Chaque jour, les entreprises collectent des informations sur leurs clients, leurs employés, leurs fournisseurs et leurs partenaires. Un numéro de téléphone communiqué lors d'une commande, une adresse e-mail utilisée pour envoyer une facture, un CV transmis pour un recrutement ou encore les coordonnées enregistrées dans un formulaire de contact : toutes ces informations peuvent relever des données personnelles.
Ces données sont devenues indispensables au fonctionnement des entreprises. Elles permettent de gérer les commandes, suivre les clients, organiser les paiements, communiquer avec les prospects et développer une activité commerciale.
Mais leur utilisation implique aussi des responsabilités. Une entreprise qui collecte des informations doit savoir pourquoi elle le fait, comment elles sont conservées, qui peut y accéder et dans quelles conditions elles peuvent être communiquées à d'autres personnes.
Au Cameroun, la loi n° 2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel établit désormais un cadre juridique spécifique pour encadrer ces activités.
Pour les PME, les commerces, les établissements scolaires, les cabinets professionnels et les entreprises qui proposent des services en ligne, comprendre ces règles devient un enjeu important.
Voici ce que vous devez savoir pour mieux gérer les données de votre entreprise, protéger les informations de vos clients et anticiper les obligations liées à cette nouvelle législation.
Que dit la loi camerounaise sur la protection des données personnelles ?
La loi n° 2024/017 du 23 décembre 2024 constitue le principal texte législatif consacré à la protection des données à caractère personnel au Cameroun.
Elle concerne les traitements réalisés par les administrations publiques, les entreprises et les autres personnes physiques ou morales entrant dans son champ d'application.
Elle encadre notamment les opérations suivantes :
- La collecte et l'enregistrement des informations personnelles.
- Le stockage et la conservation des données.
- La consultation et l'utilisation des informations.
- La modification et la transmission des données.
- Le partage d'informations avec des tiers.
- La suppression ou la destruction des données.
Le texte prévoit également des obligations pour les responsables de traitement et les prestataires qui manipulent des données pour le compte d'autres organisations.
L'objectif est de protéger les droits des personnes tout en imposant davantage de précautions aux organisations qui utilisent leurs informations dans le cadre de leurs activités.
La loi prévoit notamment la création d'une Autorité de protection des données à caractère personnel (APDP), chargée de veiller à son application.
Où en est l'application de la loi en 2026 ?
Un point mérite une attention particulière pour les entreprises.
L'article 73 de la loi accordait aux personnes physiques et morales responsables de traitements un délai de dix-huit mois pour se mettre en conformité. Ce délai est arrivé à échéance le 23 juin 2026.
Toutefois, la mise en place de l'autorité chargée de superviser l'application du texte connaît des difficultés institutionnelles.
L'article 53 prévoit qu'un décret présidentiel doit fixer l'établissement, l'organisation et le fonctionnement de l'APDP. Au 4 novembre 2026, les sources publiques consultées ne permettent toujours pas de confirmer que cette autorité est pleinement opérationnelle ni que le décret nécessaire a été publié.
Cela crée une situation particulière : le cadre législatif existe, mais plusieurs mécanismes administratifs prévus par la loi restent difficiles à mettre en œuvre en pratique.
Cette incertitude ne doit pas être interprétée comme une dispense de protection des données. Les entreprises ont tout intérêt à préparer leur conformité dès maintenant, à documenter leurs pratiques et à suivre les textes d'application à mesure qu'ils seront publiés.
Qu'est-ce qu'une donnée personnelle ?
Une donnée personnelle est une information qui permet d'identifier directement ou indirectement une personne physique.
Il n'est donc pas nécessaire de disposer du nom complet d'un individu pour que les informations conservées soient considérées comme personnelles. Plusieurs éléments peuvent, lorsqu'ils sont associés, permettre de reconnaître une personne.
La loi camerounaise cite notamment les exemples suivants :
- Le nom et le prénom.
- Une photographie.
- Une empreinte digitale.
- Une adresse postale.
- Une adresse e-mail.
- Un numéro de téléphone.
- Un identifiant numérique.
- Une adresse IP.
- Un identifiant de connexion informatique.
- Un enregistrement vocal.
Dans la pratique, cette définition concerne de nombreuses activités professionnelles.
Une boutique en ligne qui enregistre les coordonnées de ses acheteurs traite des données personnelles. Un établissement scolaire qui conserve les informations des parents et des élèves est également concerné. Il en va de même pour un cabinet qui gère des dossiers clients ou une entreprise qui conserve les CV des candidats à un emploi.
Les données relatives aux employés doivent aussi être prises en compte : contrats, coordonnées, informations administratives, évaluations professionnelles et dossiers de recrutement.
Attention : les informations relatives à une entreprise en tant que personne morale ne sont pas automatiquement des données personnelles. En revanche, les coordonnées ou informations permettant d'identifier une personne physique au sein de cette entreprise peuvent en être.
Quelles sont les données considérées comme sensibles ?
Certaines informations nécessitent une protection renforcée en raison de leur nature.
La loi camerounaise identifie notamment des données concernant les opinions religieuses, philosophiques et politiques, l'appartenance syndicale, l'origine raciale ou ethnique, la vie sexuelle, la santé, les caractéristiques génétiques et biométriques, ainsi que certaines informations relatives aux opérations bancaires et aux procédures judiciaires.
L'article 48 prévoit des interdictions et des restrictions particulières concernant plusieurs de ces catégories.
Une entreprise ne doit donc pas considérer toutes les informations personnelles comme de simples coordonnées commerciales.
Par exemple, un formulaire de recrutement qui demande des renseignements sans rapport avec le poste, un système qui conserve inutilement des informations médicales ou une application qui collecte des données biométriques soulèvent des questions bien différentes de celles posées par un simple formulaire de contact.
Avant de collecter de telles informations, il est important de vérifier les conditions légales applicables.
Les droits des personnes dont vous collectez les données
La protection des données personnelles ne concerne pas uniquement les obligations des entreprises. Elle donne également aux personnes concernées des droits sur les informations qui les identifient.
Ces droits permettent notamment de savoir quelles données sont conservées, de demander leur correction et, dans certaines situations, de s'opposer à leur utilisation.
1. Le droit à l'information
Une personne doit pouvoir comprendre pourquoi ses informations sont collectées et comment elles seront utilisées.
Lorsqu'un client remplit un formulaire sur votre site web, par exemple, il doit pouvoir identifier l'entreprise responsable du traitement, connaître les raisons de la collecte et savoir à qui ses données peuvent être communiquées.
2. Le droit d'accès
Une personne peut demander à une entreprise de confirmer si elle détient des informations personnelles la concernant.
Elle peut également demander à consulter ces données et obtenir des renseignements sur leur origine, leur utilisation et leurs destinataires.
3. Le droit de rectification
Lorsqu'une information est incorrecte ou incomplète, la personne concernée peut demander sa correction.
Cela peut concerner un numéro de téléphone erroné, une adresse qui a changé ou des informations administratives qui ne sont plus à jour.
4. Le droit à l'effacement
Dans les conditions prévues par la loi, une personne peut demander la suppression de ses informations personnelles.
Cela peut notamment être justifié lorsque les données ne sont plus nécessaires à la finalité pour laquelle elles avaient été collectées, lorsque le consentement a été retiré ou lorsqu'il n'existe plus de fondement légal au traitement.
Ce droit n'est toutefois pas absolu. Certaines informations peuvent devoir être conservées pour respecter des obligations légales ou réglementaires.
5. Le droit d'opposition
Une personne peut s'opposer à certains traitements de ses données, notamment lorsqu'elles sont utilisées à des fins de prospection commerciale.
Une entreprise doit donc prévoir un moyen permettant aux personnes de signaler qu'elles ne souhaitent plus recevoir certaines communications publicitaires.
6. Le droit à la limitation et à la portabilité
La loi prévoit également la possibilité de demander, dans certaines conditions, une limitation du traitement des données.
Elle reconnaît par ailleurs un droit à la portabilité permettant de récupérer certaines informations personnelles dans un format structuré, couramment utilisé et lisible par machine.
Ces droits impliquent que les entreprises doivent organiser leurs fichiers et leurs outils numériques de manière à pouvoir retrouver les informations d'une personne et traiter ses demandes.
Les obligations des entreprises en matière de protection des données au Cameroun
La conformité ne consiste pas simplement à ajouter une politique de confidentialité au pied d'un site Internet.
Une entreprise doit examiner l'ensemble de ses pratiques : collecte d'informations, gestion des accès, stockage, utilisation commerciale, partage avec des prestataires et suppression des données.
Voici les principales mesures à mettre en place.
1. Collecter uniquement les informations nécessaires
La première règle consiste à éviter de demander des informations qui ne sont pas réellement utiles au fonctionnement du service proposé.
Une boutique en ligne qui doit organiser une livraison peut avoir besoin du nom du client, de son numéro de téléphone et de son adresse de livraison. Elle n'a pas nécessairement besoin de son numéro de pièce d'identité ou de sa date de naissance.
De la même manière, un formulaire de demande de devis ne devrait pas demander des informations sans rapport avec la prestation.
Une collecte excessive augmente les risques en cas de fuite, de piratage ou d'utilisation abusive.
Avant de créer un formulaire, une entreprise devrait donc se poser trois questions :
- Pourquoi avons-nous besoin de cette information ?
- Qui aura accès à cette donnée ?
- Combien de temps devons-nous la conserver ?
Cette approche permet de simplifier les formulaires tout en réduisant la quantité d'informations à protéger.
2. Informer clairement les clients sur l'utilisation de leurs données
Les clients ne devraient pas découvrir après leur inscription que leurs coordonnées sont utilisées à des fins différentes de celles qu'ils pouvaient raisonnablement comprendre au moment de la collecte.
L'article 21 de la loi impose au responsable du traitement de fournir des informations au moment de la collecte.
Ces informations doivent notamment permettre de connaître :
- L'identité de l'entreprise responsable.
- Les objectifs de la collecte.
- Les catégories de données concernées.
- Les personnes ou organisations susceptibles de recevoir les informations.
- La durée de conservation.
- Les droits dont dispose la personne concernée.
- Les possibilités de refus ou d'opposition prévues par la loi.
- Les éventuels transferts de données vers un pays étranger.
Pour un site Internet, la publication d'une politique de confidentialité accessible constitue un moyen pratique de communiquer ces informations.
Mais cette politique ne doit pas être un document générique téléchargé sur Internet. Elle doit correspondre aux véritables pratiques de l'entreprise.
Une boutique en ligne, un établissement scolaire et une agence de communication ne collectent pas les mêmes informations et ne poursuivent pas les mêmes objectifs.
3. Recueillir le consentement lorsque cela est nécessaire
Le consentement occupe une place importante dans la loi camerounaise.
L'article 9 prévoit que le traitement des données personnelles repose en principe sur un consentement préalable, libre, éclairé, spécifique et non équivoque.
La loi prévoit néanmoins certaines exceptions, notamment lorsque le traitement est nécessaire au respect d'une obligation légale, à l'exécution d'une mission d'intérêt public ou à la protection de la santé d'une personne.
Pour une entreprise, il est donc important de distinguer les différentes utilisations possibles des informations collectées.
Prenons l'exemple d'un commerce qui vend des produits sur Internet.
Le client communique son numéro de téléphone pour permettre la confirmation et la livraison de sa commande. Cela ne signifie pas automatiquement qu'il a accepté de recevoir toutes les futures campagnes publicitaires de l'entreprise.
L'utilisation de ses coordonnées à des fins de prospection doit être examinée séparément.
L'article 41 prévoit notamment un consentement préalable pour la communication de données à des tiers ou leur utilisation pour le compte de tiers à des fins de prospection directe.
En pratique, une entreprise devrait :
- Expliquer clairement à quoi serviront les données.
- Éviter les cases de consentement précochées.
- Distinguer les communications nécessaires au service des messages publicitaires.
- Conserver les éléments permettant de justifier le consentement lorsque celui-ci est requis.
- Respecter les demandes d'opposition aux communications commerciales.
L'achat de listes de numéros de téléphone ou l'envoi massif de publicités à des contacts collectés sans autorisation appropriée peut exposer l'entreprise à des difficultés juridiques et nuire à sa réputation.
4. Contrôler les accès aux fichiers clients et aux informations professionnelles
Une donnée personnelle peut être exposée sans qu'un pirate informatique intervienne.
Il suffit parfois qu'un fichier client soit envoyé à la mauvaise personne, qu'un employé utilise un compte partagé ou qu'un ancien collaborateur conserve l'accès aux outils de l'entreprise.
Les entreprises doivent organiser les autorisations en fonction des responsabilités de chaque utilisateur.
Un commercial peut consulter les informations nécessaires au suivi des clients sans avoir besoin d'accéder aux dossiers administratifs du personnel.
Un prestataire chargé de maintenir un site Internet ne devrait pas disposer automatiquement d'un accès permanent à toutes les informations commerciales de l'entreprise.
Quelques précautions permettent de mieux gérer cette situation :
- Créer des comptes individuels.
- Utiliser des mots de passe uniques et robustes.
- Activer l'authentification à deux facteurs.
- Limiter les droits d'administration.
- Contrôler les partages de fichiers.
- Révoquer les accès dès qu'un collaborateur ou un prestataire n'en a plus besoin.
Il faut également éviter de conserver des documents sensibles dans des téléphones personnels ou des groupes WhatsApp accessibles à de nombreuses personnes.
5. Vérifier les applications et les prestataires qui traitent vos données
Une entreprise utilise souvent plusieurs services numériques pour fonctionner : hébergement web, messagerie professionnelle, CRM, outils de facturation, logiciels de comptabilité, plateformes marketing et services de stockage cloud.
Ces prestataires peuvent accéder aux données personnelles ou les traiter pour le compte de l'entreprise.
Il est donc important de comprendre leur rôle et leurs responsabilités.
La loi prévoit notamment, à l'article 30, que le traitement effectué par un sous-traitant doit être encadré par un contrat entre celui-ci et le responsable du traitement.
Ce contrat doit notamment préciser les catégories de données concernées et les responsabilités respectives des parties.
Avant de choisir une solution externe, vérifiez :
- Quelles données elle collecte ou conserve.
- Qui peut accéder aux informations.
- Où les données sont hébergées.
- Quelles mesures de sécurité sont proposées.
- Si des sous-traitants supplémentaires interviennent.
- Comment les données peuvent être récupérées ou supprimées à la fin du contrat.
Une attention particulière doit être accordée aux services hébergés à l'étranger.
L'article 32 prévoit des conditions spécifiques et une autorisation préalable de l'autorité de protection des données pour les transferts de données personnelles vers des pays étrangers ou des organisations internationales.
Cela peut concerner des situations dans lesquelles une entreprise utilise un hébergement web étranger, un CRM international, une plateforme de messagerie ou un outil cloud dont les données sont transférées ou accessibles depuis l'extérieur du Cameroun.
Il ne suffit donc pas de choisir un service parce qu'il est populaire ou peu coûteux. Il faut également examiner les conditions dans lesquelles les données de vos clients sont traitées.
Pour la sécurité des transactions elles-mêmes, consultez notre guide pour sécuriser les paiements numériques de votre entreprise.
6. Tenir un registre des traitements de données personnelles
Une entreprise doit pouvoir identifier les informations qu'elle collecte et les raisons pour lesquelles elle les utilise.
L'article 29 prévoit la tenue d'un registre physique ou numérique des opérations de traitement relevant de la responsabilité de l'organisation.
Ce document permet notamment de consigner :
- Les coordonnées du responsable du traitement.
- Les éventuels sous-traitants.
- Les objectifs de chaque traitement.
- Les catégories de personnes concernées.
- Les catégories de données personnelles utilisées.
- Les destinataires auxquels les informations sont communiquées.
- Les garanties ou références d'autorisation pertinentes.
Prenons l'exemple d'une PME qui utilise différents outils numériques.
Elle peut collecter des informations via son site web, enregistrer les coordonnées de ses clients dans un CRM, conserver les données de ses employés dans un logiciel de gestion et utiliser une plateforme d'e-mailing pour communiquer avec ses prospects.
Ces différents traitements devraient être recensés.
Un registre bien tenu permet de comprendre rapidement où se trouvent les informations, pourquoi elles sont utilisées et quels prestataires interviennent dans leur gestion.
C'est également une bonne base pour préparer un audit ou évaluer les risques liés à un nouveau service numérique.
7. Définir des durées de conservation et gérer les demandes des clients
Conserver indéfiniment toutes les informations collectées n'est pas une bonne pratique.
Un ancien prospect qui n'a plus aucune relation avec l'entreprise, un dossier devenu inutile ou un fichier contenant des coordonnées obsolètes peuvent représenter des risques supplémentaires.
L'article 13 prévoit que les données doivent être conservées pendant une durée qui n'excède pas celle nécessaire aux finalités de leur traitement.
Il est donc recommandé de définir des règles de conservation adaptées à chaque catégorie d'informations.
Par exemple :
- Les coordonnées des prospects peuvent faire l'objet d'une politique de conservation distincte.
- Les dossiers des clients doivent être conservés selon les besoins du service et les obligations applicables.
- Les documents comptables doivent respecter les délais légaux de conservation.
- Les anciens comptes utilisateurs doivent être désactivés lorsque leur accès n'est plus nécessaire.
Les entreprises doivent aussi être capables de répondre aux demandes d'accès, de correction, d'opposition ou d'effacement.
Un client qui souhaite faire corriger son adresse ou s'opposer à l'utilisation de ses données à des fins publicitaires ne devrait pas être obligé de contacter plusieurs services sans obtenir de réponse.
Une procédure interne simple permet de recevoir, identifier et traiter ces demandes correctement.
8. Protéger les données contre les pertes, les fuites et les accès non autorisés
La protection juridique des données ne peut pas fonctionner sans mesures techniques adaptées.
Une entreprise peut disposer d'une excellente politique de confidentialité tout en exposant ses clients si ses fichiers ne sont pas protégés.
La loi prévoit des mesures techniques et organisationnelles destinées à préserver la confidentialité, l'intégrité et la disponibilité des données.
Les mesures recommandées comprennent notamment :
La sécurisation des équipements : utiliser des systèmes à jour, protéger les ordinateurs et téléphones et limiter les installations de logiciels non autorisés.
Le chiffrement : protéger les fichiers et les sauvegardes sensibles lorsque les solutions utilisées le permettent.
Les sauvegardes : conserver plusieurs copies des informations importantes et vérifier régulièrement qu'elles peuvent être restaurées.
La gestion des accès : empêcher les personnes non autorisées de consulter, copier, modifier ou supprimer les données.
La surveillance : conserver les informations utiles sur les connexions et les opérations effectuées sur les systèmes professionnels.
La protection des réseaux : sécuriser le Wi-Fi, les équipements de communication et les accès à distance.
Ces mesures doivent être adaptées à la nature des données et aux activités de l'entreprise.
Un petit commerce n'a pas nécessairement besoin de la même infrastructure qu'une banque ou qu'un établissement de santé. En revanche, chaque structure doit prendre des précautions raisonnables au regard des risques qu'elle présente.
Pour aller plus loin, consultez nos bonnes pratiques de cybersécurité pour les entreprises.
9. Préparer une procédure en cas de violation des données
Une violation de données personnelles peut prendre plusieurs formes :
- Un ordinateur contenant des informations clients est volé.
- Une personne non autorisée accède à une base de données.
- Un fichier confidentiel est envoyé par erreur à un mauvais destinataire.
- Un compte professionnel est compromis.
- Un logiciel malveillant entraîne la perte ou la divulgation d'informations.
L'article 22 de la loi prévoit que le responsable du traitement ou le sous-traitant doit informer immédiatement l'Autorité de protection des données personnelles et les personnes concernées lorsqu'il prend connaissance d'une violation de données.
Cette obligation rend nécessaire l'organisation d'une procédure de gestion des incidents.
Une entreprise devrait notamment définir :
- Qui est chargé de recevoir les signalements ?
- Qui peut suspendre un compte ou isoler un équipement compromis ?
- Comment contacter le prestataire informatique ?
- Comment identifier les informations potentiellement exposées ?
- Comment préserver les éléments utiles à l'investigation ?
- Comment informer les personnes concernées ?
En cas d'incident, il est préférable de réagir rapidement plutôt que de tenter de dissimuler le problème ou de supprimer précipitamment les éléments disponibles.
La préparation en amont permet de limiter les conséquences et de faciliter le retour à un fonctionnement normal.
10. Évaluer les risques et préparer les traitements sensibles
Certains traitements présentent des risques plus importants que d'autres.
Une entreprise qui conserve quelques coordonnées pour envoyer des factures n'a pas le même niveau d'exposition qu'une plateforme qui centralise des informations médicales, biométriques ou financières à grande échelle.
L'article 33 prévoit une évaluation préalable de l'impact sur la protection des données pour les opérations de traitement susceptibles d'entraîner un risque élevé pour les droits et libertés des personnes.
Cette analyse permet d'identifier les risques avant le lancement du traitement et de prévoir des mesures de protection adaptées.
Pour les entreprises qui développent des applications, des plateformes de gestion ou des services numériques, cette réflexion devrait intervenir dès la conception du projet.
Il est généralement plus simple de limiter les informations collectées et de définir les accès nécessaires dès le départ que de corriger une architecture mal conçue après son lancement.
Erreurs fréquentes des entreprises camerounaises dans la gestion des données
Certaines mauvaises pratiques sont devenues tellement courantes qu'elles sont rarement remises en question.
Pourtant, elles peuvent exposer les entreprises à des problèmes de confidentialité et de sécurité.
Utiliser les mêmes fichiers pour toutes les activités commerciales. Un fichier contenant les coordonnées des clients ne devrait pas être librement partagé avec tous les collaborateurs ou prestataires.
Envoyer des documents confidentiels dans des groupes WhatsApp. Une facture, une pièce d'identité ou un document administratif ne devrait pas être diffusé à un groupe de personnes simplement pour faciliter une opération interne.
Acheter des listes de contacts pour la publicité. Posséder une liste de numéros de téléphone ne signifie pas disposer automatiquement de l'autorisation nécessaire pour envoyer des campagnes commerciales.
Ne pas contrôler les accès après le départ d'un employé. Un ancien collaborateur qui conserve l'accès à l'adresse e-mail professionnelle ou au CRM représente un risque évitable.
Utiliser des applications sans vérifier leur fonctionnement. Un outil gratuit peut parfois conserver, analyser ou partager des informations selon des conditions que l'entreprise n'a jamais examinées.
Penser qu'une politique de confidentialité suffit à garantir la conformité. Un document publié sur un site web ne remplace pas les mesures techniques, les procédures internes et les formalités prévues par la loi.
Ces habitudes méritent d'être corrigées avant qu'un incident ne mette en difficulté l'entreprise ou ses clients.
Comment commencer à mettre son entreprise en conformité ?
La mise en place de bonnes pratiques ne nécessite pas nécessairement un projet informatique complexe.
Une PME peut commencer par un état des lieux de ses activités et progresser étape par étape.
Voici une première démarche pratique.
Première étape : identifier les données collectées.
Dressez la liste des informations provenant de vos clients, employés, prospects, fournisseurs et partenaires.
Deuxième étape : identifier les outils utilisés.
Examinez les ordinateurs, les téléphones, les messageries, les formulaires web, les applications, les bases de données et les services cloud.
Troisième étape : définir les responsabilités.
Identifiez les personnes qui peuvent accéder aux informations et les prestataires qui les traitent pour votre compte.
Quatrième étape : documenter les traitements.
Précisez pourquoi les données sont collectées, sur quelle base elles sont traitées, à qui elles peuvent être communiquées et combien de temps elles sont conservées.
Cinquième étape : renforcer la sécurité.
Activez la double authentification, limitez les accès, mettez les équipements à jour et organisez les sauvegardes.
Sixième étape : mettre à jour les documents et les procédures.
Préparez une politique de confidentialité adaptée, des informations accessibles au moment de la collecte et une procédure permettant de traiter les demandes des personnes concernées.
Septième étape : vérifier les obligations réglementaires.
Examinez les formalités prévues par la loi, les éventuels transferts internationaux et les textes d'application disponibles. Pour les questions juridiques spécifiques, faites-vous accompagner par un professionnel du droit.
L'objectif est de construire une organisation capable de gérer correctement les données personnelles tout au long de leur cycle de vie.
Questions fréquentes sur la protection des données personnelles au Cameroun
La loi sur la protection des données personnelles concerne-t-elle les petites entreprises ?
Oui. Le texte concerne les responsables et sous-traitants entrant dans son champ d'application, indépendamment du fait qu'il s'agisse d'une grande entreprise ou d'une petite structure. Une PME qui collecte les coordonnées de ses clients, gère des dossiers d'employés ou utilise un site Internet doit donc prendre en considération les règles applicables.
Une entreprise doit-elle obtenir le consentement de chaque client ?
Le consentement préalable, libre, informé, spécifique et non équivoque constitue le principe général prévu par l'article 9. Toutefois, la loi prévoit des exceptions, notamment pour certains traitements nécessaires au respect d'une obligation légale ou à la protection de la santé. Il faut donc examiner la finalité et le fondement juridique de chaque traitement plutôt que de considérer que toutes les opérations reposent systématiquement sur le même type de consentement.
Une politique de confidentialité est-elle obligatoire pour un site Internet ?
Une entreprise qui collecte des données personnelles doit fournir les informations prévues par la loi au moment de la collecte. Une politique de confidentialité accessible est un moyen pratique de remplir cette fonction sur un site web. Elle doit décrire les véritables pratiques de l'entreprise, les finalités, les destinataires, la conservation et les droits des personnes concernées.
Une entreprise camerounaise peut-elle utiliser un hébergement web étranger ?
La loi prévoit des conditions spécifiques pour le transfert de données personnelles vers un pays étranger ou une organisation internationale. L'article 32 prévoit notamment une autorisation préalable de l'autorité compétente. Une entreprise qui utilise un hébergement international, une messagerie cloud ou un logiciel CRM doit donc examiner les conditions de transfert et les garanties applicables. Il ne faut pas présumer que tout transfert est automatiquement autorisé.
Les données collectées par WhatsApp Business sont-elles concernées ?
Oui. Les noms, numéros de téléphone, messages, coordonnées de livraison et autres informations permettant d'identifier les clients peuvent constituer des données personnelles. L'entreprise doit notamment réfléchir aux finalités de leur utilisation, aux personnes qui peuvent y accéder, à leur conservation et aux éventuels transferts réalisés par les services utilisés.
Que risque une entreprise qui ne protège pas les données de ses clients ?
La loi n° 2024/017 prévoit différentes sanctions administratives, civiles et pénales selon la nature du manquement. Les conséquences peuvent également dépasser le cadre juridique : perte de confiance, interruption des activités, divulgation de documents confidentiels et difficultés commerciales. Les sanctions applicables doivent être appréciées en fonction de l'infraction concernée et du cadre réglementaire.
Le RGPD européen est-il applicable aux entreprises camerounaises ?
La loi camerounaise n° 2024/017 et le Règlement général sur la protection des données (RGPD) de l'Union européenne sont deux textes distincts. Une entreprise camerounaise doit examiner les exigences de la législation nationale. Le RGPD européen peut également devenir pertinent lorsque les activités de l'entreprise entrent dans son champ d'application, notamment dans certaines situations impliquant des personnes situées dans l'Union européenne.
La protection des données est aussi une question de confiance pour votre entreprise
Les données personnelles occupent désormais une place importante dans presque toutes les activités professionnelles. Elles permettent aux entreprises de mieux servir leurs clients, de développer leur présence en ligne et d'améliorer leur organisation.
Mais cette utilisation doit s'accompagner de pratiques responsables.
Pour une PME à Yaoundé, Douala ou dans une autre ville du Cameroun, cela commence par des actions concrètes : limiter les informations collectées, contrôler les accès, sécuriser les outils numériques, protéger les sauvegardes et informer clairement les clients.
La loi n° 2024/017 donne un cadre à ces responsabilités. Les entreprises ont tout intérêt à ne pas attendre la mise en place complète de tous les mécanismes institutionnels pour commencer à organiser leurs pratiques.
Vous collectez des données clients à travers votre site web, votre boutique en ligne, vos formulaires ou WhatsApp Business ?
Notre équipe peut vous accompagner dans l'identification des données traitées, la sécurisation de vos outils numériques, la gestion des accès, la mise en place de procédures de sauvegarde et l'adaptation technique de vos formulaires et documents de confidentialité.
Contactez-nous pour faire le point sur votre environnement numérique et les mesures à mettre en place.
Sources et textes de référence
- Présidence de la République du Cameroun – Loi n° 2024/017 du 23 décembre 2024
- Observatoire du Code du Cameroun – Protection des données personnelles
- Observatoire du Code du Cameroun – Situation institutionnelle de l'APDP en 2026
- Enonchong Chambers – Technology, digital and data protection law
- DLA Piper – Data Protection Laws of the World: Cameroon
Cet article est fourni à titre informatif et ne constitue pas un avis juridique. Les obligations spécifiques de chaque entreprise doivent être appréciées au regard de ses activités, de la nature des données traitées et des textes réglementaires applicables.