Données personnelles au Cameroun (Loi n° 2024/017) : 4 mois après l'échéance légale, où en sont les entreprises ?

Depuis le 23 juin 2026, protéger les données personnelles n'est plus une simple bonne pratique managériale ou un standard réservé aux filiales de multinationales : c'est une obligation légale stricte et opposable au Cameroun.

Promulguée le 23 décembre 2024, la Loi n° 2024/017 avait consenti une période transitoire de dix-huit (18) mois pour permettre aux administrations publiques, grandes entreprises, PME et startups de réorganiser leurs processus de traitement. Ce délai est aujourd'hui révolu.

Quatre mois après cette échéance fatidique, le constat de terrain reste alarmant : une proportion écrasante d'acteurs économiques n'a pas amorcé son chantier de conformité, s'imaginant à tort que le texte ne cible que les géants du numérique ou les banques. Or, la loi repose sur cinq principes cardinaux simples à énoncer, mais redoutablement exigeants à appliquer :

• Le consentement explicite, libre et éclairé : Fini le recueil tacite ou les cases pré-cochées. Toute collecte de données sur un citoyen camerounais requiert la preuve formelle et vérifiable de son accord préalable pour une finalité spécifique.
• La minimisation stricte et la finalité déterminée : Interdiction de collecter des données 'au cas où'. L'organisation ne peut exiger que les seules informations strictement indispensables à l'exécution de la prestation demandée.
• L'obligation de sécurité technique et organisationnelle : Le responsable de traitement doit mettre en œuvre un niveau de sécurité proportionné à la sensibilité des données (chiffrement, gestion stricte des identités et des accès, politique de mots de passe, sauvegardes étanches).
• La co-responsabilité étendue aux sous-traitants : L'entreprise reste pleinement responsable des négligences de ses prestataires tiers (hébergeurs cloud, cabinets comptables, prestataires paie, agences de marketing digital, sociétés de gardiennage).
• Le contrôle par l'Autorité de protection des données : Dotée de pouvoirs d'instruction, de vérification sur place et de sanctions administratives et financières substantielles, l'Autorité dispose désormais de prérogatives coercitives immédiates.

L'erreur la plus fréquente dans les comités de direction camerounais consiste à déléguer l'intégralité du sujet au Responsable Informatique ou à la DSI avec une injonction sommaire : 'Mettez-nous en conformité'.

C'est méconnaître la réalité même des flux informationnels modernes. La donnée personnelle vit, circule et fuit principalement en dehors de la salle des serveurs :

Pour un Directeur Général, un DRH ou un Directeur Financier, l'enjeu relève donc de la responsabilité civile et pénale de l'organe de gestion, et non d'une simple mise à jour logicielle.

Pour mesurer le niveau d'exposition réel de votre organisation, il n'est pas nécessaire de commander un audit de six mois. Posez ces cinq questions précises lors de votre prochain comité de direction ou conseil d'administration :

L'un des apports majeurs de la loi camerounaise n° 2024/017 réside dans la clarification impitoyable de la responsabilité conjointe du responsable de traitement et de ses sous-traitants.

Dans la pratique des affaires en zone CEMAC, de nombreuses PME et institutions font appel à des prestataires externes pour administrer leur parc, développer leurs applications mobiles ou gérer leur comptabilité, le tout régi par des contrats d'une page datant de 2018, dépourvus de toute mention relative à la sécurité des données.

Désormais, confier vos bases clients ou salariales à un tiers non vérifié engage directement votre responsabilité juridique :

• L'obligation d'un avenant de conformité : Tout contrat de prestation impliquant le traitement de données doit stipuler que le sous-traitant n'agit que sur instruction documentée de l'entreprise.
• L'obligation de notification d'incident sous délai contraint : Si l'hébergeur ou le développeur subit un piratage, il doit en avertir formellement le responsable de traitement dans les plus brefs délais afin de permettre la notification légale à l'Autorité.
• Le droit de regard et d'audit : L'entreprise doit conserver la possibilité de vérifier périodiquement les mesures d'isolation logique et de chiffrement mises en place par le sous-traitant.

Face à une réglementation perçue comme dense et contraignante, la tentation est souvent l'immobilisme. Pourtant, une démarche d'ingénierie et de gouvernance méthodique permet de neutraliser 80% des risques juridiques et techniques en trois mois :

En abordant la loi n° 2024/017 non pas comme un fardeau bureaucratique mais comme un projet d'organisation structurant, l'entreprise assainit son patrimoine de données, optimise ses coûts de stockage et gagne un avantage compétitif déterminant auprès des partenaires internationaux les plus exigeants.