CEMAC zone

Conformia · Cameroon

Cameroon — what the product holds, and what it does not hold yet.

Conformia·Cameroon

Text: Loi n° 2024/017 du 23 décembre 2024
Authority: autorité de l'art. 53 — not installed
Pack status: in preparation
Sign-up: open — you can create a workspace
Prior formalities: open — declaration and authorisation filings are built here
Currency: XAF

What is open

The register of processing, data-subject requests, the evidence log, processors, consent and export all work. These functions organise the work; they assert nothing about national law, and so need no signature.

Amounts are shown, transcribed from an internal audit and unsigned — awaiting legal validation since 2026-08-09.

The text of the law may be quoted, article by article, with a link to its official publication. A quotation can be checked; it commits nobody but the official journal.

The text, article by article

Transcribed from Loi n° 2024/017 du 23 décembre 2024, verbatim. Nothing is summarised: a summary would be one more assertion, and it would have no source. Each answer carries its article, its link and the date it was read.

identité et vigueur

Le texte, son numéro, sa date, et son état de vigueur: Article 75ARTICLE 75.- La présente loi, qui abroge toutes les dispositions antérieures contraires, sera enregistrée, publiée selon la procédure d'urgence, puis insérée au Journal Officiel en français et en anglais./-Source, read on 2026-10-10
Les textes d'application publiés, ou leur absence: Article 74ARTICLE 74.- Des textes particuliers précisent, en tant que de besoin, les modalités d'application de la présente loi.Source, read on 2026-10-10
L'objet du texte — ce qu'il oblige à faire: Article 1ARTICLE 1.- La présente loi est relative à la protection des données à caractère personnel au Cameroun. A ce titre, elle a pour objet de garantir les droits et libertés fondamentaux des personnes en matière de traitement de leurs données à caractère personnel, quels qu'en soient la nature, le mode d'exécution ou les responsables.Source, read on 2026-10-10

champ d'application

Le champ d'application matériel — ce que le texte couvre: Article 2ARTICLE 2.- Sont soumis aux dispositions de la présente loi : - tout traitement des données à caractère personnel effectué par l'Etat, les collectivités territoriales décentralisées ou toute autre personne physique ou morale ; - tout traitement de données à caractère personnel de toute personne établie, résidant ou en transit au Cameroun ; - tout traitement de données à caractère personnel, effectué par un responsable du traitement ou un sous-traitant établi au Cameroun ; - tout traitement de données à caractère personnel effectué dans un territoire où le droit camerounais s'applique en vertu du droit international ou des conventions internationales dûment ratifiées.Source, read on 2026-10-10
Les exclusions — ce que le texte ne couvre pas: Article 3ARTICLE 3.- Sont exclus du champ d'application de cette loi : - les traitements des données à caractère personnel effectués par une personne physique dans le cadre exclusif de ses activités personnelles ou domestiques, à condition toutefois que les données ne soient pas destinées à une communication systématique, à un tiers ou à la diffusion ; - les copies temporaires faites dans le cadre des activités techniques de transmission et de fourniture d'accès utilisant un réseau de communications en vue du stockage intermédiaire et transitoire des données, afin de permettre à d'autres destinataires du service, le meilleur accès possible aux informations transmises ; - les traitements des données à caractère personnel effectués à des seules fins littéraires ou artistiques, archivistiques dans l'intérêt public, de recherche scientifique ou historique, statistique, ou de journalisme quel que soit le média utilisé dans le respect des règles déontologiques et éthiques de ces professions, notamment les mesures de sécurité garantissant le secret des sources journalistiques, ainsi que les règles de modération applicables aux fora de discussion mis en œuvre par les éditeurs d'information journalistique.Source, read on 2026-10-10

bases légales, dont l'existence ou non de l'intérêt légitime

Les bases légales admises: Article 9ARTICLE 9.- (1) Le traitement des données à caractère personnel est subordonné au consentement préalable, libre, éclairé, spécifique et univoque de la personne concernée. (2) Toutefois, il peut être dérogé à cette exigence du consentement préalable lorsque le traitement est nécessaire : - au respect d'une obligation légale à laquelle le responsable du traitement est soumis ; - à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'Autorité de protection des données à caractère personnel, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées ; - à la préservation de la santé de la personne concernée ou d'une autre personne physique. (3) Le consentement d'une personne mineure de dix-huit (18) ans n'est valable que s'il est appuyé par celui de ses père et mère, ou de son représentant légal.Source, read on 2026-10-10

formalités préalables — régime, pièces, délai, silence, récépissé

Le régime de formalité préalable — déclaration, autorisation, ou aucun: Article 19ARTICLE 19.- (1) Le traitement des données à caractère personnel est soumis à l'obtention préalable d'une autorisation délivrée par l'Autorité de protection des données à caractère personnel. (2) Tout processus d'interconnexion et d'interopérabilité des fichiers de données sensibles, relatives aux mineurs, est soumis à l'obtention préalable d'une autorisation délivrée par l'Autorité de protection des données à caractère personnel. (3) Les modalités de délivrance de l'autorisation visée aux alinéas 1 et 2 ci-dessus sont fixées par voie réglementaire.Source, read on 2026-10-10
L'interconnexion de fichiers : son régime: Article 36ARTICLE 36.- (1) L'interconnexion des fichiers n'est licite que lorsqu'elle est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis. (2) Elle ne doit pas entraîner de discrimination ou de réduction des droits, libertés et garanties pour les personnes concernées et doit être assortie de mesures de sécurité appropriées tenant compte du principe de minimisation, le cas échéant, des données faisant l'objet de l'interconnexion.Source, read on 2026-10-10

obligations — registre, DPO, violations, AIPD, sous-traitance

Le registre des traitements : exigé ou non, et par qui: Article 29ARTICLE 29.- (1) Le responsable du traitement ou le sous-traitant tient un registre physique ou numérique des activités de traitement effectuées sous leur responsabilité. (2) Le registre visé à l'alinéa 1 ci-dessus comporte les informations ci-après : - le nom et les coordonnées du responsable du traitement et, le cas échéant, le nom du sous-traitant ; - les finalités du traitement ; - la description des catégories de personnes concernées et des catégories des données à caractère personnel ; - les catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées ; - les documents attestant de l'existence de garanties appropriées ou le numéro de l'autorisation de l'Autorité de protection des données à caractère personnel.Source, read on 2026-10-10
La notification des violations — destinataire et délai: Article 22ARTICLE 22.- (1) Dès connaissance de toute violation des données à caractère personnel, le responsable du traitement ou le sous-traitant est tenu d'informer sans délai, l'Autorité de protection des données à caractère personnel et la personne concernée. (2) En tout état de cause, et sans préjudice des dispositions de l'alinéa 1 ci-dessus, le responsable du traitement ou le sous-traitant est tenu de mettre en œuvre les mesures de protection techniques et organisationnelles appropriées, telles que le chiffrement, l'instauration des autorisations restrictives d'accès aux données.Source, read on 2026-10-10
L'analyse d'impact : les cas où elle est exigée: Article 33ARTICLE 33.- (1) Tout type de traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques est subordonné à la réalisation préalable d'une évaluation d'impact des opérations de traitement envisagées sur la protection des données à caractère personnel. (2) Les conditions et les modalités de la réalisation de l'évaluation d'impact visées à l'alinéa 1 ci-dessus sont fixées par voie règlementaire.Source, read on 2026-10-10
La sous-traitance : ce que le contrat doit porter: Article 30ARTICLE 30.- (1) Lorsque le responsable du traitement recourt à un sous-traitant, il s'assure que celui-ci dispose des garanties suffisantes quant à la mise en œuvre des mesures techniques et organisationnelles appropriées de manière à ce que le traitement respecte les exigences de la présente loi. (2) Le traitement par un sous-traitant est régi par un contrat qui lie le sous-traitant au responsable du traitement. (3) Le contrat visé à l'alinéa 2 ci-dessus définit, notamment, le type de données à caractère personnel et les catégories de personnes concernées, les obligations et les droits du responsable du traitement, ainsi que du sous-traitant.Source, read on 2026-10-10
La confidentialité : qui peut traiter les données: Article 24ARTICLE 24.- (1) Le responsable du traitement ou le sous-traitant traite les données à caractère personnel de manière confidentielle. (2) Le traitement des données à caractère personnel est effectué exclusivement par des personnes qui agissent sous l'autorité du responsable du traitement et seulement sur ses instructions. (3) Le responsable du traitement met en œuvre, tant au moment de la détermination des moyens du traitement qu'au moment du traitement lui-même, des mesures techniques et organisationnelles consignées dans le référentiel défini par l'Autorité de protection des données à caractère personnel.Source, read on 2026-10-10
Les obligations de sécurité: Article 25ARTICLE 25.- (1) Le responsable du traitement et le sous-traitant effectuent l'évaluation du risque présenté par le traitement des données à caractère personnel, suivant les critères d'évaluation, ainsi que les modalités d'examen et de validation fixées par voie règlementaire. (2) Le responsable du traitement et le sous-traitant prennent toute mesure appropriée pour empêcher notamment que : - les données soient déformées, endommagées, indisponibles ; - des tiers non autorisés y aient accès. (3) Le responsable du traitement et le sous-traitant s'assurent que toute personne agissant sous leur autorité respective et qui a accès à des données à caractère personnel, les traite conformément aux instructions et aux finalités fixées.Source, read on 2026-10-10
La durée de conservation : qui la fixe: Article 28ARTICLE 28.- Le délai maximum de conservation des données à caractère personnel est fixé dans le référentiel prévu à l'article 27 ci-dessus, élaboré par l'Autorité de protection des données à caractère personnel. La fixation de ce délai tient compte de la finalité du traitement ou de la nature des données collectées, conformément à la législation et la réglementation en vigueur.Source, read on 2026-10-10
Le rapport annuel du responsable de traitement: Article 27ARTICLE 27.- (1) Le responsable du traitement et le sous-traitant des données à caractère personnel sont tenus : - de garantir la disponibilité des données à caractère personnel notamment grâce à la mise en œuvre des mesures visant à garantir la résilience des systèmes d'information contenant les données à caractère personnel ; - de garantir que lors de l'utilisation d'un système de traitement automatisé de données, les personnes autorisées ne puissent accéder qu'aux données relevant de leur autorisation ; - de garantir la vérification et la constatation de l'identité des tiers auxquels des données peuvent être transmises ; - de garantir que puisse être vérifiée et constatée a posteriori l'identité des personnes ayant accès au système d'information contenant des données à caractère personnel, la nature des données qui ont été introduites, modifiées, altérées, copiées, effacées ou lues dans le système, ainsi que la période de manipulation de ces données ; - d'empêcher toute personne non autorisée à accéder aux installations utilisées pour le traitement des données ; - d'empêcher que des supports de données puissent être lus, copiés, modifiés ou déplacés par une personne non autorisée ; - d'empêcher l'introduction non autorisée de toute donnée dans le système d'information, ainsi que toute prise de connaissance, toute modification ou tout effacement non autorisé de données enregistrées ; - d'empêcher que des systèmes de traitement de données puissent être utilisés par des personnes non autorisées à l'aide d'installation de transmission de données ; - de sauvegarder les données par la constitution de copies de sécurité protégées ; - de prendre toute autre mesure appropriée requise par la réglementation en vigueur. (2) Le responsable du traitement adresse à l'Autorité de protection des données à caractère personnel un rapport annuel sur l'état de mise en œuvre des mesures de sécurité contenues dans le référentiel des mesures techniques et organisationnelles.Source, read on 2026-10-10

droits et délais

Le droit à l'information: Article 21ARTICLE 21.- Le responsable du traitement doit fournir à la personne concernée, au plus tard, lors de la collecte et quels que soient les moyens employés, les informations suivantes : - son identité ; - les finalités déterminées du traitement auquel les données sont destinées ; - les catégories des données concernées ; - les destinataires auxquels les données sont susceptibles d'être communiquées ; - la possibilité de refuser de figurer sur le fichier en cause ; - l'existence d'un droit : • d'accès aux données à caractère personnel conformément aux dispositions de la présente loi ; • de rectification, d'effacement, d'opposition, de limitation et de portabilité ; • d'information en cas de traitement à des fins de prospection commerciale ; • de ne pas faire l'objet d'une décision individuelle automatisée, y compris le profilage ; • d'information sur la prise d'une décision automatisée, la logique sous-jacente et les conséquences prévues du traitement ; • de refuser la communication de ses données à caractère personnel à un tiers ; • de déterminer des directives de traitement post-mortem ; • d'introduire une réclamation auprès de l'Autorité de protection des données à caractère personnel ; - la durée de conservation des données ; - l'éventualité de tout transfert de données à destination d'un Etat étranger.Source, read on 2026-10-10
Le droit d'accès: Article 39ARTICLE 39.- La personne concernée peut demander au responsable du traitement : - les informations permettant de connaitre et de contester le traitement ; - la confirmation que les données à caractère personnel la concernant font ou ne font pas l'objet de traitement ; - la communication des données à caractère personnel qui la concerne ainsi que toute information disponible quant à l'origine de celle-ci ; - les informations relatives à l'objectif du traitement, aux catégories des données à caractère personnel traitées, aux destinataires ou aux catégories de destinataires auxquels les données sont communiquées ; - une copie de ses données à caractère personnel sous une forme intelligible contre paiement d'une somme ne pouvant excéder le coût de la reproduction.Source, read on 2026-10-10
Le droit d'opposition: Article 40ARTICLE 40.- (1) Toute personne concernée a le droit de s'opposer à tout moment au traitement de ses données à caractère personnel pour : - toutes raisons tenant au traitement de catégories particulières de données à caractère personnel ; - tout traitement à des fins de prospection ; - tout autre motif prévu par la législation en vigueur. (2) Dans le cadre de l'utilisation des services de la société de l'information, la personne concernée peut exercer son droit d'opposition à l'aide de procédés automatisés utilisant des spécifications techniques. (3) Le parent ou le représentant légal d'un enfant mineur a le droit de s'opposer au traitement des données à caractère personnel relatif au mineur, collectées sans son consentement. (4) Lorsque la personne concernée s'oppose au traitement de ses données à des fins de prospection commerciale, ses données à caractère personnel ne peuvent plus être utilisées à ces fins.Source, read on 2026-10-10
Le droit de rectification et de suppression: Article 42ARTICLE 42.- Toute personne physique justifiant de son identité peut exiger du responsable d'un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou supprimées, les données à caractère personnel de nature inexactes ou incomplètes la concernant.Source, read on 2026-10-10
La décision automatisée : ce qu'elle ne peut pas fonder: Article 44ARTICLE 44.- (1) La personne concernée a le droit de s'opposer à toute décision basée exclusivement sur le traitement automatisé de ses données à caractère personnel, y compris le profilage. (2) Les dispositions de l'alinéa 1 ci-dessus ne s'appliquent pas si : - la personne concernée est informée de l'utilisation du système automatisé de prise de décision et a donné son consentement préalable, explicite et éclairé ; - le traitement est autorisé par la loi, sous réserve qu'elle prévoit des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée. (3) La personne concernée a également le droit : - d'obtenir une intervention humaine de la part du responsable du traitement ; - d'exprimer son point de vue ; - de contester la décision fondée sur le traitement automatisé.Source, read on 2026-10-10
Le droit à la portabilité des données: Article 43ARTICLE 43.- (1) La personne concernée a le droit de recevoir gratuitement les données à caractère personnel la concernant qu'elle a fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine. (2) La personne concernée a le droit à la portabilité de ses données. (3) Lorsque la personne concernée exerce son droit à la portabilité des données en application de l'alinéa 1 ci-dessus, elle a le droit d'obtenir que les données à caractère personnel soient transmises directement d'un responsable du traitement à un autre, si cela est techniquement possible. (4) Le droit à la portabilité des données à caractère personnel ne s'applique pas aux données dont le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement.Source, read on 2026-10-10
Le délai de réponse imposé au responsable de traitement: Article 47ARTICLE 47.- Les délais et les modalités d'examen des demandes des personnes concernées, relatives à l'exercice de leurs droits prévus dans la présente loi, sont fixés par voie règlementaire.Source, read on 2026-10-10

données sensibles et transferts

Les données sensibles : définition et régime: Article 48ARTICLE 48.- (1) Il est interdit de procéder à tout traitement des données relatives aux opinions et activités religieuses, philosophiques, politiques, syndicales, à l'origine raciale ou ethnique, linguistique ou régionale, à la vie sexuelle à la génétique et à la biométrie en matière de santé. (2) Il est interdit de procéder au traitement des données à caractère personnel dans le cadre des transactions bancaires sans autorisation préalable des administrations et structures compétentes, dans les conditions et suivant les modalités prévues par les lois en vigueur.Source, read on 2026-10-10
Les transferts hors du territoire : conditions: Article 32ARTICLE 32.- (1) Le transfert de données à caractère personnel vers un Etat étranger, ou à une organisation internationale, est subordonné à l'obtention d'une autorisation préalable délivrée par l'Autorité de protection des données à caractère personnel dans les conditions permettant de garantir l'exercice des droits de la personne concernée. (2) A l'occasion de la délivrance de ladite autorisation, l'Autorité de protection des données à caractère personnel doit préalablement s'assurer : - que le pays de destination des données à caractère personnel offre un niveau de protection suffisant ; - de l'entrée en vigueur préalable d'un instrument juridique signé avec le pays de destination des données à caractère personnel transférées, en liaison avec les administrations et organismes compétents ; - de l'assujettissement de l'entité sollicitant l'importation des données à caractère personnel aux règles contraignantes de sécurité en matière de protection desdites données ; - de la souscription préalable, par les entités importatrices et exportatrices concernées, de clauses contractuelles types en matière de transfert à l'international des données à caractère personnel, édictées et publiées par l'Autorité de protection des données à caractère personnel. (3) Les modalités de délivrance de l'autorisation prévue à l'alinéa 1 ci-dessus sont fixées par voie réglementaire.Source, read on 2026-10-10
La prospection directe : son régime: Article 41ARTICLE 41.- (1) La communication des données à caractère personnel à des tiers ou leur utilisation pour leur compte, à des fins de prospection directe, est subordonnée à l'obtention préalable du consentement de la personne concernée. (2) Le consentement visé à l'alinéa 1 ci-dessus intervient après information de la personne concernée conformément aux dispositions de la présente loi.Source, read on 2026-10-10

autorité — existence effective, pas seulement prévue par la loi

L'autorité : sa création par le texte: Article 53ARTICLE 53.- (1) L'Autorité de protection des données à caractère personnel est un organisme public indépendant chargé, notamment : - de veiller à l'application de la présente loi, des textes pris pour son application ainsi que des conventions internationales en la matière ; - de délivrer les autorisations prévues par la présente loi, assorties des cahiers de charges conséquents ; - d'élaborer, publier et mettre à jour le référentiel des mesures techniques et organisationnelles des données à caractère personnel ; - d'approuver les mécanismes de certification des processus et techniques de traitement des données à caractère personnel ; - de traiter les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association et, dans la mesure nécessaire, examiner ou enquêter sur l'objet desdites réclamations, pétitions ou plaintes, et informer l'auteur de la réclamation, pétition ou plainte de l'état d'avancement et de l'issue de l'enquête dans un délai raisonnable ; - d'établir et publier la liste des pays reconnus comme offrant un niveau de protection des données à caractère personnel équivalent aux exigences prévues par le droit camerounais ; - de coopérer avec d'autres autorités en charge de la protection des données à caractère personnel, en liaison avec les administrations et structures concernées. (2) La création, ainsi que l'organisation et le fonctionnement de l'Autorité de protection visée à l'alinéa 1 ci-dessus sont fixées par un décret du Président de la République.Source, read on 2026-10-10

Billing

The CFA franc catalogue applies: the parity with the euro is fixed by treaty and does not move.

← All jurisdictions