataires et les pays d’hébergement, puis préparer les demandes d’autorisation auprès de l’Autorité et les garanties contractuelles correspondantes.
- Sécuriser le système d’information. Gestion des accès et des comptes à privilèges, journalisation, chiffrement, sauvegardes, durées de conservation : la protection des données repose d’abord sur un SI maîtrisé.
- Organiser l’exercice des droits et la gestion des incidents. Prévoir qui reçoit les demandes d’opposition, de rectification ou d’effacement, dans quels délais, et comment on prouve qu’elles ont été traitées ; définir aussi la procédure de notification sans délai en cas de violation de données.
- Désigner un pilote et former les équipes. Un référent identifié, soutenu par la direction, et des collaborateurs sensibilisés aux bons réflexes, notamment dans les métiers commerciaux et RH.
Télécoms, banques, monnaie électronique : une conformité à articuler
Dans les secteurs régulés, la nouvelle loi ne s’applique pas dans le vide. Les obligations de lutte contre le blanchiment imposent de collecter et de conserver des données d’identification, tandis que la loi sur les données personnelles exige minimisation et durées limitées. Les données de trafic des opérateurs, indispensables à la facturation, à la Revenue Assurance et à la détection de fraude, sont elles aussi des données personnelles. La bonne démarche consiste à documenter, traitement par traitement, l’obligation qui justifie la collecte et la durée de conservation retenue, plutôt qu’à opposer les textes entre eux.
Une contrainte qui peut devenir un atout
Bien menée, la mise en conformité est aussi l’occasion de remettre à plat la gouvernance des données, de réduire la surface d’exposition aux cyberattaques et de rassurer clients, investisseurs et partenaires étrangers. Les organisations qui s’y engagent maintenant prendront de l’avance sur celles qui attendront le premier contrôle.
Trium Solutions and Consulting accompagne les entreprises dans l’audit de leurs systèmes d’information, la cartographie des traitements et des risques, et la mise en place des contrôles adaptés. Parlons de votre situation.
Texte officiel : Loi n° 2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel au Cameroun (site de la Présidence de la République)
Recevez La Lettre Trium
Nos analyses sur la Revenue Assurance, l’audit SI, les risques et la conformité, une fois par mois.
Cet article présente une analyse générale à visée informative et ne constitue pas un avis juridique. Références : loi n° 2024/017 du 23 décembre 2024, notamment ses articles 22, 32, 54 à 71 et 73. Les modalités d’application peuvent être précisées par des textes particuliers (article 74).