Le 23 décembre 2024, le Cameroun a promulgué la loi n° 2024/017 relative à la protection des données à caractère personnel. Elle accorde aux organisations un délai de dix-huit mois pour se conformer.
Ce délai expire le 23 juin 2026.
Si vous avez un site web qui collecte le moindre nom, email ou numéro de téléphone — un formulaire de contact suffit — ce texte vous concerne. Les sanctions prévues vont de 5 millions de FCFA à 1 milliard de FCFA pour les personnes morales, avec des peines d'emprisonnement pouvant atteindre dix ans pour les violations les plus graves.
Cet article n'est pas un avis juridique. C'est une lecture opérationnelle, faite par un hébergeur, de ce que la loi implique techniquement pour un site web camerounais.
Ce que la loi change vraiment
Beaucoup d'entreprises pensent « c'est le RGPD européen, on connaît ». C'est une erreur. Sur deux points, la loi camerounaise est plus stricte que le RGPD.
Différence n°1 : l'intérêt légitime n'est pas une base légale valable
Sous le RGPD européen, une entreprise peut traiter des données sans consentement en invoquant son « intérêt légitime ». C'est la base juridique la plus utilisée en Europe pour la prospection et l'analytique.
Cette porte n'existe pas dans la loi camerounaise. Si vous n'avez pas de base légale explicite, il vous faut le consentement. Concrètement : beaucoup de pratiques importées de sites européens deviennent non conformes au Cameroun.
Différence n°2 : autorisation préalable pour les transferts hors du Cameroun
C'est le point le plus lourd de conséquences, et le moins connu.
La loi impose une autorisation préalable pour transférer des données personnelles hors du territoire camerounais. Or, dans les faits :
- Si votre site est hébergé en Europe, aux États-Unis ou ailleurs, vos données de clients sortent du Cameroun
- Si vous utilisez Google Analytics, Meta Pixel, Mailchimp ou un CRM étranger, elles sortent aussi
- Si vos emails professionnels sont chez Google ou Microsoft, elles sortent également
Soyons directs sur ce point, y compris pour notre propre activité : Teles Hosting exploite des serveurs en Europe. Nos concurrents internationaux — LWS, OVH, Ikoula, PlanetHoster — également. Seuls quelques acteurs camerounais opèrent des serveurs physiquement à Douala ou Yaoundé.
Cela ne rend pas l'hébergement étranger illégal. Cela signifie que le transfert doit être documenté et autorisé. C'est une démarche administrative, pas un interdit. Mais c'est une démarche que personne ne fait aujourd'hui, et qui devient exigible dans quelques mois.
Les dix obligations concrètes
Voici, traduites en actions, les principales obligations que la loi fait peser sur une organisation ayant un site web.
1. Consentement préalable, explicite et libre
Sont désormais interdits :
- les cases pré-cochées (« j'accepte de recevoir vos offres » déjà coché)
- le consentement groupé (une seule case pour les CGV, la newsletter et le partage à des partenaires)
- l'opt-out (vous inscrire par défaut et à vous de vous désinscrire)
Chaque finalité doit être acceptée séparément, par un acte positif de l'utilisateur.
2. Consentement pour les cookies et traceurs
Tout cookie qui n'est pas strictement nécessaire au fonctionnement du site exige un consentement préalable à son dépôt. Cela inclut Google Analytics, les pixels publicitaires et les boutons de partage social.
Un bandeau qui dit « en continuant votre navigation, vous acceptez les cookies » ne vaut pas consentement. Il faut un choix réel, avec une possibilité de refus aussi accessible que l'acceptation.
3. Politique de confidentialité claire
Elle doit indiquer, sans jargon : quelles données vous collectez, pourquoi, combien de temps vous les conservez, à qui vous les transmettez, et comment exercer ses droits.
4. Registre des activités de traitement
Un document interne recensant chaque traitement de données que vous opérez. Ce n'est pas publié, mais il doit pouvoir être présenté sur demande de l'autorité.
5. Déclaration ou autorisation préalable
Selon la nature du traitement, une déclaration ou une demande d'autorisation auprès de l'autorité de contrôle est requise avant de commencer à traiter.
6. Autorisation pour les transferts transfrontaliers
Détaillé plus haut. C'est l'obligation la plus structurante pour un site hébergé hors du Cameroun.
7. Mesures de sécurité techniques et organisationnelles
La loi n'énumère pas de technologies, mais l'état de l'art implique au minimum :
- Chiffrement des échanges — un certificat SSL actif sur tout le site
- Mots de passe robustes et authentification à deux facteurs sur les accès administrateur
- Mises à jour régulières du CMS et des extensions
- Sauvegardes chiffrées et testées
- Journalisation des accès aux données
8. Respect des droits des personnes
Accès, rectification, effacement, portabilité, opposition. Vous devez pouvoir répondre à une demande dans un délai raisonnable — ce qui suppose de savoir où se trouvent les données d'une personne donnée.
9. Désignation d'un responsable
Une personne identifiée, responsable du traitement des données, joignable. Dans une PME, ce peut être le dirigeant lui-même, mais il faut que ce soit formalisé.
10. Durées de conservation définies
On ne conserve pas des données « au cas où ». Chaque catégorie doit avoir une durée justifiée, au terme de laquelle les données sont supprimées ou anonymisées.
Les sanctions, précisément
| Manquement | Sanction |
|---|---|
| Mise en demeure | 10 jours pour se conformer |
| Retard après mise en demeure | Astreinte de 100 000 FCFA par jour |
| Traitement sans autorisation (art. 55) | 5 à 50 millions FCFA |
| Non-respect du référentiel (art. 57) | 5 à 20 millions FCFA |
| Transfert illégal hors du Cameroun (art. 60) | 10 à 50 millions FCFA |
| Personnes morales (art. 71) | Jusqu'à 1 milliard FCFA |
| Violations graves | Jusqu'à 10 ans d'emprisonnement |
| Mesures complémentaires | Suspension ou retrait d'autorisation |
Une remarque de bon sens : une autorité nouvellement créée ne commence jamais par sanctionner une boulangerie à 1 milliard de FCFA. Les premières cibles sont généralement les acteurs visibles et les manquements flagrants. Mais l'astreinte de 100 000 FCFA par jour après mise en demeure, elle, est parfaitement applicable à une PME — et 100 000 FCFA par jour tue une petite entreprise en un mois.
La checklist minimale pour un site de PME
Par ordre de facilité d'exécution :
- [ ] Certificat SSL actif sur toutes les pages, redirection HTTP → HTTPS
- [ ] Politique de confidentialité rédigée, à jour, accessible depuis chaque page
- [ ] Mentions légales avec identité de l'entreprise et RCCM
- [ ] Bandeau cookies avec refus aussi simple que l'acceptation
- [ ] Aucune case pré-cochée sur aucun formulaire
- [ ] Consentement séparé pour la newsletter et pour la commande
- [ ] Lien de désinscription fonctionnel dans chaque email marketing
- [ ] Registre des traitements rédigé (un tableau suffit pour commencer)
- [ ] Responsable des données désigné par écrit
- [ ] Durées de conservation définies par catégorie de données
- [ ] Liste de vos sous-traitants et de leur localisation (hébergeur, analytics, emailing, CRM)
- [ ] Démarche engagée pour l'autorisation de transfert transfrontalier
- [ ] Authentification à deux facteurs sur vos accès administrateur
- [ ] Sauvegardes automatiques testées — une sauvegarde jamais restaurée n'est pas une sauvegarde
Les onze premiers points sont à votre portée en une journée de travail. Les trois derniers relèvent de votre hébergeur.
Ce que votre hébergeur doit vous fournir
Sur ce sujet, un hébergeur n'est pas un simple fournisseur : il est votre sous-traitant au sens de la loi. Vous restez responsable, mais il doit vous permettre de l'être.
Ce que vous êtes en droit d'exiger :
- La localisation exacte de vos données — pays et, si possible, centre de données
- Un certificat SSL inclus et renouvelé automatiquement
- Des sauvegardes avec une politique de rétention documentée
- Une politique d'accès précisant qui, chez l'hébergeur, peut accéder à vos données
- Une clause de sous-traitance écrite dans les conditions de service
- Une procédure de notification en cas d'incident de sécurité
Si votre hébergeur actuel ne peut pas vous dire dans quel pays se trouvent vos données, c'est déjà une réponse.
Les erreurs les plus fréquentes sur les sites camerounais
« On a copié la politique de confidentialité d'un autre site »
Fréquent, et inutile. Une politique qui décrit des traitements que vous ne faites pas, sous un droit qui n'est pas le vôtre, ne vous protège pas. Elle prouve même que vous ne savez pas ce que vous traitez.
« On collecte les numéros WhatsApp pour envoyer des promotions »
Un numéro de téléphone est une donnée personnelle. Un client qui vous a écrit pour un devis n'a pas consenti à recevoir votre campagne du mois suivant. Il faut un consentement distinct.
« Le formulaire de contact envoie tout par email et on garde tout »
Sans durée de conservation définie, vous accumulez indéfiniment des données personnelles dans une boîte email — souvent une boîte Gmail gratuite, hébergée à l'étranger, sans authentification à deux facteurs. C'est un cumul de manquements.
« On a Google Analytics depuis 2019, ça a toujours été comme ça »
Google Analytics dépose des cookies et transfère des données hors du Cameroun. Il exige donc un consentement préalable et relève du régime des transferts transfrontaliers.
Questions fréquentes
Cela s'applique-t-il aussi à une très petite entreprise ?
Oui. La loi ne prévoit pas d'exemption liée à la taille. Toute organisation traitant des données de personnes au Cameroun est concernée, PME comprises.
Et si mon site n'a qu'un formulaire de contact ?
Vous traitez des données personnelles : nom, email, message, éventuellement téléphone. Vous êtes dans le champ de la loi. Le niveau d'exigence est simplement proportionné à ce traitement limité.
Puis-je continuer à héberger mon site en Europe ?
Rien ne l'interdit. Ce qui est exigé, c'est que le transfert soit documenté et autorisé. C'est une formalité, pas une interdiction — mais une formalité qu'il faut accomplir.
Qui contrôle l'application de la loi ?
La loi institue une autorité indépendante de protection des données. Sa mise en place est en cours. En attendant, l'ANTIC exerce des attributions au titre du cadre antérieur (loi n° 2010/012 sur la cybersécurité).
Le 23 juin 2026, tout doit être parfait ?
L'objectif réaliste n'est pas la perfection, c'est de pouvoir démontrer une démarche sérieuse et documentée. Une entreprise qui présente un registre, une politique à jour et une gestion du consentement correcte est dans une position radicalement différente d'une entreprise qui n'a rien.
Cet article n'est pas un conseil juridique. Pour une analyse de votre situation propre, consultez un avocat ou un conseil spécialisé en protection des données au Cameroun.
Ce que nous pouvons faire, en tant qu'hébergeur : vous dire exactement où sont vos données, vous fournir un SSL inclus et renouvelé automatiquement, mettre en place des sauvegardes documentées, et vous donner les éléments écrits dont vous avez besoin pour constituer votre dossier de conformité.
Voir notre hébergement — nos emails professionnels — nos certificats SSL
Vous voulez savoir où vous en êtes ? Écrivez-nous : nous examinons votre site et vous disons ce qui manque, gratuitement et sans engagement.
Vous pouvez également consulter notre propre politique de confidentialité pour voir à quoi ressemble un document de ce type.
Sources : Loi n° 2024/017 du 23 décembre 2024 (Présidence de la République) ; loi n° 2010/012 relative à la cybersécurité et la cybercriminalité ; analyses publiées par Africa Data Protection et Village de la Justice, 2025.
