Pourquoi 2026 est l’année où les règles algériennes sur les données se concrétisent
Le cadre algérien de protection des données existe sur le papier depuis la promulgation de la loi 18-07 le 10 juin 2018. Ce qui a changé en 2023, c’est l’application : la loi est entrée en vigueur le 10 août 2023, et l’Autorité nationale de protection des données personnelles (ANPDP) a commencé à fonctionner comme organe administratif indépendant. L’amendement de juillet 2025 — la loi 25-11 — a ajouté les délégués à la protection des données (DPO), les analyses d’impact relatives à la protection des données (DPIA) obligatoires, et des règles plus strictes sur les transferts transfrontaliers.
L’esprit de l’article 18 est simple : les données personnelles des résidents algériens doivent rester sous juridiction algérienne, sauf autorisation contraire de l’ANPDP. En pratique, cela recoupe une règle plus ancienne mais toujours contraignante — la décision N° 48/SP/PC/ARPT/17 de novembre 2017 — qui impose aux opérateurs de cloud public d’héberger et de stocker les données clients sur le territoire national, de garantir des sauvegardes locales, et de mettre en œuvre des contrôles de sécurité logiques et physiques.
Pour les entreprises algériennes, l’effet combiné est clair : par défaut, le traitement des données personnelles doit se faire sur une infrastructure algérienne, tout transfert à l’étranger nécessitant une autorisation explicite du régulateur.
Ce que l’article 18 exige réellement
La pile de conformité centrale pour toute entreprise traitant des données personnelles de résidents algériens ressemble désormais à ceci :
- Hébergement local par défaut — Les données personnelles doivent être stockées sur une infrastructure située en Algérie, sauf autorisation spécifique de transfert.
- Enregistrement auprès de l’ANPDP — Les responsables du traitement doivent déposer des déclarations ou demander des autorisations selon la sensibilité du traitement.
- Désignation d’un DPO — Suite à l’amendement de 2025, les organisations traitant des données personnelles à grande échelle doivent désigner un délégué à la protection des données.
- DPIA pour les traitements à haut risque — Nouvelle obligation sous la loi 25-11 pour le profilage, le biométrique, ou le traitement à grande échelle.
- Représentant local pour les responsables étrangers — Toute entreprise étrangère traitant des données personnelles algériennes doit nommer un représentant basé en Algérie.
- Autorisation de transfert transfrontalier — Les transferts à l’étranger nécessitent l’accord de l’ANPDP, avec des sanctions pour les transferts non autorisés.
Les sanctions financières vont de 20 000 DZD à 1 000 000 DZD, avec des peines de prison de deux mois à cinq ans pour les manquements graves — un levier significatif qui était largement théorique avant que l’ANPDP ne devienne opérationnelle.
Publicité
Qui se conforme, qui ne se conforme pas — une carte pratique
La conformité algérienne en 2026 se répartit en trois catégories claires.
Hébergement entièrement local (clairement conforme) : Les fournisseurs exploitant des centres de données sur le sol algérien satisfont au critère géographique sans réserve. ICOSNET, en activité depuis 1999, exploite des centres de données à Alger (Cheraga) et Oran et se positionne comme un fournisseur cloud local full-stack couvrant l’hébergement, les VPS et les communications unifiées. Djaweb, filiale d’hébergement d’Algérie Télécom, ancre le marché du secteur public et des PME. Sonatrach, les banques et les ministères se sont historiquement appuyés sur une infrastructure souveraine dans cette catégorie.
Présence hybride / régionale (conformité partielle) : Les hyperscalers mondiaux — AWS, Microsoft Azure, Google Cloud — n’ont pas de région de centre de données en Algérie. Leurs nœuds les plus proches se trouvent en Europe (Paris, Milan, Francfort) ou dans le Golfe. Les utiliser pour les données personnelles algériennes nécessite soit une autorisation explicite de l’ANPDP pour le transfert international, soit des contournements architecturaux tels que le maintien des données personnelles sur une infrastructure locale algérienne tout en utilisant les hyperscalers uniquement pour l’analyse non personnelle ou la logique applicative.
Non-conforme par défaut (la catégorie à risque) : Les outils SaaS populaires — plateformes CRM, services de marketing par e-mail, outils de signature électronique, plateformes RH — qui stockent les données personnelles des clients dans des régions américaines ou européennes sans empreinte locale. De nombreuses PME algériennes s’appuient sur ces outils sans avoir jamais déposé de demande de transfert auprès de l’ANPDP, créant une responsabilité de conformité croissante que l’amendement de 2025 aiguise.
Le manuel pratique de conformité
Sur la base de ce que les praticiens locaux et les cabinets d’avocats recommandent en 2026, la séquence d’étapes pour les entreprises algériennes est :
- Cartographie des données d’abord. Inventoriez chaque système qui touche aux données personnelles — employés, clients, partenaires. Vous ne pouvez pas vous conformer à l’article 18 sans savoir où les données se trouvent réellement.
- Classifiez par sensibilité. Les dossiers d’identité des clients, les données financières et les données de santé subissent la plus forte pression de localisation. L’analyse marketing sur des données anonymisées présente un risque moindre.
- Migrez local par défaut. Pour tout système manipulant des données personnelles au niveau de l’identité, le chemin le plus sûr en 2026 est d’héberger sur une infrastructure algérienne. Des fournisseurs comme ICOSNET, Djaweb, et des hébergeurs spécialisés tels que Hostarts et WebServices.dz se positionnent directement sur la conformité à la loi 18-07.
- Déposez les déclarations ANPDP. Les déclarations sont obligatoires pour la plupart des activités de traitement ; les autorisations sont requises pour les catégories sensibles et les transferts transfrontaliers.
- Nommez un DPO. Même pour les entreprises de taille moyenne, nommer un DPO signale au régulateur qu’une gouvernance existe.
- Contractualisez avec les fournisseurs. Tout fournisseur SaaS détenant des données personnelles algériennes doit désormais signer des accords de traitement des données reflétant les obligations de la loi 18-07.
- Budgétez pour les DPIA. Tout nouveau déploiement d’IA, système biométrique, ou moteur de profilage à grande échelle nécessite un DPIA en dossier avant la mise en ligne.
L’opportunité pour l’économie numérique algérienne
La localisation stricte est souvent présentée comme un coût. Dans le cas de l’Algérie, c’est aussi un levier de politique industrielle. Chaque DZD redirigé du SaaS étranger vers un opérateur de centre de données local est un revenu qui se capitalise en emplois locaux, en déploiement de la fibre, et en compétences en DevOps et en ingénierie de la sécurité. L’empreinte multi-villes d’ICOSNET, la dorsale fibre d’Algérie Télécom, et une cohorte croissante de fournisseurs d’hébergement de niveau intermédiaire font de 2026 la première année où « le cloud algérien » est une réponse crédible, et non un simple mot de remplissage.
Pour l’écosystème, la question la plus intéressante est de savoir si les décisions de l’ANPDP pousseront le régulateur à formaliser une liste de « pays reconnus » pour les transferts transfrontaliers (miroir du mécanisme d’adéquation du RGPD). Un cadre d’adéquation prévisible permettrait aux entreprises algériennes d’utiliser des fournisseurs internationaux de confiance pour les charges de travail non sensibles tout en gardant la pile de données critiques pour l’identité souveraine — un équilibre que la plupart des régimes matures de protection des données finissent par adopter.
Les entreprises qui commencent le travail de conformité en 2026 seront bien mieux placées que celles qui attendent la première action d’application très médiatisée.
Questions Fréquemment Posées
Que requiert réellement l’article 18 de la loi 18-07 ?
L’article 18 exige que les données personnelles des résidents algériens soient stockées sur une infrastructure située en Algérie, sauf si l’ANPDP accorde une autorisation spécifique de transfert transfrontalier. Combiné à la décision N° 48/SP/PC/ARPT/17, les opérateurs de cloud public doivent également garantir des sauvegardes locales et mettre en œuvre des contrôles de sécurité logiques et physiques.
Quelles sont les sanctions pour non-conformité en 2026 ?
Les sanctions financières vont de 20 000 DZD à 1 000 000 DZD, avec des peines de prison de deux mois à cinq ans pour les manquements graves. Depuis l’amendement de juillet 2025 par la loi 25-11 et l’entrée en fonction de l’ANPDP, ces sanctions ne sont plus théoriques — le régulateur peut désormais enquêter, sanctionner et saisir les autorités judiciaires.
Les entreprises algériennes peuvent-elles encore utiliser AWS, Azure, ou Google Cloud ?
Oui, mais uniquement pour les charges de travail non personnelles ou sous une autorisation explicite de transfert transfrontalier de l’ANPDP. Le modèle plus sûr en 2026 est une architecture hybride : données personnelles au niveau de l’identité sur infrastructure algérienne (ICOSNET, Djaweb, Hostarts, WebServices.dz) avec des hyperscalers utilisés pour l’analyse anonymisée ou la logique applicative.
Sources et lectures complémentaires
- Guide on Algeria Data Protection Law 18-07 and its Amendments — CookieYes
- Data protection and cybersecurity laws in Algeria — CMS Expert Guide
- Algeria Data Protection Overview — DataGuidance
- Hébergement web et loi 18-07 ANPDP : êtes-vous en conformité ? — Hostarts
- Which Way for Data Localisation in Africa? — CIPESA
- Algiers Data Center in Cheraga — ICOSNET
