Loi n° 2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel au Cameroun

La présente loi est relative à la protection des données à caractère personnel au Cameroun. A ce titre, elle a pour objet de garantir les droits et libertés fondamentaux des personnes en matière de traitement de leurs données à caractère personnel, quels qu’en soient la nature, le mode d’exécution ou les responsables.

Sont soumis aux dispositions de la présente loi :

• tout traitement des données à caractère personnel effectué par l’Etat, les collectivités territoriales décentralisées ou toute autre personne physique ou morale ;
• tout traitement de données à caractère personnel de toute personne établie, résidant ou en transit au Cameroun ;
• tout traitement de données à caractère personnel, effectué par un responsable du traitement ou un sous-traitant établi au Cameroun ;
• tout traitement de données à caractère personnel effectué dans un territoire où le droit camerounais s’applique en vertu du droit international ou des conventions internationales dûment ratifiées.

Sont exclus du champ d’application de cette loi :

• les traitements de données à caractère personnel effectués par une personne physique dans le cadre exclusif de ses activités personnelles ou domestiques, à condition toutefois que les données ne soient pas destinées à une communication systématique, à un tiers ou à la diffusion ;
• les copies temporaires faites dans le cadre des activités techniques de transmission et de fourniture d’accès utilisant un réseau de communications en vue du stockage intermédiaire et transitoire des données, afin de permettre à d’autres destinataires du service, le meilleur accès possible aux informations transmises ;
• les traitements des données à caractère personnel effectués à des seules fins littéraires ou artistiques, archivistiques dans l’intérêt public, de recherche scientifique ou historique, statistique, ou de journalisme quel que soit le média utilisé dans le respect des règles déontologiques et éthiques de ces professions, notamment les mesures de sécurité garantissant le secret des sources journalistiques, ainsi que les règles de modération applicables aux fora de discussion mis en œuvre par les éditeurs d’information journalistique.

Tout traitement des données à caractère personnel effectué par les autorités compétentes en matière de sécurité et de défense est régi par des textes particuliers.

Au sens de la présente loi et des textes réglementaires pris pour son application, les définitions ci-après sont admises :

Anonymisation : processus de modification ou de suppression d’informations à caractère personnel identifiables dans un ensemble de données, afin de rendre ces données non attribuables à des individus spécifiques.

Autorité : organisme public indépendant en charge de la protection des données à caractère personnel.

Certification : outil de conformité permettant de répondre aux besoins des professionnels qui souhaitent communiquer sur le niveau de protection des données offert par leurs produits, services, processus ou systèmes de données au regard des critères d’un référentiel approuvé au préalable par l’Autorité de protection des données à caractère personnel.

Chiffrement : toute technique qui consiste à transformer les données numériques en un format inintelligible en employant les moyens de cryptologie.

Communication systématique : processus organisé et structuré de transmission d’informations de manière cohérente et efficace, généralement dans un cadre professionnel ou institutionnel.

Consentement : toute manifestation de volonté expresse, non équivoque, non contrainte, libre et éclairée par une information claire, précise et complète, par laquelle la personne concernée, ou son représentant légal, accepte que ses données à caractère personnel fassent l’objet d’un traitement.

Copies temporaires : toutes données copiées momentanément dans un espace dédié, pour une durée limitée ou pour les besoins de fonctionnement du logiciel de traitement.

Clauses contractuelles types : clauses des contrats types élaborés et publiés par l’Autorité de protection des données à caractère personnel pour encadrer juridiquement tout transfert de données à caractère personnel entre des acteurs situés sur le territoire camerounais d’une part et, d’autre part, un acteur situé en dehors du territoire camerounais, dont le contenu ne peut être modifié que pour prévoir une protection plus importante des données à caractère personnel transférées.

Destinataire : toute personne physique ou morale, habilitée à recevoir une communication des données à caractère personnel.

Destinataire d’un traitement de données à caractère personnel : personne physique ou morale, autorité publique ou tout autre organisme habilitée à recevoir des communications des données qu’il s’agisse ou non d’un tiers.

Donnée : représentation de faits, d’informations ou de notion sous une forme susceptible d’être traitée par un équipement terminal ou un programme.

Donnée sensible : information relative notamment aux opinions et activités religieuses, philosophiques, politiques, syndicales, aux transactions bancaires, à l’origine raciale ou ethnique, linguistique ou régionale, à la vie sexuelle, à la génétique, à la biométrie, à la santé, aux poursuites judiciaires et aux sanctions pénales.

Donnée à caractère personnel : information se rapportant à une personne permettant de l’identifier directement ou indirectement, notamment par référence à toute forme d’identifiant ou à un ou plusieurs éléments, propres à son identité physique, psychologique, génétique, psychique, culturelle, socio-professionnelle ou économique, notamment un nom, une photo, une empreinte, une adresse postale, une adresse mail, un numéro de téléphone, un numéro de sécurité sociale, un matricule interne, un identifiant numérique, une adresse IP, un identifiant de connexion informatique, un enregistrement vocal.

Évaluation d’impact sur la protection des données : procédure visant à analyser la probabilité la gravité des risques encourus par les droits et libertés des individus résultant du traitement de données à caractère personnel.

Fichier : ensemble de données structurées et à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique.

Interconnexion des fichiers : mécanisme de connexion consistant en la mise en relation de données à caractère personnel traitées pour une finalité déterminée avec d’autres données traitées, pour des finalités identiques ou non, ou liées par un ou plusieurs responsables de traitement.

Offre directe de services de la société de l’information : tout service presté normalement contre rémunération ou, le cas échéant, gratuitement, à distance, par voie électronique et à la demande individuelle d’un destinataire de services.

Personne concernée : toute personne dont les données à caractère personnel font l’objet d’un traitement.

Portabilité des données : possibilité pour une personne de récupérer une partie de ses données à caractère personnel dans un format ouvert et lisible par machine et de pouvoir stocker lesdites données sur un espace personnel ou de les transmettre à un autre responsable de traitement en vue de leur réutilisation.

Profilage : traitement automatisé de données à caractère personnel consistant à les utiliser pour évaluer certains aspects personnels relatifs à une personne physique, notamment sa santé, ses préférences, sa localisation et sa situation économique.

Prospection directe : sollicitation effectuée auprès d’une personne concernée, quel qu’en soit le support ou la nature notamment commerciale, politique ou caritative, destinée à promouvoir directement ou indirectement des biens, des services ou l’image d’une personne.

Pseudonymisation : technique utilisée pour remplacer des données d’identification directe par des identifiants artificiels dans le but de protéger la vie privée des individus.

Responsable du traitement : personne physique ou morale qui, seule ou conjointement, collecte et traite des données à caractère personnel et en détermine les moyens et les finalités.

Spécifications techniques : ensemble explicite d’exigences, de critères ou de contraintes techniques que doit satisfaire un service de traitement des données.

Société de l’information : société dans laquelle l’accès et la transmission de l’information jouent un rôle central dans les activités économiques, sociales et politiques. Cette société se caractérise notamment par l’utilisation de technologies de l’information et de la communication (TIC) telles que l’Internet, les réseaux sociaux, les ordinateurs, les téléphones mobiles et les systèmes d’information géographique.

Sous-traitant : toute personne physique ou morale qui traite des données à caractère personnel pour le compte du responsable du traitement et sous ses instructions.

Système d’information : ensemble de ressources et de dispositifs, interconnectés ou isolés, permettant de traiter les informations nécessaires au fonctionnement d’une organisation.

Traitement : opération ou ensemble d’opérations effectuées ou non à l’aide de procédés entièrement ou partiellement automatisés ou non automatisés et appliqués à des données à caractère personnel, notamment la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement, ainsi que le verrouillage, l’effacement ou la destruction.

Transfert international de données : acheminement des données à caractère personnel au-delà des frontières d’un pays vers un autre, que ce soit vers un Etat tiers ou une organisation internationale.

Violation de données à caractère personnel : toute atteinte à la sécurité des données à caractère personnel entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée desdites données transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données.