Algérie : loi n° 18-07 relative à la protection des données à caractère personnel (modifiée par la loi n° 25-11, 2025)

La loi n° 18-07 du 10 juin 2018 protège les personnes physiques dans le traitement des données à caractère personnel et s'applique à toute entité publique ou privée qui reçoit, conserve ou traite des données à caractère personnel, sous forme numérique ou non. Son autorité de contrôle, l'ANPDP, est devenue opérationnelle en août 2023 et a annoncé ses premières inspections sur le terrain d'entreprises du secteur privé le 28 février 2024. Le traitement requiert en principe le consentement exprès de la personne concernée, sous réserve des exemptions énumérées (obligation légale, contrat, intérêts vitaux, intérêt public, intérêt légitime). Les transferts internationaux requièrent l'autorisation de l'ANPDP et un niveau de protection adéquat dans l'État de destination ; les transferts susceptibles de porter atteinte à la sécurité publique ou aux intérêts vitaux de l'État sont interdits.

La loi n° 25-11 du 24 juillet 2025 a modifié et complété le cadre, en le rapprochant davantage du RGPD. La modification a modernisé des définitions clés (données biométriques, profilage, pseudonymisation, violation de données), instauré des registres des activités de traitement obligatoires pour les responsables du traitement et les sous-traitants, y compris des journaux automatisés des opérations, imposé des analyses d'impact relatives à la protection des données avant tout traitement à haut risque et doté l'ANPDP d'antennes régionales dédiées aux inspections et aux audits sur l'ensemble du territoire national. Les violations de données survenant sur les réseaux de communications électroniques doivent être notifiées à l'ANPDP et à la personne concernée dans un délai maximal de cinq jours. Le non-respect est passible d'amendes de 20 000 à 1 000 000 DZD et d'une peine d'emprisonnement de deux mois à cinq ans, outre les mesures administratives de l'ANPDP pouvant aller jusqu'au retrait définitif de l'autorisation.