LOI CAMEROUNAISE SUR LA PROTECTION DES DONNÉES : LES LACUNES DE LA PRÉPARATION À L'APPLICATION

Le 23 décembre 2024, le Cameroun a adopté la Loi n°2024/017 relative à la protection des données à caractère personnel — devenant ainsi le 38e pays africain à se doter d'une législation globale en matière de protection de la vie privée. Le 23 juin 2026, la période de transition de dix-huit mois expire. À compter de cette date, les violations deviennent sanctionnables.

Il ne s'agissait pas d'une simple étape administrative silencieuse. C'était la reconnaissance que l'économie numérique camerounaise — construite sur des règles fragmentées et sectorielles — devait désormais fonctionner sous un cadre unifié qu'elle n'est peut-être pas encore en mesure d'appliquer.

Dix-huit mois avaient été accordés. Et des questions persistent quant à la préparation des institutions, des entreprises et de l'infrastructure réglementaire.

L'Écart Central : Une Loi Sans Son Garant

Le défi au cœur de cette transition est structurel : la Loi n°2024/017 crée une autorité de contrôle — l'Autorité de Protection des Données à caractère Personnel (APDP) — et lui confère de larges pouvoirs réglementaires. L'APDP est chargée d'enregistrer les responsables de traitement, de conduire des audits, de délivrer des autorisations pour les transferts transfrontaliers et de sanctionner les violations.

Mais à la mi-2026, le cadre opérationnel de l'APDP était encore en cours d'élaboration. Les textes réglementaires régissant les procédures de l'Autorité, les structures tarifaires et les mécanismes de recours n'avaient pas encore été pleinement publiés.

Les entreprises opérant au Cameroun étaient invitées à solliciter une autorisation préalable auprès d'une institution dont les processus administratifs n'étaient pas encore définis. Les responsables conformité à Douala et à Yaoundé ne disposaient pas d'une voie clairement balisée — ils naviguaient dans un cadre dont les textes d'application n'avaient pas encore rattrapé la loi elle-même.

Cet écart entre l'adoption d'une législation et la construction des institutions chargées de la faire respecter n'est pas propre au Cameroun. Il s'est manifesté dans chaque grand déploiement de protection des données en Afrique. Mais il est ici particulièrement significatif, parce que le 23 juin 2026 n'est pas une suggestion.

Les Obligations de Conformité : Ce que la Loi Exige Réellement

Le champ d'application de la Loi n°2024/017 est large. La donnée à caractère personnel y est définie comme incluant les noms, photographies, empreintes digitales, adresses postales et électroniques, numéros de téléphone, numéros de sécurité sociale, adresses IP et enregistrements vocaux. La loi s'applique non seulement aux résidents et aux nationaux, mais à toute personne en transit sur le territoire camerounais dont les données font l'objet d'un traitement.

Les principales obligations pour les organisations comprennent :

L'obtention d'un consentement éclairé avant toute collecte de données personnelles. La garantie de transparence sur la manière dont les données sont utilisées et conservées. La conduite d'analyses d'impact relatives à la protection des données pour les activités de traitement à haut risque. La tenue d'un registre de toutes les opérations de traitement. L'obtention de l'autorisation de l'APDP avant tout transfert de données personnelles hors des frontières du Cameroun.

Ces obligations s'inspirent étroitement du Règlement Général sur la Protection des Données européen. Le droit à la portabilité, l'obligation de mener des analyses d'impact, les conditions encadrant les transferts internationaux — l'architecture est familière à toute organisation ayant navigué dans la conformité au RGPD.

Mais le Cameroun n'est pas Bruxelles. La capacité technique, l'infrastructure juridique et la mémoire institutionnelle qui ont rendu possible la mise en œuvre du RGPD en Europe ont demandé des années à se construire. Au Cameroun, les entreprises ont disposé de dix-huit mois.

Le Terrain : Là Où l'Application Sera la Plus Difficile

L'économie numérique camerounaise est concentrée à Douala et à Yaoundé, mais le traitement des données, lui, ne l'est pas. Les opérateurs de télécommunications, les plateformes de mobile money, les institutions de microfinance et les prestataires de santé collectent des données personnelles dans les dix régions du pays, y compris dans des zones où la connaissance de la nouvelle loi demeure limitée.

Les secteurs dont l'empreinte numérique est la plus importante télécommunications, banque, santé et commerce électronique sont aussi ceux qui étaient les moins susceptibles de disposer d'une infrastructure dédiée à la protection des données avant décembre 2024. Certains opérateurs internationaux disposaient de cadres RGPD adaptables. La plupart des entreprises locales, elles, repartaient de zéro.

La loi ne fait aucune distinction dans ses obligations selon la taille des entreprises. Une multinationale et une petite fintech à Bafoussam font face aux mêmes exigences en matière de consentement, aux mêmes restrictions sur les transferts, à la même obligation d'enregistrement auprès de l'APDP. Le texte est uniforme. La capacité à s'y conformer ne l'est pas.

Recherche et Investissement : Les Priorités qui ont Façonné ce Moment

La Loi n°2024/017 n'est pas née de nulle part. Le Cameroun était conscient depuis plusieurs années de la nécessité d'une législation globale sur la protection des données. La Convention de Malabo — le cadre de protection des données de l'Union Africaine — existait depuis 2014. Des pairs régionaux comme le Sénégal, le Ghana et le Kenya avaient déjà adopté leur propre législation. Le consensus politique était clair.

Pourtant, la loi camerounaise n'a été adoptée qu'en décembre 2024. L'APDP n'était en cours de constitution qu'à l'approche de l'échéance de conformité. Les textes d'application étaient encore en cours de rédaction.

Cela reflétait la réalité de priorités législatives sous tension. Lorsque la Loi n°2024/017 a finalement été adoptée, les institutions censées lui donner sa force ont commencé à se structurer. Mais elles ont démarré après que la loi avait déjà déclenché un compte à rebours.

23 Juin 2026 : L'État des Lieux

Aucune institution ne dispose d'une vue d'ensemble complète sur le nombre d'entreprises camerounaises ayant atteint la conformité. L'APDP ne dispose pas encore d'une visibilité totale sur le paysage qu'elle est censée réguler. Des entreprises qui se sont enregistrées et ont mis à jour leurs pratiques coexistent avec d'autres qui ne l'ont pas fait.

Dans les cabinets d'avocats spécialisés en protection des données à Douala, les semaines précédant l'échéance de conformité ont suivi un schéma familier : des clients arrivant tardivement, des demandes d'évaluations rapides, des questions sur les secteurs que l'APDP ciblerait en priorité dans ses premières actions d'application.

La loi était claire. Les sanctions étaient réelles — responsabilité pénale, amendes et restrictions opérationnelles pour les violations les plus graves. Le cadre existait.

Ce qui demeurait incertain, c'était le rythme et la priorité de l'application. Quels secteurs feraient l'objet d'un examen en premier. Si l'APDP privilégierait la sensibilisation et l'accompagnement à la conformité ou passerait directement aux sanctions. Comment elle gérerait l'inévitable arriéré de demandes d'autorisation pour les transferts transfrontaliers de données.

Les données des citoyens camerounais étaient désormais légalement protégées. La question de savoir si les institutions construites pour faire respecter cette protection se déploieraient à la vitesse qu'exigeait la loi était une question à laquelle le 23 juin n'avait pas encore répondu.

L'échéance, pour sa part, suivait son propre calendrier.