Loi n° 2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel au Cameroun

(1) Lorsque l’Autorité de protection des données à caractère personnel constate le non-respect des obligations mises à la charge du responsable du traitement ou de son sous-traitant, celui-ci est mis en demeure de s’y conformer dans un délai maximum de dix jours.

(2) Passé le délai prévu à l’alinéa 1 ci-dessus, l’Autorité de protection des données à caractère personnel adresse une injonction de mise en conformité du traitement, sous astreinte dont le montant ne peut excéder 100.000 FCFA par jour de retard.

(3) Lorsque le responsable du traitement ou le sous-traitant ne se conforme pas à la mise en demeure prévue à l’alinéa 1 ci-dessus, l’Autorité de protection des données à caractère personnel peut prononcer l’une des sanctions ci-après :

• la suspension de l’activité, objet de l’autorisation ;
• le retrait de l’autorisation ;
• l’interdiction d’exercer toute activité de traitement des données à caractère personnel.

Sans préjudice des sanctions prévues à l’article 54 ci-dessus, est passible d’une pénalité d’un montant de 5.000.000 à 50.000.000 FCFA tout personne qui exerce l’activité de traitement des données à caractère personnel sans autorisation préalable.

Est passible d’une amende de 1.000.000 à 10.000.000 FCFA, tout responsable de traitement ou sous-traitant qui refuse de mettre à la disposition de la personne concernée, les informations sollicitées la concernant.

Est passible d’une amende de 5.000.000 à 20.000.000 FCFA, tout responsable de traitement ou tout sous-traitant qui ne respecte pas les dispositions du référentiel prévu dans la présente loi.

Est passible d’une amende de 1.000.000 à 5.000.000 FCFA, tout responsable de traitement ou tout sous-traitant qui ne respecte pas les dispositions relatives à l’interconnexion des fichiers prévu dans la présente loi.

Est passible d’une amende de 5.000.000 à 15.000.000 FCFA, tout responsable de traitement ou tout sous-traitant qui opère sans certification prévue dans la présente loi.

Est passible d’une amende de 10.000.000 à 50.000.000 FCFA, tout responsable de traitement ou tout sous-traitant qui procède au transfert des données à caractère personnel vers un pays tiers, sans autorisation préalable de l’Autorité de protection des données à caractère personnel.

Est passible d’une amende de 10.000.000 à 100.000.000 FCFA, tout responsable de traitement ou sous-traitant qui ne respecte pas l’une des obligations de son cahier des charges.

(1) En cas d’atteinte grave aux droits mentionnés dans la présente loi, la personne concernée peut demander à la juridiction compétente, statuant suivant la procédure d’urgence, d’ordonner, le cas échéant, sous astreinte, toute mesure nécessaire à la sauvegarde de ses droits.

(2) La personne concernée peut saisir la juridiction compétente aux fins de réparation.

(1) Est puni d’un emprisonnement de deux à cinq ans et d’une amende de 200.000 à 5.000.000 FCFA, ou de l’une de ces deux peines seulement, celui qui collecte les données à caractère personnel ou y accède par un moyen frauduleux, déloyal ou illicite.

(2) Les peines prévues à l’alinéa 1 ci-dessus sont doublées lorsque la collecte ou l’accès par un moyen frauduleux s’accompagne d’un verrouillage, d’un cryptage ou de toute autre technique portant atteinte à la disponibilité et à l’intégrité des données.

(1) Est puni d’un emprisonnement d’un à trois ans et d’une amende de 50.000 à 1.000.000 FCFA, ou de l’une de ces deux peines seulement, le responsable de traitement ou le sous-traitant qui procède ou fait procéder à un traitement de données à caractère personnel, malgré l’opposition de la personne concernée, lorsque ce traitement répond à des fins de prospection directe ou lorsque cette opposition est fondée sur des motifs prévus par la loi.

(2) Est puni des peines prévues à l’alinéa 1 ci-dessus, le responsable de traitement ou le sous-traitant qui ne procède pas ou ne fait pas procéder aux opérations demandées par une personne physique justifiant de son identité, et qui exige que soient rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant ou concernant la personne décédée dont elle est le représentant légal ou l’ayant-droit.

Est puni d’un emprisonnement de trois à dix ans et d’une amende de 1.000.000 à 20.000.000 FCFA, ou de l’une de ces deux peines seulement, le responsable de traitement ou le sous-traitant qui procède ou fait procéder à un traitement de données à caractère personnel à des fins de profilage.

(1) Est puni d’un emprisonnement de six mois à deux ans et d’une amende de 500.000 à 5.000.000 FCFA, ou de l’une de ces deux peines seulement, le responsable de traitement ou le sous-traitant, qui met ou conserve en mémoire, informatisée ou non, sans le consentement exprès de la personne concernée, des données sensibles au sens de présente la loi.

(2) Est puni des peines prévues à l’alinéa 1 ci-dessus, celui-ci qui procède ou fait procéder à la récupération frauduleuse des données à caractère personnel supprimées.

Est puni d’un emprisonnement de six mois à deux ans et d’une amende de 500.000 à 5.000.000 FCFA, ou de l’une de ces deux peines seulement :

• le responsable de traitement ou le sous-traitant qui, à l’occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement, détourne ces informations de leur finalité initiale ;
• le responsable du traitement ou le sous-traitant qui procède ou fait procéder à un traitement ultérieur de données à caractère personnel incompatible à la finalité initiale.

(1) Est puni d’un emprisonnement de six mois à deux ans et d’une amende de 200.000 à 5.000000 FCFA, ou de l’une de ces deux peines seulement celui qui recueille, à l’occasion de leur enregistrement, de leur classement, de leur transmission ou d’une autre forme de traitement, des données à caractère personnel dont la divulgation aurait pour effet, soit de porter atteinte à la dignité ou à ]a vie privée de la personne concernée, soit de porter, sans autorisation de l’intéressé, ces données à la connaissance d’un tiers qui n’a pas qualité de les recevoir.

(2) Dans le cas prévu à l’alinéa 1 ci-dessus, les poursuites ne peuvent être exercées que sur plainte de fa victime, de son représentant légal ou de ses ayant droits.

Est puni d’un emprisonnement de trois à dix ans et d’une amende de 2.000.000 à 20.000.000 FCFA, ou de l’une de ces deux peines seulement, celui qui procède ou fait procéder à un transfert de données à caractère personnel faisant l’objet ou destinées à faire l’objet d’un traitement vers un état étranger ou une organisation internationale, en méconnaissance des dispositions de la présente loi.

(1) Est puni d’un emprisonnement de six mois à trois ans et d’une amende de 100.000 à 500.000 FCFA, ou de l’une de ces deux peines seulement, le responsable de traitement ou le sous-traitant qui entrave l’action de l’Autorité de protection des données à caractère personnel :

• soit en s’opposant à l’exercice des missions confiées à ses membres ou agents envoyés en mission ;
• soit en refusant de communiquer aux membres ou aux agents de l’Autorité de protection des données à caractère personnel, en mission, les renseignements ou les documents utiles à leur mission.

(2) Les peines prévues à l’alinéa 1 ci-dessus sont doublées lorsque lesdits documents ou renseignements sont dissimulés, falsifiés ou supprimés.

Nonobstant la responsabilité pénale de leurs dirigeants, les personnes morales peuvent être déclarées pénalement responsables et condamnées à une peine d’amende de 50.000.000 à 1.000.000.000 FCFA, lorsque les infractions prévues par la présente loi ont été commises par les responsables desdites personnes morales.