La loi 18-07, de quoi s’agit-il exactement ?

C’est la loi algérienne de protection des données personnelles, publiée au Journal officiel n° 34 du 10 juin 2018.

Elle fixe les règles de toute collecte ou utilisation de données se rapportant à une personne physique identifiée ou identifiable (article 3). Le traitement doit respecter la dignité humaine, la vie privée et les libertés publiques, sans porter atteinte aux droits, à l’honneur ni à la réputation des personnes (article 2).

Modifiée et complétée par la loi n° 25-11 du 24 juillet 2025, elle est mise en œuvre par l’Autorité nationale de protection des données à caractère personnel (ANPDP), autorité administrative indépendante créée auprès du Président de la République par la loi elle-même (article 22).

Votre entreprise est-elle concernée ?

Oui, dès que vous collectez, stockez ou utilisez des données de clients, de prospects ou de salariés : nom, téléphone, e-mail, photo, données de paiement.

La loi ne fixe aucun seuil de taille : une petite entreprise qui tient un fichier clients est tout aussi concernée qu’un grand groupe.

Traitements courants visés : formulaires de contact, fichiers du personnel, vidéosurveillance, bases de données clients, enquêtes.

Faut-il déclarer ses traitements à l’ANPDP ?

Oui. La déclaration préalable est la règle : elle décrit le responsable du traitement, les finalités, les catégories de données, les destinataires, les mesures de sécurité et la durée de conservation (article 14).

Elle se dépose auprès de l’autorité nationale, y compris par voie électronique. Le récépissé est remis immédiatement ou, au plus tard, dans les quarante-huit (48) heures, et le traitement peut démarrer dès sa réception (article 13).

L’ANPDP met à la disposition des opérateurs une plateforme en ligne pour déposer les déclarations et les demandes d’autorisation.

Quels traitements exigent une autorisation préalable ?

Les traitements à risque. Lorsqu’il apparaît, à l’examen de la déclaration, que le traitement présente des dangers manifestes pour la vie privée et les droits et libertés fondamentaux, l’ANPDP le soumet au régime de l’autorisation préalable (article 17).

Sont notamment visés : les données sensibles telles que la santé, les convictions religieuses ou les opinions politiques (article 18), l’interconnexion de fichiers (article 19) et le transfert de données à l’étranger (articles 44 et 45).

La décision de l’ANPDP intervient dans un délai de deux mois, prorogeable par décision motivée de son président (article 20).

Quels droits vos clients et vos salariés peuvent-ils exercer ?

Quatre droits principaux : l’information (article 32), l’accès (article 34), la rectification (article 35) et l’opposition (article 36).

Refuser ces droits sans motif légitime expose à une amende administrative de 500.000 DA (article 47).

Concrètement : affichez une adresse de contact, répondez aux demandes dans les délais et formez votre équipe à ces droits.

Peut-on héberger ses données à l’étranger ?

Le transfert vers l’étranger est strictement encadré : il est interdit dans tous les cas lorsqu’il est susceptible de porter atteinte à la sécurité publique ou aux intérêts vitaux de l’État, et il est soumis dans les autres cas à l’autorisation de l’ANPDP (articles 44 et 45).

Avant de choisir un service cloud ou un hébergeur étranger, vérifiez où vos données sont réellement stockées et si un transfert est nécessaire.

Que risque une entreprise non conforme ?

Des mesures administratives d’abord : avertissement, mise en demeure, retrait provisoire de l’autorisation (article 46).

Ensuite des sanctions : amende administrative de 500.000 DA pour refus des droits des personnes (article 47) ; peines pénales d’un (1) à trois (3) ans d’emprisonnement et de 100.000 à 300.000 DA d’amende pour traitement sans consentement (article 55) ; de deux (2) à cinq (5) ans et de 200.000 à 500.000 DA pour violation de l’article 2 relatif à la dignité et à la vie privée (articles 2 et 54).