Loi 18-07 en Algérie : obligations ANPDP et mise en conformité des entreprises
La loi 18-07 en Algérie encadre le traitement des données à caractère personnel par les organismes publics et privés. Depuis le 24 juillet 2025, elle doit être lue avec la loi 25-11, qui l’a modifiée et complétée. Pour une entreprise, la conformité ne se limite donc plus à publier une politique de confidentialité : il faut identifier les traitements, choisir leur fondement juridique, accomplir les formalités requises auprès de l’ANPDP, informer les personnes, organiser l’exercice de leurs droits, encadrer les sous-traitants, sécuriser les données, contrôler les transferts à l’étranger et, depuis la réforme de 2025, mettre en place un délégué à la protection des données ainsi que les registres prévus par le texte.
Checklist immédiate pour une entreprise
- Recensez chaque traitement : clients, prospects, salariés, candidats, fournisseurs, vidéosurveillance, site web, application, CRM, paie, etc.
- Vérifiez si le traitement relève d’une déclaration préalable ou d’une autorisation auprès de l’ANPDP.
- Documentez le fondement juridique et les finalités de chaque traitement.
- Désignez un DPO et communiquez ses coordonnées à l’ANPDP conformément au texte modifié.
- Tenez le registre des activités de traitement et le carnet automatisé des opérations prévus par la loi 25-11.
- Mettez à jour les notices d’information, contrats de sous-traitance, règles de sécurité et procédures d’exercice des droits.
- Cartographiez les outils cloud et SaaS qui peuvent entraîner un transfert de données hors d’Algérie.
Loi 18-07 en Algérie : que protège-t-elle exactement ?
La loi n° 18-07 du 10 juin 2018 a pour objet de protéger les personnes physiques lors du traitement de leurs données à caractère personnel. Une donnée personnelle est une information qui permet d’identifier directement ou indirectement une personne physique. L’ANPDP reprend cette définition dans ses propres notices d’information.
Le texte vise le traitement automatisé de tout ou partie de données personnelles, mais aussi certains traitements non automatisés contenus ou appelés à figurer dans des fichiers manuels. Il s’applique aux organismes publics comme aux personnes privées lorsque les conditions territoriales prévues par la loi sont réunies.
En pratique, une PME peut être concernée dès qu’elle utilise :
- un fichier clients ou prospects ;
- un CRM ;
- un logiciel de paie ou de gestion RH ;
- des formulaires de recrutement ;
- un site ou une application collectant des identifiants ;
- une base de fournisseurs contenant des contacts nominatifs ;
- un système de contrôle d’accès ou de vidéosurveillance ;
- des données de santé, biométriques ou autres données sensibles ;
- des services cloud contenant des données relatives à des personnes physiques.
La page cybersécurité des entreprises en Algérie traite surtout des risques techniques, des attaques et des mesures de défense. Ici, le sujet est différent : il s’agit du cadre juridique de protection des données personnelles et des formalités à organiser autour des traitements.
Loi 25-11 : ce qui a changé depuis juillet 2025
Le Journal officiel n° 48 du 24 juillet 2025 publie la loi n° 25-11 modifiant et complétant la loi 18-07. Cette réforme n’a pas remplacé la loi de 2018 : elle y ajoute ou modifie plusieurs dispositions.
Pour les entreprises ordinaires, les ajouts les plus opérationnels sont ceux intégrés au titre V sur les obligations du responsable de traitement.
| Nouveauté 2025 | Ce que prévoit le texte | Conséquence pratique |
|---|---|---|
| DPO | Le responsable du traitement désigne un délégué à la protection des données personnelles. | Formaliser la désignation, les missions et les coordonnées du délégué. |
| Registre | Le responsable tient un registre des activités de traitement ; le sous-traitant tient aussi son registre. | Cartographier traitements, finalités, base juridique, catégories, destinataires et sécurité. |
| Carnet automatisé | Responsable et sous-traitant tiennent un carnet automatisé des opérations effectuées sur les données. | Prévoir une journalisation permettant la traçabilité des opérations prévues par le texte. |
| Nouvelles définitions | La loi ajoute notamment données biométriques, profilage, pseudonymisation, violation de données et autorité compétente. | Mettre à jour la cartographie et le vocabulaire de conformité. |
La loi 25-11 contient aussi un titre V bis portant sur des traitements spécifiques liés à la prévention et à la détection des infractions, aux investigations, poursuites et exécution des peines. Il faut éviter de généraliser automatiquement à toutes les entreprises privées les obligations particulières insérées dans ce titre.
Qui est concerné par la loi 18-07 ?
Le texte s’applique aux traitements réalisés par des organismes publics ou des personnes privées. Pour les entreprises, le critère essentiel n’est donc pas la taille, le chiffre d’affaires ou le nombre de salariés : c’est l’existence d’un traitement de données à caractère personnel entrant dans le champ de la loi.
Une petite agence qui conserve les CV de candidats, une société SaaS qui héberge des comptes utilisateurs, un cabinet qui détient des dossiers clients, un site e-commerce qui conserve les coordonnées de livraison ou une entreprise industrielle qui gère des badges nominatifs peuvent tous être concernés.
La loi prévoit toutefois des exclusions et régimes particuliers. Par exemple, les traitements réalisés par une personne physique dans le cadre exclusivement personnel ou domestique sont exclus sous les conditions prévues par le texte. Les données relatives à la défense et à la sécurité nationales relèvent aussi d’un régime spécifique après la réforme de 2025.
Déclaration ou autorisation ANPDP : quelle formalité accomplir ?
L’article 12 de la loi 18-07 pose le principe suivant : toute opération de traitement de données à caractère personnel est soumise à une déclaration préalable auprès de l’ANPDP ou à son autorisation selon les cas prévus par la loi.
La déclaration peut être effectuée par voie électronique. L’article 13 prévoit qu’un récépissé est remis ou transmis immédiatement ou, au plus tard, dans les quarante-huit heures. Le responsable peut mettre le traitement en œuvre sous sa responsabilité dès réception de ce récépissé.
L’ANPDP met aujourd’hui à disposition un portail spécifique permettant de créer un compte et de déposer les déclarations et demandes d’autorisation.
Arbre de décision simplifié
1. Votre entreprise traite-t-elle des données concernant des personnes physiques ? Si non, la loi 18-07 n’est pas déclenchée par ce traitement.
2. Si oui, le traitement bénéficie-t-il d’une dispense prévue par la loi ou par un cadre spécifique ? Vérifiez avant de conclure.
3. Si aucune dispense ne s’applique, préparez la déclaration préalable.
4. Si l’ANPDP estime que le traitement présente des dangers manifestes pour la vie privée et les droits fondamentaux, ou si la nature du traitement relève d’un régime d’autorisation, il faut traiter la procédure comme telle.
L’article 17 autorise l’ANPDP, après examen d’une déclaration, à soumettre à autorisation préalable un traitement présentant des dangers manifestes pour la vie privée et les libertés et droits fondamentaux. L’article 18 prévoit par ailleurs un régime strict pour les données sensibles, avec des exceptions et conditions précises.
Ne déposez donc pas toutes vos activités sous une description vague du type « gestion informatique ». Un bon dossier doit distinguer les finalités : gestion des salariés, recrutement, prospection, gestion clients, vidéosurveillance, contrôle d’accès, support technique, etc.
Consentement, contrat ou obligation légale : sur quelle base traiter les données ?
L’article 7 prévoit comme principe le consentement exprès de la personne concernée, avec possibilité de rétractation. Mais le même article prévoit plusieurs situations dans lesquelles le consentement n’est pas requis, notamment lorsque le traitement est nécessaire au respect d’une obligation légale, à l’exécution d’un contrat ou de mesures précontractuelles, à une mission d’intérêt public ou encore, sous conditions, à un intérêt légitime.
Il est donc risqué de demander un consentement pour tout. Une entreprise doit plutôt documenter le fondement juridique réellement applicable à chaque traitement.
Exemples :
- Paie : les traitements nécessaires aux obligations employeur ne se résument pas à un consentement du salarié.
- Exécution d’une commande : l’adresse de livraison peut être nécessaire à l’exécution du contrat.
- Prospection : les règles de l’article 37 sur la prospection directe doivent être examinées en plus du fondement général.
- Données sensibles : elles sont soumises à un régime plus strict qui ne doit pas être assimilé à une collecte ordinaire.
Si votre entreprise utilise un CRM ou un ERP pour centraliser ces informations, le choix du logiciel ne transfère pas la responsabilité juridique au fournisseur. Notre dossier sur les logiciels de gestion d’entreprise en Algérie permet d’identifier les fonctions techniques, mais la conformité doit être organisée séparément.
Quels droits faut-il garantir aux personnes ?
Le titre IV de la loi 18-07 organise plusieurs droits importants.
Droit à l’information
Avant la collecte, la personne doit être informée de manière expresse et non équivoque de l’identité du responsable du traitement, des finalités et d’autres informations utiles, notamment les destinataires, ses droits et l’éventuel transfert des données à l’étranger.
Droit d’accès
La personne peut obtenir la confirmation que ses données sont ou non traitées, connaître les finalités, catégories de données et destinataires, et recevoir les données concernées sous une forme intelligible.
Droit de rectification
L’article 35 permet notamment de demander l’actualisation, la rectification, l’effacement ou le verrouillage de données traitées en violation de la loi. Le texte prévoit un délai de dix jours pour procéder aux rectifications nécessaires à compter de la saisine.
Droit d’opposition et prospection
L’article 36 reconnaît un droit d’opposition pour des motifs légitimes dans les conditions prévues. Il vise aussi l’utilisation des données à des fins de prospection, notamment commerciale. L’article 37 encadre spécifiquement la prospection directe par automates d’appel, télécopieurs, courriers électroniques ou technologies analogues.
Une entreprise doit donc disposer d’une procédure interne : adresse ou formulaire de contact, personne responsable, vérification de l’identité lorsque nécessaire, délai de traitement et traçabilité de la réponse.
DPO, registre des traitements et carnet automatisé : les obligations ajoutées en 2025
La loi 25-11 a ajouté les articles 41 bis à 41 bis 3 dans le titre V.
Désigner un délégué à la protection des données
L’article 41 bis prévoit que le responsable du traitement désigne un délégué à la protection des données à caractère personnel, choisi notamment pour ses connaissances spécialisées du droit et des pratiques de protection des données. Le texte permet qu’un même délégué soit désigné auprès de plusieurs responsables de traitement compte tenu de leur structure organisationnelle et de leur taille.
Les coordonnées permettant de contacter le DPO doivent être communiquées à l’ANPDP. Parmi ses missions figurent l’information et le conseil du responsable et des personnels, le contrôle du respect de la loi et des procédures internes, la sensibilisation et la formation, ainsi que le conseil sur l’analyse d’impact lorsqu’elle est requise par les dispositions applicables.
L’ANPDP publie d’ailleurs parmi ses modèles un document de décision de désignation d’un DPO, ce qui facilite la formalisation interne.
Tenir un registre des activités de traitement
L’article 41 bis 2 impose au responsable un registre comprenant notamment :
- identité et coordonnées du responsable et de son DPO ;
- finalités et fondement juridique ;
- catégories de destinataires ;
- catégories de personnes et de données concernées ;
- dans la mesure du possible, délais d’effacement ;
- description générale des mesures techniques et organisationnelles de sécurité.
Le sous-traitant doit également tenir son propre registre pour les traitements qu’il effectue pour le compte du responsable. Ces registres peuvent être papier ou électroniques et doivent être mis à la disposition de l’ANPDP sur demande.
Mettre en place un carnet automatisé des opérations
L’article 41 bis 3 prévoit un carnet automatisé pour le responsable et le sous-traitant, couvrant au minimum différentes opérations sur les données : collecte, inscription, organisation, conservation, modification, consultation, utilisation, communication, interconnexion, verrouillage, chiffrement, effacement ou destruction.
Pour une direction informatique, cela signifie qu’une simple feuille Excel listant les traitements n’est pas la même chose que la journalisation opérationnelle prévue par ce carnet.
Sous-traitants, SaaS et sécurité : quelles responsabilités restent à l’entreprise ?
L’article 38 impose au responsable de mettre en œuvre des mesures techniques et organisationnelles appropriées contre notamment la destruction, la perte, l’altération, la diffusion ou l’accès non autorisé. Le niveau de sécurité doit être approprié aux risques du traitement et à la nature des données.
L’article 39 ajoute que lorsque le traitement est confié à un sous-traitant, le responsable doit choisir un prestataire offrant des garanties suffisantes de sécurité. La sous-traitance doit être encadrée par un contrat ou un acte juridique, qui prévoit notamment que le sous-traitant agit sur instruction du responsable et respecte les obligations de sécurité applicables.
Avant d’utiliser un SaaS, un hébergeur, une solution de paie ou un CRM, vérifiez donc :
- où les données sont hébergées ;
- quels sous-traitants ultérieurs interviennent ;
- qui peut accéder aux données ;
- comment sont gérés sauvegardes et chiffrement ;
- comment le fournisseur vous assiste pour les droits des personnes ;
- comment les données sont restituées ou supprimées à la fin du contrat ;
- si le service implique un transfert hors d’Algérie.
Pour la partie assurance du risque informatique, notre guide sur l’assurance cyber en Algérie traite des garanties assurantielles ; elle ne remplace évidemment pas les mesures de conformité et de sécurité exigées par la loi.
Peut-on transférer des données personnelles à l’étranger ?
L’article 44 pose comme règle de base que le responsable d’un traitement ne peut transférer des données à caractère personnel vers un État étranger que sur autorisation de l’ANPDP et si cet État assure un niveau de protection suffisant des droits et libertés, sous réserve des dispositions de la loi.
L’article 45 prévoit toutefois des dérogations dans plusieurs situations déterminées, notamment selon le consentement exprès, certains intérêts vitaux, obligations ou contrats, accords internationaux ou autres cas prévus par le texte. Il faut donc examiner le cas concret au lieu de résumer le régime par « transferts interdits » ou « transferts toujours libres avec consentement ».
Pour une entreprise, un transfert peut apparaître sans export manuel de fichier : hébergement cloud dans un autre pays, support technique depuis l’étranger, sauvegarde externalisée, CRM international ou plateforme marketing peuvent conduire à une communication ou un stockage transfrontalier.
Cartographiez donc le pays d’hébergement et les destinataires avant de choisir votre architecture. Si vous devez évaluer des options d’hébergement, notre comparatif des VPS et serveurs cloud en Algérie permet de distinguer infrastructure locale et offres hébergées ailleurs.
Violation de données : attention à ne pas généraliser le délai de 5 jours
La loi 25-11 introduit une définition de la violation de données personnelles et ajoute plusieurs obligations de notification dans son nouveau titre V bis. L’article 45 bis 8 prévoit notamment une information de l’ANPDP au plus tard cinq jours après connaissance de la violation.
Mais ce délai figure dans le titre V bis consacré aux traitements à des fins de prévention et de détection des infractions, d’investigations, d’enquêtes, de poursuites pénales, d’exécution et d’application des peines. Il ne faut donc pas le présenter, sans autre fondement, comme un délai général applicable à toutes les entreprises privées.
Pour le régime général, l’article 43 de la loi 18-07 contient déjà des obligations particulières pour les fournisseurs de services lorsque le traitement sur des réseaux de communications électroniques ouverts au public entraîne une destruction, perte, altération, divulgation ou accès non autorisé : le fournisseur avertit sans délai l’ANPDP et, dans les conditions prévues, la personne concernée.
Réflexe opérationnel : quelle que soit votre catégorie, préparez une procédure interne d’incident permettant d’identifier rapidement les données touchées, les personnes concernées, le prestataire impliqué, les mesures prises et la disposition légale applicable. Pour un incident réel, vérifiez immédiatement le régime précis auprès du texte en vigueur et, si nécessaire, de l’ANPDP ou d’un conseil juridique.
Plan de mise en conformité ANPDP en 30 jours
Une entreprise qui part de zéro peut structurer le chantier en quatre semaines. Ce calendrier n’est pas un délai légal : c’est une méthode pratique de mise en ordre interne.
Jours 1 à 7 : cartographier
- listez les services qui utilisent des données personnelles ;
- recensez logiciels, fichiers, formulaires, caméras, badges et applications ;
- identifiez catégories de personnes et données ;
- notez les finalités, fondements juridiques et durées de conservation ;
- identifiez les transferts et sous-traitants.
Jours 8 à 14 : formaliser
- désignez le DPO ;
- créez le registre des activités ;
- préparez le carnet automatisé avec l’équipe IT ;
- rédigez ou corrigez les notices d’information ;
- mettez à jour les clauses de sous-traitance et confidentialité.
Jours 15 à 21 : régulariser les formalités
- créez ou vérifiez votre compte sur le portail ANPDP ;
- préparez les déclarations traitement par traitement ;
- identifiez les dossiers nécessitant une autorisation ou une analyse supplémentaire ;
- documentez les transferts internationaux.
Jours 22 à 30 : tester
- simulez une demande d’accès et une rectification ;
- testez la suppression ou restitution de données chez un sous-traitant ;
- simulez un incident de sécurité ;
- vérifiez les journaux d’accès et la traçabilité ;
- formez les équipes RH, commerciales, IT et support selon leurs risques.
L’ANPDP met à disposition plusieurs modèles indicatifs : procédure de conformité, engagement de confidentialité, notice d’information, charte de sécurité IT, modèle de clause ou convention avec un sous-traitant, politique de protection des données et modèle de décision de désignation du DPO.
Quelles sanctions en cas de non-conformité ?
La loi 18-07 prévoit des mesures et sanctions administratives ainsi que des infractions pénales. L’ANPDP dispose notamment de pouvoirs de contrôle et peut, selon les cas prévus par le texte, ordonner des mesures sur les traitements. L’article 47 prévoit une amende administrative de 500 000 DA pour certains manquements précisément énumérés, notamment le refus sans motif légitime de certains droits et certains défauts de notification prévus par la loi.
Il ne faut pas transformer ce chiffre en « amende maximale de la loi 18-07 » : d’autres dispositions prévoient d’autres conséquences et sanctions selon la violation. Pour un dossier contentieux ou un contrôle, consultez le texte consolidé applicable et un professionnel du droit.
FAQ sur la loi 18-07 et l’ANPDP
La loi 18-07 est-elle toujours en vigueur en 2026 ?
Oui, mais elle doit être lue dans sa version modifiée et complétée, notamment par la loi n° 25-11 du 24 juillet 2025.
Faut-il déclarer un traitement de données à l’ANPDP ?
L’article 12 pose le principe d’une déclaration préalable ou d’une autorisation selon le régime applicable. Vérifiez les éventuelles dispenses et la nature exacte du traitement avant de déposer.
Une PME doit-elle avoir un DPO en Algérie ?
La loi 25-11 a ajouté l’article 41 bis, qui prévoit la désignation d’un délégué par le responsable du traitement. Le texte permet qu’un même DPO soit désigné auprès de plusieurs responsables selon leur organisation et leur taille.
Que doit contenir le registre des traitements ?
Il doit notamment documenter le responsable et son DPO, les finalités et fondements juridiques, les catégories de destinataires, les personnes et données concernées, les délais d’effacement lorsque possible et une description générale des mesures de sécurité.
Peut-on héberger des données personnelles à l’étranger ?
Le transfert international est encadré par les articles 44 et 45. L’article 44 pose une règle d’autorisation et de niveau de protection suffisant, tandis que l’article 45 prévoit plusieurs dérogations. Analysez le pays, le destinataire et le fondement du transfert.
Le consentement est-il toujours obligatoire ?
Non. Le consentement exprès est le principe de l’article 7, mais le même article prévoit plusieurs situations où il n’est pas exigé, par exemple certaines obligations légales ou l’exécution d’un contrat.
Une violation de données doit-elle toujours être déclarée sous cinq jours ?
Ne généralisez pas ce délai. Le délai de cinq jours de l’article 45 bis 8 est placé dans le titre V bis relatif aux traitements à des fins de prévention et détection des infractions, enquêtes et poursuites. D’autres règles existent selon la catégorie de traitement, notamment l’article 43 pour certains fournisseurs de services.
Où déposer les formalités ANPDP ?
L’ANPDP met à disposition un portail en ligne pour les responsables de traitement afin de créer un compte, déclarer leurs traitements et déposer les demandes d’autorisation.
Lire aussi
- Certification AWS en Algérie : parcours et coûts
- Formation cybersécurité en Algérie : cursus et débouchés
- Logiciel de caisse en Algérie : POS, stock et données commerciales
- Odoo en Algérie : prix, intégrateurs et coût réel
- Assurance entreprise en Algérie : garanties et risques professionnels
Sources officielles consultées
- Journal officiel n° 34 du 10 juin 2018 — loi n° 18-07
- Journal officiel n° 48 du 24 juillet 2025 — loi n° 25-11
- ANPDP — site officiel, conformité, modèles et services
- ANPDP — portail des responsables de traitement
- ANPDP — modèles de documents de conformité
- ANPDP — notice d’information et définitions
Article vérifié sur les textes et ressources officielles disponibles en août 2026. Il s’agit d’un guide d’information générale, pas d’un avis juridique individualisé. Pour un traitement sensible, un transfert international, un incident de sécurité, un contrôle ou un contentieux, vérifiez le texte consolidé applicable et sollicitez l’ANPDP ou un professionnel compétent.
