Depuis quand la loi n° 2024/017 s'applique-t-elle aux entreprises ?

La loi du 23 décembre 2024 a laissé une période de transition de 18 mois. Ses obligations s'appliquent pleinement depuis le 23 juin 2026.

L'Autorité de protection des données fonctionne-t-elle déjà ?

La loi crée l'Autorité de protection des données à caractère personnel, mais le décret qui doit l'organiser n'avait pas été adopté à la date de vérification de cette page (3 novembre 2026). Les autorisations ne peuvent donc pas encore être obtenues ; il est prudent de préparer les dossiers et de dater chaque démarche.

Une PME doit-elle tenir un registre des traitements ?

Oui. La loi impose aux responsables de traitement et à leurs sous-traitants de tenir un registre de leurs traitements : finalités, catégories de données, destinataires, durées, mesures de sécurité.

Peut-on utiliser un logiciel ou un CRM hébergé à l'étranger ?

Un transfert de données hors du Cameroun est soumis à une autorisation préalable de l'Autorité, qui vérifie notamment le niveau de protection du pays de destination. En attendant qu'elle soit installée, recensez vos outils et leur pays d'hébergement, et documentez ces transferts.

Que faire en cas de fuite de données ?

La loi demande d'informer immédiatement l'Autorité et les personnes concernées. Inscrivez l'incident, mesurez ce qui est touché, corrigez, et gardez la trace des dates.

Quels risques en cas de manquement ?

La loi prévoit des sanctions administratives, des amendes et, pour les manquements les plus graves, des peines d'emprisonnement. Même sans Autorité installée, les tribunaux peuvent être saisis : la preuve de vos démarches compte.

Par Emmanuel Fomba · publié le 3 novembre 2026 · faits vérifiés le 3 novembre 2026

Guide · Données personnelles · Cameroun

Loi n° 2024/017 au Cameroun : ce que doit faire une PME depuis le 23 juin 2026

Réponse courte

La loi du 23 décembre 2024 sur la protection des données à caractère personnel s'applique pleinement depuis le 23 juin 2026, après 18 mois de transition. L'Autorité chargée de délivrer les autorisations n'est pourtant pas encore organisée. Ce paradoxe ne dispense de rien : il oblige à préparer ses dossiers et à pouvoir prouver sa bonne foi.

Ce guide est informatif : il ne remplace pas l'avis d'un avocat. Il ne reprend que des faits recoupés dans plusieurs sources, listées en bas de page. Les numéros d'articles et les montants des sanctions ne sont pas repris ici tant qu'ils n'ont pas été vérifiés sur le texte publié au Journal officiel.

Les faits à connaître

Le texte : loi n° 2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel.
L'échéance : 18 mois de transition, terminés le 23 juin 2026. Depuis, les obligations sont exigibles.
L'Autorité : la loi crée une Autorité de protection des données à caractère personnel, indépendante, chargée notamment des autorisations, des réclamations et d'un référentiel de sécurité. Son décret d'organisation n'était pas adopté au 3 novembre 2026.
Le principe : un traitement de données personnelles est soumis à autorisation préalable de l'Autorité, et le responsable tient un registre de ses traitements.
Les personnes ont un droit d'accès, de rectification, d'effacement et d'opposition ; leur accord doit être libre et éclairé, sans case pré-cochée.
L'étranger : un transfert de données hors du Cameroun demande une autorisation préalable, après vérification du niveau de protection du pays.
Les fuites : l'Autorité et les personnes concernées doivent être informées immédiatement.
Les sanctions : administratives, amendes, et emprisonnement pour les manquements les plus graves. Les tribunaux restent compétents même sans Autorité installée.

Les 13 obligations à suivre

Obligation	Ce qu'il faut faire	Preuve à garder
1. Recenser les traitements	Lister, métier par métier, les données collectées, pourquoi, par qui, où elles vont.	Registre complet
2. Préparer les dossiers d'autorisation	La loi soumet les traitements à une autorisation préalable de l'Autorité. Tant qu'elle n'est pas installée : préparer les dossiers et dater chaque démarche.	Dossiers prêts, courriers datés
3. Tenir le registre à jour	Inscrire tout traitement nouveau ou modifié, le faire valider.	Registre validé et daté
4. Études d'impact des traitements à risque	Santé, géolocalisation, vidéosurveillance, biométrie : risques, mesures, décision, avant la mise en service.	Étude datée par traitement
5. Recueillir des accords valables	Jamais de case pré-cochée ; un accord distinct par usage ; retrait aussi simple que l'accord.	Modèle d'accord, accords datés
6. Informer au moment de la collecte	Qui collecte, pourquoi, destinataires, durée, droits, transferts hors du Cameroun.	Mentions sur formulaires, affiches, contrats
7. Protéger les données	Accès nominatifs, double authentification, sauvegardes, chiffrement, journal des accès.	Liste des comptes et rôles, journal
8. Encadrer les sous-traitants par contrat	Chaque prestataire qui touche des données signe des clauses de protection.	Contrats signés
9. Recenser les outils hébergés hors du Cameroun	Outil par outil, le pays d'hébergement ; ces transferts demandent une autorisation de l'Autorité.	Liste des outils et pays
10. Savoir réagir à une fuite de données	Inscrire l'incident, informer sans délai l'Autorité et les personnes concernées, corriger.	Registre des incidents
11. Désigner un référent données	Une personne nommée suit le registre, les demandes et les incidents.	Note de désignation
12. Répondre aux demandes des personnes	Accès, correction, effacement, opposition : une procédure et un délai interne.	Procédure écrite, réponses tracées
13. Former l'équipe et garder les preuves	Rappeler les règles à chaque arrivée et une fois par an.	Feuilles de présence, supports

Ce que cela change selon votre secteur

Transport, logistique, transit : la géolocalisation de la flotte suit aussi les chauffeurs (information écrite, suivi limité aux missions, étude d'impact) ; la vidéosurveillance des dépôts ; les dossiers des chauffeurs (pour l'aptitude médicale, ne garder que la conclusion) ; les logiciels de flotte et messageries hébergés à l'étranger. Voir notre approche du transport.
BTP et immobilier : dossiers des locataires et acquéreurs (revenus, relevés : ne demander que l'utile) ; pointage, surtout s'il est biométrique ; photos et drones de chantier qui filment des voisins ; clauses de données dans chaque contrat de sous-traitance. Voir BTP et immobilier.
Cabinets juridiques : dossiers clients qui contiennent parfois des données de santé ou familiales ; contrôle des conflits d'intérêts ; échanges avec confrères, huissiers et experts à documenter. Voir JurisFlow AI.
Cliniques privées : les données de santé sont les plus sensibles ; l'accueil administratif peut être organisé sans y toucher. Voir ce qui doit rester humain en clinique.
PME aux systèmes complexes : chaque outil en ligne (CRM, paie, messagerie, sauvegardes) a un pays d'hébergement à recenser ; la prospection par SMS ou WhatsApp exige un accord distinct. Voir passer de WhatsApp et Excel à un CRM.

Par où commencer cette semaine

Listez vos traitements, métier par métier, avec leurs outils.
Notez pour chaque outil le pays où il est hébergé.
Repérez les traitements à risque : santé, géolocalisation, vidéosurveillance, biométrie.
Vérifiez vos formulaires et contrats : accord sans case pré-cochée, information claire.
Faites signer des clauses de protection à vos prestataires.
Nommez un référent et ouvrez un registre des incidents.
Datez chaque démarche : c'est votre preuve de bonne foi.

Recevoir la liste des obligations à imprimer

La liste des 13 obligations, avec une colonne pour cocher et noter vos preuves, au format imprimable.

Comment HAPPI-EL vous aide

Diagnostic Flash conformité : 75 000 FCFA, une heure d'échange puis une synthèse sous 48 heures : vos traitements, vos outils à l'étranger, vos priorités et la liste des preuves à constituer. Ce diagnostic organise votre mise en conformité ; il ne remplace pas l'avis d'un avocat, que nous recommandons pour les points juridiques.

Dans HAPPI-EL OS, la page Conformité tient le registre (avec des traitements types par métier), le suivi des autorisations et des études d'impact, les 13 obligations avec leurs preuves, le registre des incidents, et produit un dossier de bonne foi imprimable. Nous publions aussi où sont hébergées les données de HAPPI-EL OS : Royaume-Uni et États-Unis, donc hors du Cameroun.

Réserver un Diagnostic Flash conformité ↗

Sources

Emmanuel Fomba · Fondateur de HAPPI-EL CONSULTING, Douala.
Stratégie · Architecture IA · Automatisation & optimisation · Pilotage exécutif.