Loi n° 2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel au Cameroun

Tout traitement des données à caractère personnel s’effectue dans le respect de la vie privée de la personne.

Toute personne procédant au traitement des données à caractère personnel est tenue d’en garantir la confidentialité à travers les réseaux de communications numériques ou tout autre support.

Toute personne doit veiller à la licéité et à la probité des contenus des données à caractère personnel véhiculés par son réseau, notamment lorsque ces contenus portent atteinte à la dignité humaine, à l’honneur et à la vie privée.

(1) Le traitement des données à caractère personnel est subordonné au consentement préalable, libre, éclairé, spécifique et univoque de la personne concernée.

(2) Toutefois, il peut être dérogé à cette exigence du consentement préalable lorsque le traitement est nécessaire :

• au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;
• à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’Autorité de protection des données à caractère personnel, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées ;
• à la préservation de la santé de la personne concernée ou d’une autre personne physique.

(3) Le consentement d’une personne mineure de dix-huit ans n’est valable que s’il est appuyé par celui de ses père et mère, ou de son représentant légal.

Le traitement des données à caractère personnel doit être licite, loyal et non frauduleux.

Les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes. Elles ne peuvent pas être ultérieurement traitées de manière incompatible avec ces finalités.

Les données à caractère personnel doivent être complètes, fiables et tenues à jour. Toute personne procédant au traitement de données à caractère personnel a l’obligation de corriger ou d’effacer toutes données inexactes ou incomplètes.

(1) Les données à caractère personnel doivent être conservées pendant une durée qui n’excède pas la période nécessaire à leur traitement.

(2) La période de conservation des données à caractère personnel visée à l’alinéa 1 ci-dessus est précisée dans l’autorisation de traitement des données et suivant les modalités fixées par voie réglementaire.

(3) Au-delà de la période visée à l’alinéa 1 ci-dessus, les données à caractère personnel ne peuvent être conservées qu’en vue de répondre spécifiquement à un traitement à des fins historiques, statistiques ou de recherche conformément aux dispositions légales en vigueur.

Les données à caractère personnel traitées doivent faire l’objet d’une information claire et transparente de la personne concernée, par le responsable du traitement.

Les données à caractère personnel sont traitées de manière confidentielle et protégées par le responsable du traitement, notamment lorsque le traitement inclut des transmissions de données.

(1) Tout sous-traitant procédant au traitement des données à caractère personnel pour le compte d’un responsable du traitement est tenu d’apporter des garanties suffisantes au respect des mesures de sécurité définies dans la présente loi.

(2) Le responsable du traitement des données veille au respect de leur l’application par le sous-traitant.

Le responsable du traitement ou le sous-traitant est tenu de traiter les données à caractère personnel sans tenir compte de la classe sociale, de l’origine ethnique ou régionale, de l’appartenance syndicale, de l’opinion politique ou de la conviction religieuse de la personne concernée.

Tout traitement de données à caractère personnel de personnes mineures, en vue d’une offre de services doit être adéquat, pertinent et limité à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.

(1) Le traitement des données à caractère personnel est soumis à l’obtention préalable d’une autorisation délivrée par l’Autorité de protection des données à caractère personnel.

(2) Tout processus d’interconnexion et d’interopérabilité des fichiers de données sensibles, relatives aux mineurs, est soumis à l’obtention préalable d’une autorisation délivrée par l’Autorité de protection des données à caractère personnel.

(3) Les modalités de délivrance de l’autorisation visée aux alinéas 1 et 2 ci-dessus sont fixées par voie réglementaire.

Le responsable du traitement et le sous-traitant sont assujettis aux mêmes obligations au titre de l’activité de traitement des données à caractère personnel.

Le responsable du traitement doit fournir à la personne concernée, au plus tard, lors de la collecte et quels que soient les moyens employés, les informations suivantes :

• son identité ;
• les finalités déterminées du traitement auquel les données sont destinées ;
• les catégories des données concernées ;
• les destinataires auxquels les données sont susceptibles d’être communiquées ;
• la possibilité de refuser de figurer sur le fichier en cause ;
• l’existence d’un droit :
• d’accès aux données à caractère personnel conformément aux dispositions de la présente loi ;
• de rectification, d’effacement, d’opposition, de limitation et de portabilité ;
• d’information en cas de traitement à des fins de prospection commerciales ;
• de ne pas faire l’objet d’une décision individuelle automatisée, y compris le profilage ;
• d’information sur la prise d’une décision automatisée, la logique sous-jacente et les conséquences prévues du traitement ;
• de refuser la communication de ses données à caractère personnel à un tiers ;
• de déterminer des directives de traitement post-mortem ;
• d’introduire une réclamation auprès de l’Autorité de protection des données à caractère personnel ;
• la durée de conservation des données ;
• l’éventualité de tout transfert de données à destination d’un Etat étranger.

(1) Dès connaissance de toute violation des données à caractère personnel, le responsable du traitement ou le sous-traitant est tenu d’informer sans délai, l’Autorité de protection des données à caractère personnel et la personne concernée.

(2) En tout état de cause, et sans préjudice des dispositions de l’alinéa 1 ci-dessus, le responsable du traitement ou le sous-traitant est tenu de mettre en œuvre les mesures de protection techniques et organisationnelles appropriées, telles que le chiffrement, l’instauration des autorisations restrictives d’accès aux données.

(1) Le responsable du traitement des données à caractère personnel ou le sous-traitant prend toutes les mesures nécessaires, en vue d’informer toutes les personnes concernées d’une demande d’effacement des données.

(2) Dans le cas prévu à l’alinéa 1 ci-dessus, le responsable du traitement ou le sous-traitant met en œuvre les mécanismes appropriés garantissant le droit à l’oubli numérique ou l’effacement des données concernées.

(3) Le responsable du traitement des données à caractère personnel et son sous-traitant sont solidairement responsables de toute publication de données à caractère personnel effectuée en l’absence du consentement de la personne concernée.

(1) Le responsable du traitement ou le sous-traitant traite les données à caractère personnel de manière confidentielle.

(2) Le traitement des données à caractère personnel est effectué exclusivement par des personnes qui agissent sous l’autorité du responsable du traitement et seulement sur ses instructions.

(3) Le responsable du traitement met en œuvre, tant au moment de la détermination des moyens du traitement qu’au moment du traitement lui-même, des mesures techniques et organisationnelles consignées dans le référentiel défini par l’Autorité de protection des données à caractère personnel.

(1) Le responsable du traitement et le sous-traitant effectuent l’évaluation du risque présenté par le traitement des données à caractère personnel, suivant les critères d’évaluation, ainsi que les modalités d’exécution et de validation fixées par voie réglementaire.

(2) Le responsable du traitement et le sous-traitant prennent toute mesure appropriée pour empêcher notamment que :

• les données soient déformées, endommagées, indisponibles ;
• des tiers non autorisés y aient accès.

(3) Le responsable du traitement et le sous-traitant s’assurent que toute personne agissant sous leur autorité respective et qui a accès à des données à caractère personnel, les traite conformément aux instructions et aux finalités fixées.

Tout sous-traitant est tenu d’apporter des garanties suffisantes aux mesures de sécurité technique et organisationnelle relatives au traitement à effectuer.

(1) Le responsable du traitement et le sous-traitant des données à caractère personnel sont tenus :

• de garantir la disponibilité des données à caractère personnel notamment grâce à la mise en œuvre des mesures visant à garantir la résilience des systèmes d’information contenant les données à caractère personnel ;
• de garantir que lors de l’utilisation d’un système de traitement automatisé de données, les personnes autorisées ne puissent accéder qu’aux données relevant de leur autorisation ;
• de garantir la vérification et la constatation de l’identité des tiers auxquels des données peuvent être transmises ;
• de garantir que puisse être vérifiée et constatée a posteriori l’identité des personnes ayant accès au système d’information contenant des données à caractère personnel, la nature des données qui ont été introduites, modifiées, altérées, copiées, effacées ou lues dans le système, ainsi que la période de manipulation de ces données ;
• d’empêcher toute personne non autorisée à accéder aux installations utilisées pour le traitement des données ;
• d’empêcher que des supports de données puissent être lus, copiés, modifiés ou déplacés par une personne non autorisée ;
• d’empêcher l’introduction non autorisée de toute donnée dans le système d’information, ainsi que toute prise de connaissance, toute modification ou tout effacement non autorisé de données enregistrées ;
• d’empêcher que des systèmes de traitement de données puissent être utilisés par des personnes non autorisées à l’aide d’installation de transmission de données ;
• de sauvegarder les données par la constitution de copies de sécurité protégées ;
• de prendre toute autre mesure appropriée requise par la réglementation en vigueur.

(2) Le responsable du traitement adresse à l’Autorité de protection des données à caractère personnel un rapport annuel sur l’état de mise en œuvre des mesures de sécurité contenues dans le référentiel des mesures techniques et organisationnelles.

Le délai maximum de conservation des données à caractère personnel est fixé dans le référentiel prévu à l’article 27 ci-dessus, élaboré par l’Autorité de protection des données à caractère personnel. La fixation de ce délai tient compte de la finalité du traitement ou de la nature des données collectées, conformément à la législation et la réglementation en vigueur.

(1) Le responsable du traitement ou le sous-traitant tient un registre physique ou numérique des activités de traitement effectuées sous leur responsabilité.

(2) Le registre visé à l’alinéa 1 ci-dessus comporte les informations ci-après :

• le nom et les coordonnées du responsable du traitement et, le cas échéant, le nom du sous-traitant ;
• les finalités du traitement ;
• la description des catégories de personnes concernées et des catégories des données à caractère personnel ;
• les catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées ;
• les documents attestant de l’existence de garanties appropriées ou le numéro de l’autorisation de l’Autorité de protection des données à caractère personnel.

(1) Lorsque le responsable du traitement recourt à un sous-traitant, il s’assure que celui-ci dispose des garanties suffisantes quant à la mise en œuvre des mesures techniques et organisationnelles appropriées de manière à ce que le traitement respecte les exigences de la présente loi.

(2) Le traitement par un sous-traitant est régi par un contrat qui lie le sous-traitant au responsable du traitement.

(3) Le contrat visé à l’alinéa 2 ci-dessus définit, notamment, le type de données à caractère personnel et les catégories de personnes concernées, les obligations et les droits du responsable du traitement, ainsi que du sous-traitant.

(1) En cas de traitement conjoint, les responsables déterminent les finalités, ainsi que les moyens du traitement et en sont solidairement responsables.

(2) Les responsables conjoints du traitement définissent de manière transparente, par une convention rendue publique, leurs obligations respectives aux fins d’assurer le respect des exigences de la présente loi, notamment en ce qui concerne leurs rôles respectifs, leurs relations vis-à-vis de la personne concernée, l’exercice des droits de la personne concernée, ainsi que leurs obligations respectives quant à la communication des informations visées à l’article 21 ci-dessus.

(3) Nonobstant les termes de la convention visée à l’alinéa 2 ci-dessus, la personne concernée exerce les droits que lui confère la présente loi à l’égard des responsables du traitement.

(1) Le transfert de données à caractère personnel vers un Etat étranger, ou à une organisation internationale, est subordonné à l’obtention d’une autorisation préalable délivrée par l’Autorité de protection des données à caractère personnel dans les conditions permettant de garantir l’exercice des droits de la personne concernée.

(2) A l’occasion de la délivrance de ladite autorisation, l’Autorité de protection des données à caractère personnel doit préalablement s’assurer :

• que le pays de destination des données à caractère personnel offre un niveau de protection suffisant ;
• de l’entrée en vigueur préalable d’un instrument juridique signé avec le pays de destination des données à caractère personnel transférées, en liaison avec les administrations et organismes compétents ;
• de l’assujettissement de l’entité sollicitant l’importation des données à caractère personnel aux règles contraignantes de sécurité en matière de protection desdites données ;
• de la souscription préalable, par les entités importatrices et exportatrices concernées, de clauses contractuelles types en matière de transfert à l’international des données à caractère personnel, édictées et publiées par l’Autorité de protection des données à caractère personnel.

(3) Les modalités de délivrance de l’autorisation prévue à l’alinéa 1 ci-dessus sont fixées par voie réglementaire.

(1) Tout type de traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques est subordonné à la réalisation préalable d’une évaluation d’impact des opérations de traitement envisagées sur la protection des données à caractère personnel.

(2) Les conditions et les modalités de la réalisation de l’évaluation d’impact visées à l’alinéa 1 ci-dessus sont fixées par voie réglementaire.

L’Autorité de protection des données à caractère personnel met en place un mécanisme de certification du traitement des données à caractère personnel conforme aux principes et exigences énoncés par la présente loi.

Les modalités du suivi et du contrôle de l’exécution des obligations du responsable du traitement et du sous-traitant sont fixées par voie réglementaire.

(1) L’interconnexion des fichiers n’est licite que lorsqu’elle est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis.

(2) Elle ne doit pas entraîner de discrimination ou de réduction des droits, libertés et garanties pour les personnes concernées et doit être assortie de mesures de sécurité appropriées tenant compte du principe de minimisation, le cas échéant des données faisant l’objet de l’interconnexion.