Depuis 2018, l’Algérie disposait déjà d’une loi importante (la Loi 18-07) pour encadrer la protection des données à caractère personnel, avec notamment la création de l’Autorité nationale de protection des données personnelles (ANPDP). Cette loi posait les bases du respect de la vie privée, des droits d’information, d’accès, de rectification des citoyens et de responsabilités pour les organismes traitant des données.

Cependant, face aux évolutions rapides et profondes des technologies numériques — telles que le développement massif de l’intelligence artificielle, l’Internet des objets, le Big Data ou encore les plateformes de communication en ligne — le cadre légal issu de la Loi 18-07 s’est progressivement révélé insuffisant. Ces avancées technologiques ont multiplié les types et volumes de données personnelles collectées, traitées et transférées, souvent à des fins diverses, allant du marketing ciblé aux enquêtes judiciaires. Par ailleurs, les enjeux liés à la sécurité nationale et à la lutte contre la criminalité se sont intensifiés, impliquant des traitements de données sensibles par les autorités judiciaires et sécuritaires qui n’étaient pas pleinement encadrées auparavant.

En parallèle, la mondialisation des échanges numériques a rendu les transferts de données à caractère personnel entre pays de plus en plus fréquents, soulevant des questions cruciales de protection et de souveraineté des données algériennes. Le cadre légal antérieur ne prévoyait pas des garanties suffisantes pour encadrer ces transferts internationaux, ni pour assurer la coopération entre autorités nationales et étrangères.

C’est dans ce contexte complexe et en mutation que la nouvelle Loi 25-11 du 24 juillet 2025 a été adoptée. Elle vient compléter et renforcer les règles existantes en élargissant le périmètre de protection aux traitements jusqu’ici exclus, notamment ceux liés aux activités judiciaires et sécuritaires. Elle impose également des obligations plus strictes aux responsables de traitement en matière de transparence, de sécurité et de responsabilité. La loi sécurise les transferts transfrontaliers en instaurant des conditions plus rigoureuses, garantissant ainsi un niveau élevé de protection même au-delà des frontières nationales.

Enfin, la réforme renforce significativement les prérogatives et moyens de l’Autorité nationale de protection des données personnelles (ANPDP), lui permettant d’exercer un contrôle plus efficace et de répondre aux défis actuels. L’objectif de cette réforme est clair et ambitieux : trouver un juste équilibre entre la nécessité de protéger les données personnelles des citoyens, la garantie des droits individuels et des libertés fondamentales, et les impératifs de sécurité publique et judiciaire, tout en s’adaptant aux réalités d’un environnement numérique en perpétuelle évolution.

Ce qui reste inchangé : la continuité et les principes fondamentaux

La nouvelle Loi n° 25-11 du 24 juillet 2025 confirme la volonté du législateur de maintenir une continuité juridique avec le cadre instauré par la Loi n° 18-07 du 10 juin 2018. Elle réaffirme le rôle central de l’Autorité nationale de protection des données personnelles (ANPDP), déjà instituée par la loi de 2018, en tant qu’organe chargé de veiller au respect des droits relatifs à la vie privée et à la protection des données personnelles.

Bien que la nouvelle loi soit structurée en seulement huit articles, elle se réfère explicitement à l’ANPDP et lui confie de nouveaux pouvoirs et responsabilités, notamment en matière de contrôle des traitements à visée sécuritaire et judiciaire, de gestion des notifications de violations de données, ainsi que dans l’encadrement des transferts internationaux.

En effet, l’article 3 de la nouvelle loi ajoute un article 27 bis rédigé comme suit :

« Art. 27 bis. — L’Autorité nationale est dotée de pôles régionaux chargés du contrôle et de l’audit auprès des institutions et des personnes traitant des données à caractère personnel. (...) ».

De même, l’article 4 de la loi nouvelle au sujet du délégué à la protection des données à caractère personnel prévoit un article 41 bis, lequel dispose que “Le responsable du traitement et l’autorité compétente désignent, (...)un délégué à la protection des données à caractère personnel, choisi en fonction de ses qualités professionnelles, notamment de ses connaissances spécialisées du droit et des pratiques relatives à la protection des données(...)

Il peut être désigné un seul délégué à la protection des données à caractère personnel, (...) eu égard à leur structure organisationnelle et à leur taille.

Le responsable du traitement et les autorités compétentes communiquent à l’autorité nationale les informations qui permettent de contacter le délégué à la protection des données. ».

Ces fonctions sont précisées dans les articles 3, 4 et 6 de la loi, qui évoquent directement les missions de contrôle, les obligations des responsables de traitement et les mesures à prendre en cas d’atteinte aux droits des personnes concernées.

La Loi 25-11 du 24 juillet 2025 ne remplace pas totalement la Loi 18-07 de 2018, mais vient plutôt la compléter et l’adapter aux nouveaux enjeux numériques. Elle conserve ainsi les principes fondamentaux de la protection des données personnelles, posés par la loi précédente, notamment :

• L’information claire et transparente des personnes concernées sur l’usage de leurs données personnelles. Les responsables de traitement doivent informer les individus des finalités du traitement, de leur identité, des destinataires des données, des éventuels transferts internationaux, ainsi que des droits dont dispose chaque personne.

→ Ce principe était établi par l’article 32 de la Loi 18-07 et reste pleinement en vigueur.

• Le droit d’accès, de rectification et d’opposition, qui permet à toute personne de consulter ses données, d’en demander la correction ou la suppression, et de s’opposer à certains traitements pour des motifs légitimes.

→ Ces droits figuraient aux articles 34 à 36 de la Loi 18-07.

• L’obligation de sécurité et de confidentialité, imposant aux responsables de traitement de mettre en place des mesures techniques et organisationnelles pour empêcher tout accès, altération ou divulgation non autorisée, notamment en cas de transfert de données via internet.

→ Dispositions issues des articles 38 et 39 de la Loi 18-07.

• Le respect du secret professionnel, imposé à toutes les personnes qui traitent des données à caractère personnel, même après la fin de leurs fonctions.

→ Repris de l’article 40 de la Loi 18-07.

• L’interdiction de la prospection commerciale sans consentement, notamment via des appels automatiques, des courriels ou des messages électroniques.

→ Ce principe était inscrit à l’article 37 de la Loi 18-07.

Ces principes, bien qu’ils ne soient pas tous explicitement repris dans la Loi 25-11, restent en vigueur. Ils constituent les fondations du droit algérien en matière de données personnelles et garantissent une continuité juridique essentielle. La nouvelle loi s’inscrit donc dans une logique d’approfondissement et de modernisation, sans rupture avec les acquis de 2018.

Ces principes fondamentaux constituent les piliers solides sur lesquels repose la protection des données personnelles en Algérie. Leur maintien dans la nouvelle loi assure la stabilité et la continuité du cadre juridique tout en offrant une base claire pour intégrer les innovations et adaptations nécessaires face aux nouveaux enjeux numériques.

Les renforcements et nouveautés clés apportés par la réforme

Les nouveautés majeures de la Loi 25-11

• La nomination obligatoire d’un délégué à la protection des données (DPD)

L’ un des apports majeurs de la Loi n° 25-11 du 24 juillet 2025 réside dans l’instauration obligatoire d’un Délégué à la protection des données personnelles (DPD) pour les organismes publics et privés.

Cette mesure est introduite par l’article 4 de la Loi 25-11, qui modifie la Loi n° 18-07 en y insérant un article 41 bis. Ce nouvel article dispose que :

« Tout organisme public ou privé mettant en œuvre un traitement de données à caractère personnel est tenu de désigner un délégué à la protection des données personnelles. »

Ce délégué devient le point focal de l’organisme avec l’Autorité nationale de protection des données personnelles (ANPDP), précise le législateur. Il est chargé notamment de :

• Superviser la conformité des traitements aux exigences légales et réglementaires en matière de protection des données ;
• Assurer la mise en œuvre interne des mesures techniques et organisationnelles nécessaires à la sécurité des données ;
• Assister et conseiller le responsable du traitement dans ses obligations ;
• Tenir une documentation des traitements, accessible à l’ANPDP ;
• Servir d’interlocuteur officiel avec l’Autorité nationale, facilitant les contrôles et la coopération.

Bien que le rôle de DPD n’existait pas en tant qu’obligation dans la Loi 18-07, certaines fonctions similaires pouvaient être assurées de manière volontaire. Désormais, cette désignation devient obligatoire, marquant une avancée importante vers la responsabilisation des acteurs et la professionnalisation de la gouvernance des données en Algérie.

• Des outils de traçabilité renforcés : registre des traitements et carnet automatisé

Dans le souci de garantir une transparence accrue et une surveillance continue des traitements de données à caractère personnel, la Loi 25-11 introduit de nouvelles obligations documentaires à la charge des responsables de traitement.

Ces exigences sont codifiées dans la Loi 18-07, via l’introduction des articles 41 bis 2 et 41 bis 3, créés par l’article 4 de la Loi 25-11.

📘 Article 41 bis 2 — Le registre des activités de traitement

Ce registre doit être tenu à jour par tout responsable de traitement. Il doit notamment contenir :

• La description détaillée des fichiers traités ;
• Les finalités poursuivies ;
• Les catégories de données concernées ;
• Les catégories de destinataires des données ;
• Les mesures de sécurité techniques et organisationnelles mises en place.

Ce registre n’est pas public, mais il doit être tenu à la disposition de l’ANPDP pour vérification.

📗 Article 41 bis 3 — Le carnet automatisé des opérations

Le texte impose également la tenue d’un carnet automatisé des opérations, permettant d’assurer une traçabilité complète des actions effectuées sur les fichiers de données (création, consultation, modification, suppression…).

Ce dispositif est essentiel pour :

• Renforcer la responsabilité des acteurs dans le traitement quotidien des données ;
• Permettre une détection rapide des usages abusifs ou non autorisés ;
• Faciliter les audits et les contrôles menés par l’ANPDP.

Ensemble, ces deux outils constituent des leviers de transparence, de prévention des abus, et de protection des droits des personnes concernées, alignant la législation algérienne sur les standards internationaux en matière de gouvernance des données personnelles.

• Étude d’impact et gestion des violations de données personnelles (articles 45 bis 6 à 45 bis 11)

La Loi 25-11 introduit un dispositif complet destiné à anticiper, documenter et gérer les incidents liés à la sécurité des données à caractère personnel, dans une logique de prévention et de transparence.

a. Étude d’impact préalable (art. 45 bis 6)

Avant de lancer un traitement présentant des risques élevés pour les droits et libertés (notamment en cas d’usage de nouvelles technologies ou de données sensibles), le responsable du traitement doit impérativement réaliser une étude d’impact sur la vie privée. Cette analyse doit décrire :

• les finalités et opérations du traitement ;
• les risques identifiés pour les personnes concernées ;
• les mesures techniques et organisationnelles envisagées pour réduire ces risques.

b. Sécurité renforcée des données (art. 45 bis 7)

Le responsable du traitement (ou son sous-traitant) est tenu de mettre en œuvre des mesures internes appropriées, notamment en matière de cryptage, pseudonymisation, contrôle d’accès, pour prévenir toute destruction, perte, altération ou accès non autorisé, en particulier dans le cas de traitements de données biométriques ou sensibles.

c. Notification obligatoire des violations (art. 45 bis 8)

En cas de violation de données (fuite, vol, accès non autorisé, altération...), le responsable du traitement doit :

• notifier l’ANPDP dans un délai maximal de 5 jours après en avoir eu connaissance ;
• inclure une description des faits, des conséquences possibles, et des mesures correctives prises ;
• demander au sous-traitant (le cas échéant) de l’alerter immédiatement après détection.

d. Documentation des incidents (art. 45 bis 9)

Toutes les violations de données doivent être documentées : effets, mesures prises, informations conservées… Cette traçabilité permet à l’ANPDP de vérifier la conformité du traitement.

e. Notification à la personne concernée (art. 45 bis 10)

Si la violation est susceptible de causer un risque élevé pour la personne (par exemple, usurpation d’identité, atteinte à la réputation), cette dernière doit être informée sans délai de manière claire et précise. Toutefois, cette information peut être différée ou limitée si elle risque d’entraver une enquête judiciaire ou de compromettre la sécurité nationale.

f. Obligation de consultation préalable de l’ANPDP (art. 45 bis 11)

Lorsque l’étude d’impact révèle un risque résiduel élevé, le responsable du traitement doit consulter l’ANPDP avant de démarrer le traitement. L’autorité peut également établir une liste des traitements nécessitant une consultation préalable obligatoire.

• Contrôle renforcé par l’ANPDP (article 45 bis 12)

L’un des apports majeurs de la réforme est de préciser les pouvoirs de contrôle de l’ANPDP, en lui conférant une base légale explicite pour mener des vérifications sur les traitements de données personnelles, tout en garantissant le respect de l’indépendance judiciaire.

L’article 45 bis 12 dispose que :

« L’autorité nationale effectue les vérifications et les examens prévus dans le présent titre et contrôle le respect du traitement des données à caractère personnel des droits et des libertés de la personne concernée. »

Cela signifie que l’ANPDP peut, à tout moment :

• déclencher une mission d’inspection en cas de doute sur la conformité d’un traitement ;
• mandater l’un de ses membres pour procéder à toutes les vérifications utiles, y compris auprès d’autorités administratives ou sécuritaires.

Cependant, afin de préserver la séparation des pouvoirs, cette mission de contrôle exclut toute ingérence dans les affaires judiciaires. L’ANPDP ne peut interférer dans une procédure judiciaire en cours, ni empiéter sur les prérogatives du pouvoir judiciaire, comme le précise  la dernière phrase de l’article : “l’autorité nationale ne peut s’immiscer dans aucune procédure judiciaire ni dans les prérogatives du pouvoir judiciaire.”

Ce cadre permet à l’ANPDP :

• d’intervenir activement sur le terrain,
• sans toutefois remettre en cause l’autonomie du pouvoir judiciaire,
• assurant ainsi un équilibre entre régulation administrative et respect des institutions judiciaires.

Les grandes innovations : sécurité, justice et échanges internationaux

Les avancées importantes de la Loi 25-11

A. Encadrement strict des traitements à visée judiciaire et sécuritaire

La réforme étend explicitement le champ d’application de la protection des données aux traitements effectués par les autorités judiciaires et sécuritaires, jusque-là peu encadrées. Ces traitements peuvent être réalisés sans le consentement préalable des personnes concernées, compte tenu de leur nature et de leurs finalités. Cependant, ils sont soumis à un contrôle strict et doivent respecter des garanties spécifiques, notamment en matière de prise de décisions automatisées, afin d’éviter tout risque d’abus ou d’atteinte disproportionnée aux droits fondamentaux.

B. Notification rapide des violations de données

L’article 43 de la nouvelle loi impose désormais au responsable du traitement une obligation stricte de notification à l’ANPDP en cas de violation des données personnelles, dans un délai maximal de 5 jours ouvrables. Cette notification doit aussi être faite à la personne concernée lorsque la faille peut porter atteinte à sa vie privée, sauf si l’ANPDP constate que des mesures de protection appropriées ont déjà été mises en place pour minimiser les risques. Cette obligation vise à renforcer la transparence et à permettre une réaction rapide pour limiter les conséquences des incidents de sécurité.

C. Transfert international sécurisé

L’article 45 bis 13 prévoit que tout transfert de données à caractère personnel vers un État étranger ou une organisation internationale doit faire l’objet d’une évaluation approfondie par l’ANPDP, qui vérifie que le niveau de protection est adéquat. Cette évaluation porte notamment sur :

• Le respect des droits de l’Homme et des libertés fondamentales dans le pays ou organisation destinataire.
• Les prescriptions légales en vigueur et leur applicabilité.
• Les mesures de sécurité mises en place.
• L’existence et la compétence d’une autorité nationale chargée de contrôler la protection des données.

Cette évaluation prend également en compte les cas spécifiques où les transferts sont nécessaires, notamment pour la prévention ou la détection d’infractions, les enquêtes pénales, ou l’exécution des peines.

En cas d’insuffisance des garanties, le transfert peut néanmoins être autorisé s’il est nécessaire :

• Pour protéger les intérêts vitaux ou légitimes des personnes concernées.
• Pour prévenir une menace grave et immédiate à la sécurité publique.
• Dans certains cas liés à la justice pénale ou à l’exercice des droits de la défense.

Les données transférées ne doivent être conservées que pour la durée nécessaire aux finalités pour lesquelles elles ont été transmises.

L’article 45 bis 14 encadre également le transfert des données provenant d’un pays étranger ou d’une organisation internationale. Ces données ne peuvent être transférées vers un autre pays ou organisation sans l’accord préalable de l’entité à l’origine du transfert.

Une exception est prévue lorsque l’autorisation préalable ne peut être obtenue en temps utile et que le transfert est essentiel pour les intérêts fondamentaux de l’État algérien ou pour prévenir une menace grave à la sécurité publique. Dans ce cas, l’entité d’origine est immédiatement informée.

L’ANPDP peut être consultée avant tout transfert afin d’émettre un avis, renforçant ainsi le contrôle et la transparence dans les échanges internationaux de données.

D. Pouvoirs accrus de l’ANPDP

La réforme confère à l’ANPDP des pouvoirs renforcés, notamment la capacité d’ordonner la fermeture, le retrait ou la destruction de fichiers non conformes (articles 45 bis 12 et suivants). Elle est également dotée de pôles régionaux pour un contrôle plus rapproché et efficace des traitements sur le terrain, ce qui lui permet d’intervenir rapidement et de manière ciblée. Ces mesures renforcent le rôle opérationnel de l’ANPDP, garantissant une meilleure application de la loi et une protection accrue des données personnelles.

Un cadre modernisé pour répondre aux enjeux numériques

Une réforme structurante pour une Algérie numérique responsable

La Loi n° 25-11 du 24 juillet 2025 constitue une réforme de fond dans le paysage juridique algérien en matière de protection des données à caractère personnel. Loin de se limiter à une simple actualisation de la Loi n° 18-07 du 10 juin 2018, elle en renforce les dispositifs, élargit le champ d’application à des traitements autrefois exclus (notamment sécuritaires et judiciaires), accroît les exigences de conformité pour les entités publiques et privées, et dynamise le rôle de l’Autorité nationale de protection des données personnelles (ANPDP).

Par cette réforme, le législateur algérien entend répondre aux nouveaux défis que posent l’essor des technologies numériques, l’interconnexion des systèmes, la surveillance algorithmique, la circulation internationale des données et les besoins croissants en matière de sécurité intérieure et de justice. Il s’agit ainsi de garantir un équilibre délicat mais essentiel : protéger les droits fondamentaux des citoyens (vie privée, liberté d’expression, sécurité des données) tout en assurant la souveraineté numérique de l’État et la fluidité des échanges dans un monde globalisé.

En se dotant d’un cadre plus rigoureux, plus opérationnel et plus en phase avec les standards internationaux (notamment ceux du RGPD européen ou des instruments africains comme la Convention de Malabo), l’Algérie se positionne comme un acteur engagé dans la gouvernance éthique des données.

La Loi 25-11 n’est donc pas une simple adaptation technique, mais bien un pilier d’un futur numérique algérien plus sûr, plus transparent et plus respectueux des libertés individuelles. Elle marque un tournant législatif majeur, à la croisée du droit, de la technologie, de l’éthique et de la souveraineté.

Vous êtes abonné ? Restez à jour en consultant les notes, communiqués et circulaires ainsi que l’ensemble des Codes en vigueur sur Legal Doctrine.

Restez à l’affût des dernières actualités juridiques en vous abonnant à notre newsletter Legal Doctrine.