Protection des données personnelles : que dit la loi congolaise ?

Qu'est-ce qu'une donnée à caractère personnel ?

La loi n° 29-2019 du 10 octobre 2019 portant protection des données à caractère personnel définit une donnée à caractère personnel comme toute information relative à une personne physique identifiée ou identifiable, directement ou indirectement : nom, numéro de téléphone, adresse email, numéro d'identification, mais aussi des éléments propres à l'identité physique, sociale ou économique d'une personne (article 4).

Certaines données bénéficient d'une protection renforcée : origine ethnique, opinions politiques, convictions religieuses, appartenance syndicale, santé, vie sexuelle, données génétiques ou biométriques. Leur collecte est en principe interdite, sauf exceptions strictement encadrées (articles 14 et 15).

Le consentement, principe central de la loi

Le traitement d'une donnée personnelle, c'est-à-dire toute opération de collecte, d'enregistrement, de conservation, d'utilisation ou de communication de cette donnée, ne peut avoir lieu qu'après consentement de la personne concernée (article 5).

Ce principe connaît des exceptions : obligation légale, exécution d'un contrat, mission d'intérêt public, ou sauvegarde des intérêts vitaux de la personne. En dehors de ces cas, l'absence de consentement expose l'entreprise ou l'organisme à un risque de non-conformité.

Vos obligations en tant que responsable du traitement

Toute personne physique ou morale qui décide de collecter et de traiter des données personnelles, le responsable du traitement, doit respecter plusieurs obligations cumulatives :

• Transparence et loyauté : informer la personne concernée de la finalité de la collecte, de la durée de conservation et de ses droits (articles 6 et 46).

• Exactitude et mise à jour des données collectées (article 8).

• Confidentialité : seules les personnes autorisées, agissant sur instruction du responsable, peuvent traiter les données (article 63).

• Sécurité : mesures techniques et organisationnelles adaptées au risque, chiffrement, contrôle des accès, sauvegardes (article 64).

• Registre des activités de traitement, tenu à disposition de la Commission sur demande (article 67).

En cas de recours à un prestataire externe (hébergeur, cabinet de facturation, agence marketing), un contrat écrit doit encadrer ce sous-traitant et rappeler ses propres obligations de sécurité (article 11).

Les démarches à accomplir auprès de la Commission

Ces démarches relèvent de la Commission nationale pour la protection des données à caractère personnel (CNPD), autorité administrative indépendante créée par la loi n° 5-2025 du 29 mars 2025, dotée de la personnalité morale et siégeant à Brazzaville.

Selon la nature du traitement, trois régimes s'appliquent :

• Déclaration simple auprès de la Commission, pour la majorité des traitements courants (article 33).

• Autorisation préalable, pour les traitements les plus sensibles : données génétiques, données relatives à des infractions ou condamnations, interconnexion de fichiers, données biométriques (article 37).

• Dispense de formalités, pour certains cas limités : traitement à usage strictement personnel ou domestique, par exemple (article 3).

À défaut de récépissé délivré par la Commission, un traitement soumis à déclaration ne peut légalement être mis en œuvre (article 33).

Les droits que vous devez garantir aux personnes concernées

La loi reconnaît à toute personne physique plusieurs droits opposables au responsable du traitement :

• Droit d'accès à ses données et aux informations relatives au traitement (article 50).

• Droit de rectification et de suppression des données inexactes ou périmées (article 60).

• Droit d'opposition, notamment à la prospection commerciale (article 59).

• Droit à la portabilité, lorsque le traitement est automatisé et fondé sur le consentement (article 56).

Ces droits s'exercent par simple demande écrite, et le responsable du traitement dispose d'un délai d'un mois pour y répondre (article 60).

Que risquez-vous en cas de manquement ?

La Commission dispose d'un pouvoir de sanction graduée : avertissement, mise en demeure, retrait ou suspension d'autorisation, injonction de cesser le traitement, et amende pouvant aller d'un million à cent millions de francs CFA (articles 92 et 93). En cas de violation de données présentant un risque pour les personnes concernées, une notification à la Commission est en outre obligatoire dans les 72 heures (article 74).

Ce que vous devez faire concrètement

1. Recueillir le consentement explicite de vos clients ou usagers avant toute collecte de données, sauf si vous entrez dans l'une des exceptions légales prévues à l'article 5.

2. Déclarer votre traitement auprès de la Commission nationale pour la protection des données à caractère personnel ou solliciter son autorisation préalable si vos données sont sensibles (génétiques, judiciaires, biométriques).

3. Sécuriser vos données : accès restreint aux seules personnes habilitées, sauvegardes régulières, et tenue d'un registre de vos traitements.

Si votre entreprise ou votre structure traite des données personnelles : fichier clients, ressources humaines, plateforme en ligne, un audit de conformité permet d'identifier les ajustements nécessaires avant tout contrôle ou tout litige. Le Cabinet d'Avocats NTSILA peut vous accompagner dans cette démarche.

Cabinet d'Avocats NTSILA

3 septembre 2026

Le présent article a une vocation d'information générale et ne constitue pas une consultation juridique personnalisée. Pour toute situation individuelle, contactez le Cabinet.