D’une loi dormante à une application active
Pendant des années, la Loi 18-07 est restée lettre morte : adoptée en 2018, elle n’est devenue applicable en pratique qu’après l’installation de l’ANPDP le 11 août 2022. Cela a changé lorsque l’Autorité a annoncé le 28 février 2024 qu’elle allait entamer ses premières inspections sur le terrain auprès d’entreprises privées, « afin d’examiner les différentes procédures de traitement avant d’étendre l’opération aux particuliers et aux entreprises publiques », selon la fiche pays d’Algérie de DataGuidance.
La Loi 25-11 (adoptée par le Parlement en juillet 2025) a ensuite resserré les exigences. Le cadre modifié rapproche l’Algérie des obligations de type RGPD : un DPO obligatoire, un registre écrit des activités de traitement, des analyses d’impact relatives à la protection des données pour les traitements à haut risque, et une fenêtre de notification de violation de 5 jours à l’ANPDP.
Cela change la donne pour les startups et PME algériennes qui, jusqu’à récemment, considéraient la conformité en matière de vie privée comme un exercice de paperasse. Une lettre d’audit de l’ANPDP n’est plus une hypothèse.
Ce qui déclenche une inspection
Publiquement, l’ANPDP n’a pas publié de document formel définissant les critères d’inspection. Mais sur la base des communications de l’Autorité et des analyses 2025 du cabinet CMS, les inspections visent :
- Les organisations traitant des catégories sensibles (données de santé, biométriques, financières)
- Les transferts transfrontaliers vers des juridictions sans adéquation
- Les entreprises ayant fait l’objet de plaintes directement déposées par des personnes concernées
- Les secteurs à impact d’intérêt public : télécoms, e-commerce, fintech, healthtech, HR-tech
L’ANPDP publie également une politique de confidentialité type pour aider les organisations à remplir leurs obligations d’information — un signal faible mais clair que la base (mention d’information visible + base légale documentée) est attendue sur tout site web collectant des données personnelles.
Publicité
Les sept contrôles dont toute entreprise a besoin
Au titre de la Loi 25-11 (qui modifie la Loi 18-07), les organisations qui traitent des données personnelles de résidents algériens doivent pouvoir produire les éléments suivants sur demande :
- DPO désigné — un responsable nommé, joignable via une adresse e-mail publiée, avec une indépendance suffisante vis-à-vis des unités opérationnelles qu’il audite.
- Registre des activités de traitement (RAT) — un registre écrit décrivant chaque opération de traitement, base juridique, durée de conservation et destinataires.
- Mention d’information — à plusieurs niveaux, en langage clair, référençant l’ANPDP comme autorité de contrôle.
- DPIA — pour tout traitement impliquant profilage, données sensibles à grande échelle, biométrie ou surveillance d’espaces publics.
- Procédure de notification de violation en 5 jours — un runbook qui fait passer une violation suspectée de la détection à la notification à l’ANPDP dans le délai légal.
- Contrats sous-traitants — accords écrits avec chaque prestataire accédant aux données personnelles pour le compte du responsable de traitement.
- Mécanisme de transfert — base juridique documentée pour toute donnée quittant le territoire algérien.
L’absence de l’un de ces éléments est précisément le type de lacune qu’un auditeur de l’ANPDP relèvera lors d’une visite sur site.
Playbook startup : transformer la conformité en atout commercial
Pour les startups algériennes — en particulier celles qui servent des banques, assureurs ou clients du secteur public — la préparation à l’ANPDP est devenue un verrou de procurement. Les acheteurs en entreprise demandent de plus en plus un contact DPO, un registre de traitement et des preuves de discipline DPIA avant de signer. Trois mouvements pratiques :
- Nommer un DPO fractionné tôt. Un recrutement dédié est souvent inutile pour une entreprise de moins de 30 personnes. Un DPO fractionné (partagé entre 4 à 6 startups, généralement via un cabinet de conformité basé à Alger) coûte une fraction d’un rôle à temps plein et satisfait l’obligation.
- Construire le RAT comme un tableur, pas un PDF. Chaque nouvelle fonctionnalité ajoute une ligne de traitement ; traiter le registre comme un artefact vivant signifie qu’il est déjà à jour le jour où l’ANPDP arrive.
- Rédiger le runbook de notification de violation avant l’incident. La montre de 5 jours est sans pitié. Les startups qui attendent pour rédiger le modèle de notification sous pression atteignent rarement le délai.
Les clients grands comptes paieront plus — et concluront plus vite — lorsque l’équipe procurement trouvera une posture de confidentialité proprement documentée. C’est un argument commercial, pas seulement juridique.
Comment cela s’articule avec la pile réglementaire globale
La vague 2025-2026 de réglementation numérique algérienne s’empile. Le Décret présidentiel 25-320 (décembre 2025) a établi le cadre national de gouvernance des données. Le Décret présidentiel 26-07 (janvier 2026) impose des unités de cybersécurité dans les institutions publiques. Le Décret 26-97 (janvier 2026) a mis à jour les homologations d’équipements de communications électroniques. Chacun occupe une voie différente, mais la conformité ANPDP est le fil conducteur : chacun de ces régimes suppose que les données personnelles sous-jacentes sont déjà protégées.
Les entreprises qui traitent la protection des données comme une base — et non comme une annexe — navigueront le reste de la pile avec moins de friction. Les autres trouveront chaque nouveau décret plus difficile à respecter que le précédent.
Questions Fréquemment Posées
Qu’est-ce que l’ANPDP et quel est son rôle ?
L’ANPDP (Autorité nationale de protection des données personnelles) est l’autorité de contrôle indépendante de l’Algérie en matière de protection des données, installée le 11 août 2022. Elle émet des lignes directrices, traite les plaintes, mène des inspections sur le terrain et fait appliquer la Loi 18-07 (2018) et son amendement de juillet 2025, la Loi 25-11. Son champ de compétence couvre toute organisation traitant des données personnelles de résidents algériens.
Toute entreprise algérienne a-t-elle besoin d’un DPO ?
La Loi 25-11 rend la nomination d’un DPO obligatoire pour les organisations effectuant un traitement qui nécessite un suivi systématique des personnes concernées ou traitant des catégories sensibles à grande échelle. En pratique, la plupart des entreprises privées de taille moyenne et grande et tous les organismes publics en ont besoin. Les petites startups peuvent satisfaire l’exigence avec un DPO fractionné partagé entre plusieurs entreprises via un cabinet de conformité.
Qu’est-ce qui constitue une violation de données à notifier selon le droit algérien ?
Selon la Loi 25-11, tout incident entraînant la destruction, la perte, l’altération accidentelles ou illicites, la divulgation non autorisée ou l’accès à des données personnelles est qualifié comme tel. Le responsable de traitement doit notifier l’ANPDP dans les 5 jours suivant la prise de connaissance de la violation. Si la violation est susceptible d’entraîner un risque élevé pour les droits des personnes concernées, les personnes affectées doivent également être notifiées.
Sources et lectures complémentaires
- Data Protection and Cybersecurity Laws in Algeria — CMS Expert Guide
- Algeria Data Protection Law 18-07 and its Amendments — CookieYes
- Algeria Jurisdiction Note — DataGuidance
- ANPDP Reminds Companies of Obligations Under Law No. 18-07 — DataGuidance
- [DPA Digital Digest: Algeria [2025 Edition] — Digital Policy Alert](https://digitalpolicyalert.org/digest/dpa-digital-digest-algeria)
- Setting up of the National Authority for the Protection of Personal Data (ANPDP) — Gide
