Protection des données personnelles : De nouvelles obligations pour les entreprises et administrations
Un délégué obligatoire dans chaque structure, des registres électroniques à tenir à jour et des contrôles renforcés : les amendements à la loi sur la protection des données personnelles, entrés en vigueur le 24 juillet dernier, bouleversent les pratiques des entreprises et administrations algériennes. L’Autorité nationale de protection des données à caractère personnel met en garde contre les sanctions qui attendent les récalcitrants. Dans un communiqué publié dimanche, l’ANPDP « informe l’ensemble des acteurs concernés par le traitement des données personnelles des individus dans le cadre de la prestation de services par les administrations et établissements publics, les personnes morales privées (entreprises, organisations, associations), ainsi que les personnes physiques exerçant une activité professionnelle ou commerciale impliquant le traitement de données à caractère personnel, des principaux amendements apportés à la loi 18-07 du 10 juin 2018 relative à la protection des personnes physiques en matière de protection des données à caractère personnel, modifiée et complétée par la loi 25-11 du 24 juillet 2025 ». Ces modifications législatives, qui touchent des millions d’Algériens dont les données sont collectées quotidiennement par les banques, les compagnies d’assurance, les hôpitaux, les entreprises de télécommunications ou encore les administrations, introduisent des obligations contraignantes pour tous les acteurs économiques et publics. La principale nouveauté concerne la création d’un poste stratégique dans chaque organisation. Fini le simple « représentant habilité », désormais c’est un véritable « Délégué à la protection des données à caractère personnel (DPO) » qui doit être nommé, « choisi en fonction de ses qualités professionnelles, notamment ses connaissances spécialisées du droit et des pratiques relatives à la protection des données à caractère personnel ». Cette fonction, dont les missions sont définies à l’article 41 bis de la loi, impose aux responsables de traitement de communiquer à l’ANPDP « les informations permettant de contacter le délégué désigné (nom complet, coordonnées, organisme auquel il appartient …etc) ». L’Autorité nationale rappelle « l’obligation de se conformer aux dispositions de l’article susmentionné » et précise que cette désignation n’est plus facultative mais obligatoire pour toutes les structures traitant des données personnelles. Au-delà de cette nomination, les entreprises et administrations devront désormais tenir une comptabilité minutieuse de leurs activités de traitement de données. « Outre l’obligation de tenir un registre comprenant un inventaire actualisé des violations relatives aux données personnelles tel que stipulé dans l’article 43 de la loi, les deux nouveaux articles 41 bis 2 et 41 bis 3 disposent que le responsable du traitement ainsi que le sous-traitant tiennent un registre des activités de traitement sous format électronique ou papier, ainsi qu’un carnet automatisé de traitement des données à caractère personnel ». Cette documentation, véritable mémoire des opérations sur les données personnelles, devra être constamment mise à jour et « ces registres sont mis, sur sa demande, à la disposition de l’ANPDP », souligne l’Autorité. Cette traçabilité renforcée vise à permettre un contrôle efficace des pratiques et à identifier rapidement toute utilisation abusive des informations personnelles des citoyens. Les autorités judiciaires et sécuritaires ne sont pas épargnées par cette vague de réformes. L’amendement prévoit « de nouvelles obligations pour les autorités compétentes procédant au traitement des données à caractère personnel aux fins de prévention et de détection des crimes, d’enquêtes, de poursuites pénales et d’exécution des peines ». Pour faire respecter ces nouvelles règles, l’ANPDP se dote d’un arsenal de contrôle territorial. « L’article 27 bis stipule que l’ANPDP est dotée de pôles régionaux chargés du contrôle et de l’audit auprès des institutions publiques et privées traitant des données à caractère personnel ». Cette décentralisation du contrôle permettra une surveillance plus proche du terrain et des interventions rapides en cas de manquements. Les sanctions planent déjà sur les organisations qui traîneraient à s’adapter. L’ANPDP prévient sans ambiguïté que « le non-respect de cette obligation constitue une violation de la loi et expose le responsable du traitement à des mesures de contrôle et des mises en demeure prises conformément aux prérogatives conférées à l’ANPDP ».
Hocine Fadheli
