DR Congo - Digitale Code, Boek III betreffende de bescherming van persoonsgegevens (2023)

De bescherming van persoonsgegevens in de Democratische Republiek Congo wordt geregeld door Boek III van ordonnantiewet nr. 23/010 van 13 maart 2023 houdende de Digitale Code, dat de artikelen 183 tot 261 wijdt aan de regeling inzake persoonsgegevens en de artikelen 262 tot 270 aan de gegevensbeschermingsautoriteit. De regeling is zeer ruim van toepassing op de Staat, de provincies, de territoriale entiteiten en de publieke en private personen, op geautomatiseerde en niet-geautomatiseerde verwerkingen, alsook op verwerkingen die op het nationale grondgebied of in het buitenland worden uitgevoerd. Zij bevat de beginselen van rechtmatigheid, behoorlijkheid, transparantie, minimalisatie, juistheid, opslagbeperking en beveiliging, en erkent de rechten op inzage, rectificatie, wissing, beperking, overdraagbaarheid en klacht. Voor gewone gegevens worden slechts twee rechtsgronden aanvaard : de toestemming of de noodzaak om aan een wettelijke verplichting te voldoen.

De formaliteiten hangen af van de gegevens : een voorafgaande vergunning is vereist voor genetische, medische en biometrische gegevens, gegevens betreffende strafbare feiten, nationale identificatienummers (met inbegrip van telefoonnummers), verwerkingen van algemeen belang en elke doorgifte naar een derde land ; de overige verwerkingen vereisen een voorafgaande aangifte, behoudens beperkte vrijstellingen. Besluit nr. 039/ARPTC/CLG/2025 van 11 september 2025 stelt de procedures en de kosten vast (van 250 USD voor een aangifte tot 750 USD voor een doorgiftevergunning, vermeerderd met afgiftekosten). In afwachting van de daadwerkelijke installatie van de bij artikel 262 opgerichte onafhankelijke gegevensbeschermingsautoriteit oefent de telecomregulator ARPTC haar taken op voorlopige basis uit. De sancties omvatten boetes van 8 miljoen tot 200 miljoen CDF, oplopend tot 5 procent van de jaaromzet voor de ernstigste inbreuken.