Protection des données personnelles en Algérie : obligations et checklist pratique pour les entreprises

En bref (Réponse directe) : La Loi 18-07 sur la protection des données personnelles impose aux entreprises algériennes d'obtenir une autorisation préalable de l'ANPDP pour tout transfert vers des serveurs à l'étranger. L'adoption de logiciels locaux hors-ligne élimine ce risque juridique et garantit la conformité immédiate.

Cadre de cet article : ce guide aide dirigeants, responsables RH, financiers et informaticiens à structurer une mise en conformité opérationnelle. Il ne remplace pas la consultation d’un avocat ou d’un conseil habilité, et les modalités d’application évoluent : confirmez-les auprès de l’ANPDP.

Dans la plupart des entreprises, la perte de maîtrise ne commence pas par une cyberattaque sophistiquée. Elle commence par des habitudes de travail : des centaines de CV conservés sans limite de durée dans plusieurs boîtes mail, des photos de cartes d’identité biométriques (CNIBE) échangées sur des messageries grand public, des dossiers de salariés copiés sur des clés USB non chiffrées, ou un rapport interne collé dans une IA publique pour en tirer un résumé rapide.

Tant que l’entreprise ne sait pas quelles données elle détient, où elles sont dupliquées, qui peut les ouvrir et quels prestataires les reçoivent, une charte de confidentialité reste un exercice purement théorique.

1. Le point faible d’une PME : des fichiers qui circulent sans visibilité

Toute information permettant d’identifier une personne physique, directement ou indirectement, constitue une donnée à caractère personnel. En entreprise, cela dépasse très largement le seul fichier clients :

• Ressources humaines et recrutement : CV, diplômes, attestations de travail, numéro d'affiliation CNAS, situation familiale, relevés bancaires RIB ou RIP, grilles d’évaluation et comptes-rendus d’entretien.
• Relations commerciales et financières : coordonnées nominatives, adresses professionnelles individualisées, copies de pièces d’identité des gérants ou associés dans un dossier d’investissement.
• Sécurité et gestion des accès : historiques de pointage (badges, dispositifs biométriques), registres d'accueil des visiteurs et enregistrements de vidéosurveillance.

Pour chaque flux, l'entreprise doit documenter cinq paramètres clés : la nature des données, la finalité explicite du traitement, les personnes habilitées à y accéder, la durée de conservation prévue, et les outils ou prestataires impliqués.

2. Ce que la loi n° 25-11 de juillet 2025 change en pratique

La loi n° 25-11 du 24 juillet 2025, publiée au Journal officiel n° 48, a modifié et complété la loi fondatrice n° 18-07 du 10 juin 2018. Les entreprises doivent intégrer sept exigences pratiques :

1. Le délégué à la protection des données (articles 41 bis et 41 bis 1) : la désignation d'un délégué s'impose aux organismes publics et privés. Il conseille la direction, contrôle la conformité interne, sensibilise les collaborateurs et constitue le point de contact officiel avec l’ANPDP. La loi autorise la désignation d'un même délégué mutualisé pour plusieurs filiales d'un même groupe.
2. Le registre des activités de traitement (article 41 bis 2) : tenu sur support papier ou électronique, il consigne les coordonnées du responsable et du délégué, les finalités du traitement, les catégories de personnes et de données, les destinataires, les délais d'effacement et les mesures de sécurité.
3. Le carnet automatisé des opérations (article 41 bis 3) : pour les traitements numériques, le responsable et le sous-traitant tiennent un journal technique des opérations (collecte, consultation, chiffrement, effacement) avec date, heure et auteur de l'action.
4. Le registre des violations de données (article 43) : inventaire obligatoire recensant la nature des incidents de sécurité affectant les données personnelles, leurs conséquences et les mesures correctives adoptées.
5. L'encadrement des transferts transfrontaliers : le transfert de données vers des serveurs situés à l'étranger requiert une autorisation préalable expresse de l'ANPDP, sauf exceptions strictes prévues par la loi. C'est l'enjeu central de tout logiciel SaaS hébergé hors d'Algérie.
6. Le régime de déclaration préalable : les traitements de données doivent faire l'objet d'une déclaration formelle auprès de l'ANPDP avant leur mise en œuvre.
7. Les sanctions pénales et administratives : selon la gravité des manquements constatés, les sanctions peuvent atteindre jusqu'à cinq ans d'emprisonnement et 500 000 DA d'amende.

Chaque logiciel hébergé à l’étranger ajoute un transfert international à faire autoriser et un sous-traitant à encadrer contractuellement.

3. Cas concret : remettre de l’ordre dans le flux de recrutement

Prenons le cas d'une PME qui reçoit 200 candidatures à la suite d'un avis de recrutement :

Le flux à risque non maîtrisé : les CV arrivent sur une adresse email générique, sont transférés sans contrôle à plusieurs chefs de service, enregistrés sur des postes personnels, puis oubliés indéfiniment sur des disques durs non sécurisés.

Le flux sécurisé et conforme : 1. Centraliser les candidatures dans un logiciel RH installé sur un poste dédié, comme Inara, au lieu de multiplier les pièces jointes par messagerie. 2. Analyser les CV à l'aide d'un modèle d'IA exécuté localement, afin qu'aucune information nominative ne quitte le réseau interne. 3. Activer le mode aveugle pour masquer temporairement les identifiants personnels lors de la présélection technique des compétences. 4. Appliquer une règle de purge automatique à la clôture de la campagne pour effacer définitivement les dossiers non retenus.

4. Modèle de fiche pour votre registre de traitement

Voici la structure type à consigner dans votre registre conformément à l'article 41 bis 2 :

5. Huit questions à poser à vos éditeurs et prestataires IT

1. Localisation physique : les données résident-elles exclusivement sur nos ordinateurs en Algérie, ou transitent-elles par des serveurs cloud situés à l'étranger ?
2. Sous-traitance dissimulée : une fonction d'analyse ou de recherche fait-elle appel à une API en ligne sans information préalable ?
3. Statut contractuel : l'éditeur dispose-t-il d'un accès distant à vos bases de données, devenant de fait un sous-traitant au sens légal ?
4. Journalisation technique : le logiciel intègre-t-il un carnet traçant qui a consulté, exporté ou supprimé un dossier ?
5. Suppression effective : un dossier supprimé dans l’interface graphique est-il réellement détruit de la base de données ?
6. Chiffrement des sauvegardes : comment les sauvegardes sont-elles protégées en cas de perte ou de vol d'un support physique ?
7. Réversibilité des données : pouvez-vous exporter l'intégralité de vos archives dans des formats ouverts standards sans frais additionnels ?
8. Environnements de test : les sessions de formation utilisent-elles des données fictives strictement isolées des fichiers de production ?

6. Plan d’action opérationnel en 10 jours ouvrés

7. L’approche architecturale LeapDz face à la loi

D’après sa politique de confidentialité, LeapDz ne collecte, n’héberge et ne fait transiter aucune donnée issue des logiciels installés chez ses clients (FinXplorer, Inara, Tajmaat AI). Il n’y a donc ni transfert international de données du fait de l’éditeur, ni serveur LeapDz à notifier comme sous-traitant externe à l’ANPDP.

Cette architecture locale allège significativement les démarches réglementaires en supprimant le besoin d'autorisations complexes de transferts transfrontaliers. Elle ne dispense toutefois pas l'entreprise de ses obligations fondamentales de responsable de traitement : déclaration, registre, sécurisation des postes et respect des durées de conservation.

Découvrez comment Inara sécurise vos recrutements locaux

Questions fréquentes

Une PME qui ne vend pas sur Internet est-elle concernée ?

Oui, sans aucune exception. Dès qu'une entreprise emploie des salariés, reçoit des CV de candidats ou gère des coordonnées de contacts commerciaux, elle effectue des traitements de données à caractère personnel et relève pleinement du champ d'application de la loi.

Retirer le nom d’un candidat suffit-il à anonymiser un CV ?

Rarement. Le numéro de téléphone, l'adresse électronique, les dates et la liste des entreprises précédentes permettent presque toujours de réidentifier la personne. En revanche, masquer temporairement les éléments nominatifs pendant l'évaluation technique des compétences (mode aveugle) est une excellente pratique pour neutraliser les biais de sélection.

Que risque une entreprise en cas de non-conformité ?

Les peines pénales prévues par la législation peuvent atteindre cinq ans d'emprisonnement et 500 000 DA d'amende, accompagnées de sanctions administratives prononcées par l'ANPDP. L'engagement d'une démarche documentée et la tenue d'un registre à jour constituent le premier gage de bonne foi de l'entreprise.

Sources officielles et analyses

• Journal officiel n° 48 du 24 juillet 2025 : loi n° 25-11 modifiant la loi n° 18-07 (PDF)
• ANPDP : Autorité Nationale de Protection des Données à Caractère Personnel
• Radio Algérie : présentation des amendements apportés à la loi
• Dans la même série : IA locale ou IA cloud pour entreprise et Recrutement avec l’IA et tri de CV