Algeria AgencyConseil & support IT
Conformité données personnelles
Ce que vous détenez sur vos clients, où c’est écrit, qui peut le lire, et ce qui part à l’étranger sans que personne l’ait décidé.
La loi 18-07 du 10 juin 2018 protège les données personnelles en Algérie depuis huit ans. Ce qui a changé, c’est la loi 25-11 du 24 juillet 2025, qui la modifie et la complète : elle transforme des principes en documents à produire. Un registre des traitements, un carnet retraçant les accès, un délégué désigné, une notification en cinq jours quand quelque chose fuit.
La conséquence pratique est moins spectaculaire qu’elle en a l’air, et plus exigeante. Personne ne vous demandera si vous protégez bien les données de vos clients : on vous demandera de le montrer, par écrit, dans un format précis. Une entreprise sérieuse qui n’a rien écrit et une entreprise négligente se ressemblent beaucoup sur pièces.
Notre travail commence par un inventaire, pas par un texte de loi. Où sont les noms, les numéros de téléphone, les adresses, les dossiers médicaux, les relevés bancaires — dans quel logiciel, sur quel poste, dans quelle boîte mail, chez quel prestataire. La plupart des entreprises que nous auditons découvrent au moins un endroit auquel personne ne pensait.
Nous vous dirons aussi, souvent, que la mise en conformité n’est pas un projet informatique. Beaucoup de ce que la loi demande se règle en supprimant des données qu’on n’aurait jamais dû garder, et cela ne s’achète pas : cela se décide. Nous commençons par le dire, et ce n’est pas la réponse la plus rentable pour nous.
Ce que nous voyons le plus souvent
- On vous a demandé votre registre des traitements lors d’un appel d’offres, et vous ne saviez pas ce que c’était.
- Vos données clients passent par un outil en ligne hébergé ailleurs, et personne n’a jamais regardé où.
- Un ancien employé a encore accès à la boîte mail commerciale, et vous n’en êtes pas certain.
- Vous voulez brancher une intelligence artificielle sur vos échanges clients et vous ne savez pas si vous en avez le droit.
Ce qui change
Un registre qui décrit votre entreprise
Vos traitements réels, pas un modèle rempli au hasard : finalités, catégories de données, destinataires, durées de conservation, mesures de sécurité, et ce qui sort du territoire.
La carte de ce qui part à l’étranger
Chaque outil qui envoie des données hors d’Algérie, nommé, avec ce qu’il reçoit exactement. C’est la ligne que presque personne n’a écrite et la première qu’un contrôle demande.
Une procédure de violation qui tient en une page
Qui appelle qui, dans quel ordre, avec quel texte. Le délai de notification à l’autorité se compte en jours, ce qui exclut d’inventer la procédure le jour où elle sert.
Ce que vous obtenez
Inventaire des données détenues
Logiciels, tableurs, boîtes mail, dossiers papier, prestataires. Nous cherchons là où on ne pense pas : les exports, les sauvegardes, les groupes de messagerie.
Rédaction du registre des traitements
Les premières lignes écrites avec vos équipes, dans votre vocabulaire, puis le reste par vous — un registre tenu par un prestataire est un registre que personne ne relit.
Cartographie des transferts hors du territoire
Chaque flux sortant identifié et documenté, y compris ceux que produisent des outils que vous n’avez pas achetés en pensant à des données.
Revue des accès et du carnet
Qui peut lire quoi, depuis quand, et ce que vos outils savent enregistrer de ces accès. La traçabilité est demandée ; elle est rarement activée.
Analyse d’impact avant un projet sensible
Avant de brancher un assistant, un outil de recrutement ou une caméra sur des données personnelles. Elle se fait avant la mise en service, ce qui est tout l’intérêt.
Clauses fournisseurs et sous-traitance
Ce que votre prestataire doit s’engager à faire par écrit, relu contrat par contrat. La responsabilité reste la vôtre même quand la faute est la sienne.
Est-ce le bon choix pour vous ?
C’est pour vous si
- Vous détenez des données de clients, de patients, d’élèves ou de candidats.
- Vous utilisez des outils en ligne dont vous ne savez pas où ils hébergent.
- Vous démarrez un projet — assistant, CRM, application — qui va toucher ces données.
Ce n’est pas pour vous si
- Vous cherchez une attestation de conformité. Cela n’existe pas, et personne ne peut vous en délivrer une.
- Vous voulez un registre rempli sans que vos équipes soient dérangées. Un registre écrit sans elles décrit une entreprise imaginaire.
- Vous n’avez pas l’intention de supprimer quoi que ce soit. La plupart des corrections utiles commencent par une suppression.
Nos engagements
Le registre vous appartient et reste lisible sans nous
Un tableur ou un document, dans votre langue de travail, que n’importe quel prestataire ou juriste peut reprendre — y compris un concurrent.
Nous ne sommes pas votre délégué
Le rôle demande une indépendance vis-à-vis de celui qui a construit le système. Nous formons la personne que vous désignez ; nous ne prenons pas sa place.
Aucun conseil juridique déguisé
Nous décrivons ce que le texte demande et nous vous disons quand la question dépasse notre métier. Un arbitrage sur un cas limite est le travail d’un avocat.
Ce que la conformité rencontre ici
L’autorité de contrôle est l’ANPDP, et la loi 25-11 du 24 juillet 2025 lui a ajouté des pôles régionaux d’audit — l’instruction se rapproche donc géographiquement des entreprises contrôlées. Ses déclarations et demandes d’autorisation passent par son portail en ligne, ce qui rend la démarche traçable des deux côtés.
Le transfert de données hors du territoire est le point où presque tous les projets butent. Il est soumis à une autorisation préalable, et la loi 25-11 exige en plus une évaluation du niveau de protection du pays destinataire. Un outil en ligne étranger branché sur un fichier client est un transfert, même quand personne n’a eu l’impression d’en organiser un.
Enfin, la donnée circule ici beaucoup par messagerie. Des listes de clients dans un groupe WhatsApp, un export envoyé en pièce jointe à un commercial, un tableur partagé depuis un compte personnel : ce sont des traitements, ils appartiennent au registre, et ils sont invisibles pour un audit qui ne regarde que les serveurs.
Questions fréquentes
Qui est concerné par la loi 25-11 ?
Elle modifie et complète la loi 18-07 du 10 juin 2018, qui vise le traitement de données à caractère personnel, quel que soit le secteur. Le périmètre exact de certaines obligations — notamment la désignation d’un délégué — se lit dans le texte article par article, et c’est une question à poser à un juriste plutôt qu’à un prestataire informatique. Ce que nous établissons, nous, c’est la liste de vos traitements : c’est elle qui rend la question répondable.
Le registre, c’est un logiciel à acheter ?
Non. Un tableur suffit très longtemps, et c’est ce que nous laissons dans la majorité des cas. Un outil dédié devient utile quand les traitements se comptent par dizaines et changent souvent ; en dessous, il ajoute un abonnement et une compétence à maintenir pour un document de quelques pages.
Et si nos données sont chez un fournisseur étranger ?
C’est un transfert hors du territoire, soumis à autorisation préalable, et cela reste vrai quand le fournisseur est connu et sérieux. La question n’est pas la qualité du prestataire mais l’existence du flux et sa documentation. C’est aussi la raison pour laquelle nous commençons par cartographier les flux avant de discuter d’architecture.
Combien de temps prend une mise en conformité ?
L’inventaire prend quelques jours pour une petite structure et se fait pendant que vous travaillez. Ce qui prend du temps ensuite n’est pas la rédaction : c’est de décider quoi supprimer et de fermer des accès, et cela dépend de vous, pas de nous.
Est-ce qu’un contrôle est probable ?
Nous ne le savons pas et personne ne devrait vous vendre une réponse à cette question. Ce que nous observons, c’est que le registre est de plus en plus demandé hors contrôle : par des donneurs d’ordre, dans des appels d’offres, par des partenaires étrangers. C’est un motif plus concret que la crainte d’une inspection.
Pouvez-vous nous garantir la conformité ?
Non, et méfiez-vous de qui le fait. La conformité n’est pas un état qu’on atteint : c’est un ensemble de documents tenus à jour et de décisions prises. Nous pouvons vous garantir que le registre existe, qu’il décrit vos traitements réels et que vos équipes savent le mettre à jour.
Comment démarrer
Dites-nous quels logiciels contiennent des données de personnes, et lesquels sont hébergés ailleurs qu’en Algérie.
Nous convenons d’un inventaire. Vous repartez avec un registre écrit et la liste de ce qui sort du territoire, utilisable sans nous.
Ce que nous avons écrit sur ce sujet
La stratégie nationale IA, traduite pour une PME : ce qui change, et quand
Une stratégie fixe un cap ; elle n’impose rien à une entreprise. Voici son état au 6 septembre 2026, ce qui vous concerne, et ce qui vous oblige déjà par ailleurs.Ce que vous avez le droit d’envoyer à un modèle hébergé à l’étranger
Un chatbot branché sur votre messagerie exporte votre fichier client, une ligne à la fois. Personne autour de la table ne l’a décrit ainsi.Le registre des traitements, rempli sur un vrai cas
Une PME de douze personnes perd un appel d’offres sur une pièce qu’elle n’a jamais entendu nommer. Voici les six colonnes, remplies sur un assistant réel.Les pôles régionaux d’audit : ce qu’un contrôle demande, dans quel ordre
Un contrôle commence par une liste de pièces, pas par une visite. Il y en a quatre, elles sont connues, et rien n’empêche de les sortir avant.La clause que votre contrat fournisseur ne contient pas
Votre contrat décrit un service : disponibilité, support, prix. Il ne dit presque jamais ce que le fournisseur a le droit de faire de vos données.Le délégué à la protection des données, dans une entreprise de douze personnes
La question ne vient presque jamais de l’autorité. Elle vient d’un client, dans un appel d’offres, avec une case à cocher et une date.
Parlons de votre projet
Un audit gratuit, sans engagement : nous regardons votre présence en ligne et nous vous disons ce qui coince.
- Le registre vous appartient et reste lisible sans nous
- Nous ne sommes pas votre délégué
- Aucun conseil juridique déguisé