Loi n° 25-11 : ce que la réforme de 2025 ajoute à la loi 18-07 sur les données personnelles

La loi n° 25-11 du 28 Moharram 1447 correspondant au 24 juillet 2025, publiée au Journal officiel n° 48 du 24 juillet 2025, modifie et complète la loi n° 18-07 du 25 Ramadhan 1439 correspondant au 10 juin 2018 relative à la protection des personnes physiques dans le traitement des données à caractère personnel. Elle ne remplace pas la loi 18-07 : elle en réécrit deux articles, en abroge deux autres, et y insère un délégué à la protection des données, deux documents de traçabilité obligatoires et un titre entier consacré aux traitements de police et de justice. Pour une entreprise, l'essentiel tient en trois obligations nouvelles et permanentes : désigner un délégué, tenir un registre des traitements, tenir un carnet des opérations.

L'article 2 de la loi 25-11 complète les définitions de l'article 3 de la loi 18-07 en y ajoutant six notions qui n'y figuraient pas. Les données biométriques, définies comme les données résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique, qui permettent ou confirment son identification unique. Le profilage, c'est-à-dire toute forme d'utilisation des données à caractère personnel pour évaluer certains aspects personnels, notamment pour analyser ou prédire le rendement au travail, la situation économique, la santé, les préférences, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements d'une personne. La pseudonymisation. L'autorité compétente, au sens des finalités pénales. La violation des données à caractère personnel. Et l'organisation internationale. L'entrée de la biométrie et du profilage dans les définitions vise directement les entreprises qui utilisent une pointeuse à empreinte, un contrôle d'accès biométrique ou un score de comportement client.

Le même article 2 réécrit l'article 6 de la loi 18-07, qui liste ce qui sort du champ d'application. Ne restent exclues que les données traitées par une personne physique dans le cadre exclusif de ses activités personnelles ou domestiques, sans communication à des tiers ni diffusion, et les données relatives à la défense et à la sécurité nationales. L'ancienne exclusion des données recueillies et traitées à des fins de prévention, de poursuites et de répression des infractions disparaît de cette liste, parce que ces traitements sont désormais régis par le nouveau titre V bis.

La nouveauté la plus lourde pour une entreprise est le délégué à la protection des données à caractère personnel, introduit par un chapitre I bis inséré dans le titre V de la loi 18-07, celui des obligations du responsable du traitement. L'article 41 bis dispose que le responsable du traitement et l'autorité compétente désignent, chacun en ce qui le concerne, un délégué à la protection des données à caractère personnel, choisi en fonction de ses qualités professionnelles, notamment de ses connaissances spécialisées du droit et des pratiques relatives à la protection des données. Le texte n'assortit cette désignation d'aucun seuil d'effectif, de chiffre d'affaires ou de volume de données. Seules les juridictions en sont dispensées, et uniquement lorsqu'elles exercent leurs fonctions juridictionnelles. Un même délégué peut être désigné auprès de plusieurs autorités compétentes et responsables de traitement, eu égard à leur structure organisationnelle et à leur taille, ce qui ouvre la voie à une fonction mutualisée à l'échelle d'un groupe de sociétés. Le responsable du traitement communique enfin à l'autorité nationale les informations qui permettent de contacter le délégué.

L'article 41 bis 1 énumère les missions de ce délégué : informer et conseiller le responsable du traitement et les personnels en charge du traitement sur les obligations qui leur incombent, contrôler le respect de la loi et des procédures internes de l'entreprise en matière de protection des données, y compris la répartition des responsabilités, la sensibilisation et la formation des personnels participant aux opérations de traitement et les opérations d'audit pertinentes, et fournir sur demande des conseils sur l'analyse de l'impact du traitement puis en surveiller la mise en œuvre. Le texte ajoute que le délégué à la protection des données à caractère personnel est le point focal avec l'autorité nationale.

Le chapitre 1 bis 1, inséré lui aussi dans le titre V, crée le premier des deux documents. L'article 41 bis 2 impose au responsable du traitement de tenir un registre des activités de traitement effectuées sous sa responsabilité, comprenant notamment les noms et coordonnées de contact du responsable du traitement et de son délégué, les finalités et le fondement juridique de l'opération de traitement, les catégories de destinataires auxquels les données ont été ou seront communiquées, y compris les destinataires dans d'autres États ou organisations internationales, une description des catégories de personnes et de données concernées, la mention, dans la mesure du possible, des délais prévus pour l'effacement partiel ou total, et une description générale des mesures techniques et organisationnelles de sécurité mises en place. Le sous-traitant tient également son propre registre des traitements réalisés pour le compte du responsable. Ces registres sont tenus sous format papier ou électronique et mis à la disposition de l'autorité nationale sur sa demande.

Le second document est nettement plus exigeant sur le plan technique. L'article 41 bis 3 impose au responsable du traitement comme au sous-traitant de tenir chacun un carnet automatisé des opérations de traitement, couvrant au moins la collecte, l'inscription, l'organisation, la conservation, l'adaptation, la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, le chiffrement, l'effacement ou la destruction. Ce carnet doit permettre d'identifier les motifs, la date et l'heure des opérations et, dans la mesure du possible, l'identité de la personne ayant utilisé, consulté ou divulgué les données ainsi que celle des destinataires. Il est mis à la disposition de l'autorité nationale sur sa demande, et son usage est limité par le texte à la vérification de la légalité du traitement, au contrôle interne, à la garantie de l'intégrité et de la sécurité des données ainsi qu'aux besoins des procédures pénales. En clair, la loi demande un journal applicatif horodaté et nominatif. Les conditions et les modalités d'application de cet article sont renvoyées à la voie réglementaire, et ce texte d'application ne figure pas dans la loi.

La loi 25-11 introduit également une étude d'impact et un régime de notification des violations de données. L'étude d'impact de l'article 45 bis 6 est due avant le traitement lorsqu'il est probable qu'un type de traitement, notamment en utilisant de nouvelles technologies, est susceptible d'engendrer des risques élevés pour les droits et les libertés des personnes physiques ; elle comprend au moins une description générale des opérations de traitement, une évaluation des risques, les mesures envisagées pour y faire face, les garanties et les mesures de sécurité. L'article 45 bis 8 impose au responsable du traitement d'informer l'autorité nationale d'une violation de données au plus tard cinq jours après en avoir pris connaissance, une notification hors délai devant indiquer les raisons du retard ; le sous-traitant informe le responsable du traitement dès qu'il en a eu connaissance ; l'article 45 bis 10 ajoute que si la violation est susceptible de causer un risque élevé pour les droits et les libertés des personnes physiques, le responsable du traitement en saisit la personne concernée en des termes simples et clairs.

Un point doit être dit franchement plutôt que gommé : ces articles 45 bis 6 à 45 bis 11 sont placés à l'intérieur du nouveau titre V bis, consacré au traitement des données à des fins de prévention et de détection des infractions, d'investigations, d'enquêtes, de poursuites pénales, d'exécution et d'application des peines. Leur portée en dehors de ce cadre n'est pas tranchée par le texte lui-même. Le seul pont explicite est l'article 41 bis 1, qui est de portée générale puisqu'il figure au titre V, et qui charge expressément le délégué de conseiller sur l'analyse d'impact conformément aux dispositions de l'article 45 bis 6. Nous signalons cette articulation telle qu'elle est écrite, sans la trancher à la place de l'autorité nationale ou du juge.

Le titre V bis lui-même, inséré par l'article 6 de la loi 25-11 et composé des articles 45 bis à 45 bis 14, réserve les traitements de police et de justice à l'autorité judiciaire, aux services et organismes légalement habilités à rechercher les infractions et à identifier les auteurs, aux auxiliaires de justice dans le cadre de leurs attributions légales et aux services de l'administration pénitentiaire. Il écarte l'exigence de consentement préalable pour ces finalités, permet de restreindre, de refuser ou de retarder les droits de la personne concernée dans des cas limitativement énumérés et à charge d'informer l'intéressé de son droit d'introduire une réclamation auprès de l'autorité nationale ou de recourir à la justice, et fixe le régime des transferts vers un État étranger ou une organisation internationale. L'article 7 de la loi 25-11 abroge en conséquence les articles 10 et 11 de la loi 18-07, dont le contenu est repris aux articles 45 bis et 45 bis 1 à l'intérieur de ce nouveau titre.

L'article 3 de la loi 25-11 complète par ailleurs la loi 18-07 par un article 27 bis : l'autorité nationale est dotée de pôles régionaux chargés du contrôle et de l'audit auprès des institutions et des personnes traitant des données à caractère personnel. Les conditions et les modalités d'application de cet article sont fixées par voie réglementaire. Le texte crée donc une capacité de contrôle décentralisée mais n'en fixe ni le nombre, ni les sièges, ni le calendrier de mise en place.

Ce que la loi 25-11 ne change pas mérite d'être dit aussi nettement que ce qu'elle change. Elle ne touche pas au régime de déclaration préalable et d'autorisation des articles 12 à 21 de la loi 18-07, qui reste la première formalité à accomplir avant de mettre en œuvre un traitement. Elle ne modifie ni les droits des personnes des articles 32 à 36, ni l'interdiction de prospection directe sans consentement préalable de l'article 37, ni les articles 44 et 45 sur le transfert de données vers un pays étranger, ni les sanctions administratives et pénales des articles 46 à 74. Elle ne crée pas non plus de sanction spécifique pour l'absence de délégué, de registre ou de carnet : ce sont les mesures administratives de l'article 46, prises par l'autorité nationale pour non observation des dispositions de la loi, qui trouvent alors à s'appliquer. Enfin, son article 8 se borne à prévoir sa publication au Journal officiel : le texte ne fixe ni date d'entrée en vigueur différée, ni période transitoire, ni délai pour désigner le délégué ou ouvrir les registres.

• Écosystème start-up algérien
• Guide du recrutement
• Soft landing pour investisseurs étrangers
• Investir en Algérie
• Knowledge Hub UpGrowth

• JO n° 36 du 17 mai 2026Loi n° 26-09 portant code de la route : ce qui change pour les entreprises et leurs flottes
• JO n° 19 du 12 mars 2026Décret présidentiel n° 26-112 : les 13 circonscriptions administratives de la wilaya d'Alger
• JO n° 6 du 22 janvier 2026Décret présidentiel n° 26-86 : le prix du Président de la République de la meilleure start-up
• JO n° 34 du 10 juin 2018Loi n° 18-07 sur les données personnelles : ce que doit faire une entreprise en Algérie