Loi n° 18-07 sur les données personnelles : ce que doit faire une entreprise en Algérie

La loi n° 18-07 du 25 Ramadhan 1439 correspondant au 10 juin 2018, publiée au Journal officiel n° 34 du 10 juin 2018, fixe les règles de protection des personnes physiques dans le traitement des données à caractère personnel. C'est le texte que tout le monde cite par son seul numéro, 18-07, et c'est la loi de référence dès qu'une entreprise détient un fichier clients, un fichier du personnel, une base de prospects ou un dispositif de vidéosurveillance. Elle a été modifiée et complétée le 24 juillet 2025 par la loi n° 25-11, mais l'ossature décrite ci-dessous reste celle qui s'applique.

Le champ d'application est large. L'article 4 vise le traitement automatisé, en tout ou en partie, mais aussi le traitement non automatisé de données contenues ou appelées à figurer dans des fichiers manuels : le classeur papier des dossiers du personnel entre donc dans le champ au même titre qu'un logiciel de gestion commerciale. Le texte s'applique aux organismes publics comme aux personnes privées. Il vise le responsable établi sur le territoire algérien, et il précise qu'est considéré comme établi en Algérie le responsable d'un traitement qui exerce une activité sur le territoire algérien dans le cadre d'une installation, quelle que soit sa forme juridique. Il vise aussi le responsable non établi en Algérie qui recourt, à des fins de traitement, à des moyens automatisés ou non situés sur le territoire algérien, à l'exclusion des traitements utilisés à seule fin de transit ; celui-là doit notifier à l'autorité nationale l'identité de son représentant installé en Algérie, lequel se substitue à lui dans tous ses droits et obligations, sans préjudice de sa responsabilité personnelle.

L'obligation la plus concrète est celle de l'article 12 : nonobstant toute disposition législative contraire, toute opération de traitement des données à caractère personnel est soumise à une déclaration préalable à l'autorité nationale ou à son autorisation. La déclaration comporte l'engagement que le traitement sera effectué conformément à la loi, elle peut être effectuée par voie électronique, et un récépissé de dépôt est remis ou transmis immédiatement ou, au plus tard, dans les quarante-huit heures. Le responsable du traitement peut mettre en œuvre le traitement dès réception de ce récépissé, sous sa responsabilité. L'article 14 énumère les neuf mentions obligatoires, parmi lesquelles la nature des données dont le transfert vers des pays étrangers est envisagé, la durée de conservation, les interconnexions et les cessions à des tiers ou la sous-traitance. Toute modification de ces informations et toute suppression de traitement doivent être portées sans délai à la connaissance de l'autorité, et en cas de cession d'un fichier de données, le cessionnaire doit remplir à son tour les formalités de déclaration. Des traitements sans risque particulier peuvent relever d'une déclaration simplifiée dont l'article 15 confie la liste à l'autorité nationale.

L'article 17 permet à l'autorité nationale, lorsqu'il lui apparaît à l'examen de la déclaration que le traitement envisagé présente des dangers manifestes pour la vie privée et pour les libertés et droits fondamentaux, de soumettre ce traitement au régime de l'autorisation préalable, par une décision motivée notifiée au responsable dans les dix jours du dépôt de la déclaration. Lorsqu'une autorisation est requise, l'article 20 impose à l'autorité de rendre sa décision dans un délai de deux mois de sa saisine, prorogeable une fois pour la même durée par décision motivée de son président, et précise que l'absence de réponse dans ce délai vaut rejet. Le traitement des données sensibles, celles qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale ou qui sont relatives à la santé, y compris les données génétiques, est en principe interdit par l'article 18 et n'est possible que dans les cas qu'il énumère, notamment le consentement exprès de la personne concernée, une disposition légale qui le consacre ou l'autorisation de l'autorité nationale.

Le principe de base figure à l'article 7 : le traitement des données à caractère personnel ne peut être effectué qu'avec le consentement exprès de la personne concernée, laquelle peut à tout moment se rétracter. Le consentement n'est pas exigé lorsque le traitement est nécessaire au respect d'une obligation légale, à la sauvegarde de la vie ou des intérêts vitaux de la personne, à l'exécution d'un contrat auquel elle est partie ou de mesures précontractuelles prises à sa demande, à l'exécution d'une mission d'intérêt public, ou à la réalisation d'un intérêt légitime du responsable du traitement ou du destinataire, sous réserve de l'intérêt et des droits et libertés fondamentaux de la personne concernée.

Pour le marketing, l'article 37 est le plus tranchant. Est interdite la prospection directe au moyen d'un automate d'appel, d'un télécopieur, d'un courrier électronique ou d'un moyen employant une technologie de même nature qui utilise les coordonnées d'une personne physique qui n'a pas exprimé son consentement préalable. Le courriel de prospection reste autorisé si les coordonnées du destinataire ont été recueillies directement auprès de lui, à l'occasion d'une vente ou d'une prestation de services analogue fournie par la même personne, et si la possibilité de s'opposer sans frais lui est offerte de manière expresse et dénuée d'ambiguïté au moment de la collecte et à chaque envoi. Dans tous les cas, il est interdit d'émettre un message de prospection sans indiquer de coordonnées valables permettant d'en demander l'arrêt, de dissimuler l'identité de la personne pour le compte de laquelle le message est émis, ou de mentionner un objet sans rapport avec le service proposé.

Les droits des personnes sont ceux qu'un service client doit savoir traiter. L'article 32 impose d'informer la personne, préalablement, de manière expresse et non équivoque, de l'identité du responsable du traitement, des finalités du traitement et de toute information supplémentaire utile, notamment le destinataire, l'obligation de répondre et ses conséquences ainsi que le transfert des données à l'étranger. L'article 34 ouvre le droit d'accès, c'est-à-dire la confirmation qu'un traitement existe, ses finalités, les catégories de données et les destinataires, ainsi que la communication des données sous une forme intelligible. L'article 35 ouvre le droit d'obtenir à titre gratuit l'actualisation, la rectification, l'effacement ou le verrouillage des données dont le traitement n'est pas conforme, et fixe au responsable du traitement un délai de dix jours à compter de sa saisine pour y procéder, sans frais pour le demandeur ; à défaut de réponse ou en cas de refus, la personne peut saisir l'autorité nationale, et les héritiers de la personne concernée peuvent exercer ce droit. L'article 36 ouvre le droit d'opposition pour motifs légitimes, et le droit de s'opposer à l'utilisation des données à des fins de prospection, notamment commerciales.

Le titre V met à la charge du responsable du traitement des obligations de sécurité que l'on retrouve dans tout audit. L'article 38 exige des mesures techniques et organisationnelles appropriées contre la destruction accidentelle ou illicite, la perte accidentelle, l'altération, la diffusion ou l'accès non autorisés, d'un niveau de sécurité approprié au regard des risques et de la nature des données à protéger. L'article 39 encadre la sous-traitance : le responsable doit choisir un sous-traitant qui apporte des garanties suffisantes, la relation doit être régie par un contrat ou un acte juridique prévoyant notamment que le sous-traitant n'agit que sous la seule instruction du responsable du traitement, et les éléments relatifs à la protection des données doivent être consignés par écrit ou sous une autre forme équivalente. L'article 40 soumet le responsable et les personnes qui ont eu connaissance des données au secret professionnel, même après la cessation de leurs fonctions. Pour un fournisseur de services, l'article 43 ajoute qu'en cas de destruction, de perte, d'altération, de divulgation ou d'accès non autorisé survenu sur un réseau de communications électroniques ouvert au public, il avertit sans délai l'autorité nationale ainsi que la personne concernée lorsque la violation peut porter atteinte à sa vie privée, et qu'il tient à jour un inventaire des violations et des mesures prises pour y remédier.

Le transfert de données vers l'étranger est le point qui bloque le plus souvent un projet. L'article 44 pose que le responsable d'un traitement ne peut transférer des données à caractère personnel vers un État étranger que sur autorisation de l'autorité nationale, et seulement si cet État assure un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux, ce caractère suffisant étant apprécié par l'autorité au regard des dispositions juridiques en vigueur dans cet État, des mesures de sécurité applicables et des caractéristiques propres du traitement. Il est interdit, dans tous les cas, de transférer des données vers un pays étranger lorsque ce transfert est susceptible de porter atteinte à la sécurité publique ou aux intérêts vitaux de l'État. L'article 45 prévoit des dérogations : consentement exprès de la personne, sauvegarde de sa vie, préservation de l'intérêt public, constatation ou défense d'un droit en justice, exécution d'un contrat entre le responsable du traitement et la personne concernée ou de mesures précontractuelles prises à sa demande, entraide judiciaire internationale, prévention ou traitement d'affections médicales, application d'un accord bilatéral ou multilatéral auquel l'Algérie est partie, ou autorisation de l'autorité nationale. Héberger la base clients algérienne sur des serveurs situés hors d'Algérie s'analyse donc au regard de ces deux articles.

Le volet répressif est ce qui donne son poids au texte. L'article 46 permet à l'autorité nationale de prononcer l'avertissement, la mise en demeure, le retrait provisoire pour une durée qui ne peut dépasser une année ou le retrait définitif du récépissé de déclaration ou de l'autorisation, ainsi que l'amende ; ses décisions sont susceptibles de recours devant le Conseil d'État. L'article 47 fixe une amende de 500 000 DA contre le responsable de traitement qui refuse sans motif légitime les droits d'information, d'accès, de rectification ou d'opposition, ou qui ne procède pas aux notifications prévues aux articles 4, 14 et 16. Les articles 54 à 74 ajoutent des peines. Traiter sans respecter la procédure de l'article 12, faire de fausses déclarations ou poursuivre l'activité malgré le retrait du récépissé ou de l'autorisation expose à un emprisonnement de deux à cinq ans et à une amende de 200 000 à 500 000 DA (article 56). Traiter sans le consentement exigé par l'article 7, ou malgré l'opposition de la personne notamment à des fins de prospection commerciale, expose à un à trois ans et à une amende de 100 000 à 300 000 DA (article 55). Utiliser les données à des fins autres que celles déclarées ou autorisées est puni de six mois à un an et de 60 000 à 100 000 DA (article 58). Laisser accéder des personnes non habilitées aux données expose à deux à cinq ans et à 200 000 à 500 000 DA (article 60). Le manquement aux obligations de sécurité et de sous-traitance des articles 38 et 39, comme la conservation au-delà de la durée prévue, est puni d'une amende de 200 000 à 500 000 DA (article 65). Le transfert vers un État étranger en violation de l'article 44 est le plus lourdement sanctionné : un à cinq ans d'emprisonnement et une amende de 500 000 à 1 000 000 DA (article 67). La personne morale qui commet ces infractions est punie conformément aux règles édictées par le code pénal (article 70), et en cas de récidive les peines sont portées au double (article 74).

L'autorité nationale de protection des données à caractère personnel est créée par l'article 22, auprès du Président de la République. C'est une autorité administrative indépendante dotée de la personnalité morale et de l'autonomie financière et administrative, dont le siège est fixé à Alger. Sa composition figure à l'article 23, qui associe des personnalités choisies par le Président de la République, des magistrats, des parlementaires, un représentant du Conseil national des droits de l'Homme et des représentants de plusieurs ministères ; le président et les membres sont désignés par décret présidentiel pour un mandat de cinq ans renouvelable. L'article 25 énumère ses missions, dont la délivrance des autorisations, la réception des déclarations, l'autorisation des transferts transfrontaliers, l'ordre de fermeture, de retrait ou de destruction de données et le prononcé des sanctions administratives. L'article 28 institue un registre national de protection des données à caractère personnel dont les conditions et modalités de tenue sont renvoyées à la voie réglementaire. Cette autorité est aujourd'hui en activité et met à disposition, sur son site officiel anpdp.dz, un portail en ligne de dépôt des déclarations et des demandes d'autorisation ; cette dernière information provient du site de l'autorité et non du texte de la loi.

Enfin, l'article 75 organise le rattrapage de l'existant : sous peine des sanctions de l'article 56, les personnes effectuant une activité de traitement des données à caractère personnel à la date de promulgation de la loi devaient s'y conformer dans un délai maximum d'un an à compter de la date d'installation de l'autorité nationale. La loi ne fixe pas elle-même cette date d'installation, si bien que le point de départ du délai est un événement extérieur au texte, que nous ne pouvons pas établir dans le Journal officiel et que nous n'affirmons donc pas ici. Pour une entreprise qui démarre aujourd'hui, la question ne se pose de toute façon pas dans ces termes : c'est la déclaration préalable de l'article 12 qui s'applique, avant la mise en œuvre du traitement.

• Créer son entreprise en Algérie
• Guide du recrutement
• Écosystème start-up algérien
• Investir en Algérie
• Knowledge Hub UpGrowth

• JO n° 36 du 17 mai 2026Loi n° 26-09 portant code de la route : ce qui change pour les entreprises et leurs flottes
• JO n° 19 du 12 mars 2026Décret présidentiel n° 26-112 : les 13 circonscriptions administratives de la wilaya d'Alger
• JO n° 6 du 22 janvier 2026Décret présidentiel n° 26-86 : le prix du Président de la République de la meilleure start-up
• JO n° 48 du 24 juillet 2025Loi n° 25-11 : ce que la réforme de 2025 ajoute à la loi 18-07 sur les données personnelles