Loi 18-07 : vos données clients ne vous appartiennent pas

Cet article explique la logique du texte et les mesures pratiques côté site. Ce n'est pas un avis juridique : les modalités des formalités auprès de l'autorité évoluent, faites qualifier votre situation par un juriste.

« Je n'ai pas de base de données » — si, vous en avez une

La loi 18-07, promulguée en 2018, encadre la protection des personnes physiques dans le traitement de leurs données à caractère personnel. On la compare souvent au RGPD européen, et la comparaison aide à saisir l'esprit du texte : les données d'une personne restent les siennes, et celui qui les collecte doit pouvoir dire pourquoi il les a, ce qu'il en fait, avec qui il les partage et combien de temps il les garde. Une autorité de contrôle, l'ANPDP, veille à l'application du texte, et les manquements sont pénalement sanctionnés.

Le malentendu le plus fréquent chez les marchands algériens est de croire que la loi ne visait que les grandes entreprises et les administrations. Or le périmètre est défini par la nature de l'activité, pas par sa taille : dès lors que vous conservez des noms, des numéros de téléphone et des adresses de clients — même dans un simple tableur, même sur votre téléphone — vous êtes responsable d'un traitement de données personnelles. Une liste de diffusion WhatsApp de mille numéros de clients est un traitement. Un export de commandes envoyé par messagerie à un prestataire est un transfert. Le sujet vous concerne dès la première vente.

Sept obligations, traduites en langage de boutique

Le texte est rédigé en langage juridique, ce qui décourage la plupart des marchands. Voici la traduction opérationnelle : ce que chaque obligation veut dire, et à quoi elle correspond concrètement dans la vie d'une boutique en ligne algérienne.

Où vont réellement les données de vos clients

Avant de parler de conformité, il faut savoir ce qu'on transfère. Et sur ce point, la plupart des boutiques se trompent : elles pensent que leurs données « sont dans le site », alors qu'elles circulent en réalité entre une demi-douzaine de destinations, dont plusieurs à l'étranger. Voici la cartographie type.

L'angle mort : pixels publicitaires et accès des prestataires

Un pixel publicitaire ne « compte » pas des visites : il envoie à une plateforme étrangère le comportement d'un visiteur identifiable, souvent enrichi des événements d'achat. Vous cumulez donc deux enjeux — le consentement du visiteur et le transfert hors d'Algérie. Le minimum sérieux : informer clairement dans une politique de confidentialité réellement lisible, ne déclencher les traceurs non essentiels qu'après un choix explicite, et surtout ne pas transmettre aux plateformes des listes de numéros de téléphone de clients sans base légale claire — pratique courante et pourtant très exposée.

L'autre angle mort est humain. Le transporteur reçoit nom, téléphone et adresse ; l'agence publicitaire accède à vos audiences ; le freelance qui a monté votre boutique garde parfois un accès administrateur des mois après la fin du travail. Le texte prévoit que le recours à un sous-traitant s'accompagne d'engagements contractuels comportant des clauses de protection des données. En pratique : n'envoyez que le nécessaire, faites signer un engagement de confidentialité, créez des comptes nominatifs plutôt qu'un mot de passe partagé, et révoquez les accès dès la fin de la collaboration. Les fuites réelles en Algérie viennent presque toujours de là, pas d'une attaque sophistiquée.

La mise en conformité, étape par étape

Bonne nouvelle : l'essentiel du travail est technique et organisationnel, donc à votre portée. Voici l'ordre dans lequel avancer — en gardant à l'esprit que la qualification juridique de vos traitements et les formalités auprès de l'autorité se font avec un juriste.

1. 01

   Cartographier vos données avant toute chose

   Listez ce que vous collectez, où c'est stocké, qui y a accès et vers quels pays cela part. La plupart des marchands découvrent à cette étape qu'ils transfèrent des données hors d'Algérie sans le savoir, via un hébergement, une sauvegarde ou un outil tiers. On ne peut pas se mettre en conformité sur ce qu'on n'a pas cartographié.

2. 02

   Supprimer ce que vous n'avez pas besoin de collecter

   La minimisation est la mesure la moins coûteuse et la plus efficace : une donnée que vous ne collectez pas ne peut ni fuir, ni être réclamée, ni vous exposer. Elle a en plus un bénéfice commercial immédiat, puisque chaque champ retiré du formulaire de commande améliore votre taux de conversion.

3. 03

   Séparer la commande du marketing dans le tunnel

   Les données de livraison relèvent de l'exécution de la vente ; l'inscription à vos SMS ou à votre liste WhatsApp relève d'un consentement distinct, avec une case non pré-cochée et un libellé explicite. Ajouter d'office tout acheteur à une liste promotionnelle est exactement ce que la loi n'admet pas.

4. 04

   Publier des pages lisibles, en français et en arabe

   Politique de confidentialité, mentions, conditions générales : elles doivent dire simplement quelles données vous collectez, pourquoi, combien de temps vous les gardez, avec qui vous les partagez et comment un client peut demander leur suppression. Un texte copié d'un site étranger et jamais relu ne protège personne.

5. 05

   Reprendre le contrôle des traceurs publicitaires

   Ne déclenchez les pixels et outils de mesure non essentiels qu'après un choix explicite du visiteur, et n'envoyez pas aux plateformes plus de données personnelles que nécessaire — en particulier pas de listes de numéros de clients sans base légale claire. C'est le point le plus souvent ignoré, et l'un des plus exposés.

6. 06

   Encadrer les prestataires et fermer les accès

   Engagement de confidentialité pour le transporteur, l'agence, le freelance et le développeur ; comptes nominatifs plutôt qu'un mot de passe partagé ; révocation des accès dès la fin d'une collaboration. Les fuites viennent presque toujours d'un accès resté ouvert, pas d'une attaque spectaculaire.

7. 07

   Accomplir les formalités et tenir le registre

   Faites la déclaration préalable auprès de l'ANPDP pour vos traitements, avec l'appui d'un juriste puisque les modalités évoluent, et tenez un registre daté des incidents de sécurité et des mesures prises. Un document simple mais réellement tenu vaut mieux qu'une procédure parfaite qui n'existe que sur le papier.

Questions fréquentes sur la loi 18-07 et les données clients

• Q01Qu'est-ce que la loi 18-07 et pourquoi concerne-t-elle une boutique en ligne ?

  La loi 18-07, promulguée en 2018, encadre la protection des personnes physiques dans le traitement de leurs données à caractère personnel en Algérie. On la présente souvent comme l'équivalent algérien du RGPD européen, et le rapprochement est utile pour comprendre l'esprit du texte : les données d'une personne lui appartiennent, et celui qui les collecte doit pouvoir justifier pourquoi, comment et pour combien de temps. Une boutique en ligne est directement concernée parce que son activité repose sur des données personnelles : nom, numéro de téléphone, adresse, wilaya, historique de commandes. Beaucoup de marchands pensent être hors périmètre parce qu'ils « n'ont pas de base de données » — mais un simple fichier de numéros de clients ou une liste de diffusion WhatsApp constitue déjà un traitement au sens de la loi.

• Q02Qu'est-ce que l'ANPDP et que faut-il lui déclarer ?

  L'ANPDP est l'Autorité nationale de protection des données personnelles, chargée de veiller à l'application de la loi. Le principe posé par le texte est celui d'une démarche préalable : le responsable du traitement doit se déclarer auprès de l'autorité avant de commencer à traiter des données, certaines catégories de traitements plus sensibles relevant d'un régime d'autorisation plus strict. Concrètement, pour une boutique, cela signifie identifier ce que vous traitez (fichier clients, historique de commandes, prospection commerciale) et accomplir la formalité correspondante auprès de l'autorité. Comme les modalités pratiques et les formulaires évoluent, vérifiez la procédure en vigueur auprès de l'ANPDP ou d'un juriste avant de vous lancer : cet article vous donne la logique, pas un formulaire à recopier.

• Q03Le consentement du client : à quoi ressemble-t-il concrètement sur un site ?

  La loi exige un consentement libre, éclairé et explicite. En pratique, cela impose de séparer nettement deux choses qu'on mélange presque toujours. Premièrement, les données nécessaires à l'exécution de la commande — nom, téléphone, adresse — qui sont la base même du contrat de vente : on les collecte pour livrer, on l'explique, et le client sait à quoi elles servent. Deuxièmement, tout ce qui va au-delà : ajout à une liste de diffusion WhatsApp, envoi de SMS promotionnels, publicités ciblées. Ce second usage demande un accord distinct, matérialisé par une case à cocher non pré-cochée, avec un libellé clair. Ajouter automatiquement chaque acheteur à sa liste de promotions parce qu'il a commandé une fois est précisément ce que la loi n'admet pas.

• Q04Mon hébergement à l'étranger pose-t-il un problème ?

  C'est le point le plus souvent découvert trop tard. La loi encadre les transferts de données personnelles vers l'étranger et les soumet à une autorisation préalable de l'autorité. Or une boutique moderne transfère des données hors d'Algérie en permanence sans y penser : hébergement sur une plateforme étrangère, sauvegardes dans un nuage international, outil d'e-mailing, tableur en ligne partagé avec un prestataire, service de statistiques. Deux conséquences pratiques. D'abord, cartographiez honnêtement où vont vos données — beaucoup de marchands ne le savent pas. Ensuite, sachez qu'un hébergement en Algérie simplifie la question du transfert, tandis qu'un hébergement à l'étranger demande d'examiner votre situation au regard des exigences d'autorisation. C'est un sujet à traiter avec un juriste, pas à trancher au feeling.

• Q05Le pixel Facebook, TikTok ou Google Analytics sont-ils concernés ?

  Oui, et c'est l'angle mort de la quasi-totalité des boutiques algériennes. Un pixel publicitaire ne se contente pas de « compter les visites » : il transmet à une plateforme étrangère des informations sur le comportement d'un visiteur identifiable, souvent enrichies des événements d'achat. Vous êtes donc à la fois dans la logique du consentement (le visiteur doit être informé et pouvoir refuser ce suivi) et dans celle du transfert hors d'Algérie. Le minimum sérieux consiste à informer clairement dans une politique de confidentialité lisible, à ne déclencher les traceurs non essentiels qu'après un choix explicite du visiteur, et à ne pas envoyer aux plateformes publicitaires plus de données personnelles que nécessaire — en particulier éviter de leur transmettre des listes de numéros de téléphone de clients sans base légale claire.

• Q06Que dois-je faire vis-à-vis de mon transporteur et de mon agence ?

  Dès que vous confiez des données de clients à un tiers — le transporteur qui reçoit nom, téléphone et adresse pour livrer, l'agence qui gère vos publicités, le freelance qui a accès à votre back-office — vous êtes dans une relation de sous-traitance que la loi encadre. Le texte prévoit que ce recours donne lieu à des engagements contractuels comportant des clauses de protection des données. En pratique, cela veut dire quatre choses simples : n'envoyez que les données strictement nécessaires à la mission, faites signer un engagement de confidentialité et de non-utilisation à vos prestataires, ne laissez pas des accès administrateur ouverts après la fin d'une collaboration, et évitez de faire circuler vos fichiers clients par messagerie privée ou tableur non protégé, ce qui reste malheureusement la norme.

• Q07Qu'est-ce que le registre des violations et faut-il vraiment le tenir ?

  Un registre des violations est le document dans lequel vous consignez les incidents de sécurité touchant des données personnelles : accès non autorisé au back-office, fuite ou perte d'un fichier client, compte compromis, envoi d'informations au mauvais destinataire. Pour chaque incident, on note ce qui s'est passé, quelles données étaient concernées, quand cela a été découvert et quelles mesures correctives ont été prises. Ce n'est pas un exercice bureaucratique : c'est ce qui vous permet de démontrer que vous avez réagi, et c'est aussi ce qui vous force à corriger les causes plutôt qu'à espérer que ça ne se reproduise pas. Un simple document daté, tenu sérieusement, suffit à une petite boutique — l'absence totale de traçabilité, en revanche, est difficile à défendre.

• Q08Quels sont les risques concrets en cas de manquement ?

  La loi 18-07 n'est pas un texte purement déclaratif : les manquements sont pénalement sanctionnés, avec selon les infractions des peines pouvant aller jusqu'à plusieurs années d'emprisonnement et des amendes de l'ordre de plusieurs centaines de milliers de dinars. Mais pour la plupart des marchands, le risque le plus probable n'est pas le tribunal : c'est la plainte d'un client mécontent d'être harcelé par SMS, la fuite d'un fichier de numéros qui se retrouve entre les mains d'un concurrent, ou la perte de confiance du public après un incident rendu visible. Autrement dit, la conformité n'est pas seulement une question juridique, c'est une question de réputation — et sur un marché où la confiance est déjà le principal frein à l'achat en ligne, c'est loin d'être un détail.

• Q09Comment dzecom prépare une boutique sur le plan des données personnelles ?

  On traite le sujet comme une partie du travail technique, pas comme une case juridique à cocher après coup. Concrètement, on livre les pages qui doivent exister et être lisibles (politique de confidentialité, mentions, conditions), en français et en arabe ; on sépare dans le tunnel de commande les données nécessaires à la livraison et le consentement marketing, avec des cases distinctes non pré-cochées ; on ne déclenche les traceurs publicitaires qu'après le choix du visiteur ; on limite les données envoyées aux plateformes ; on cartographie où vont vos données (hébergement, sauvegardes, outils tiers, transporteur) pour que vous sachiez ce que vous transférez ; et on met en place une gestion propre des accès au back-office avec des comptes nominatifs révocables. Nous ne sommes pas un cabinet juridique : pour les démarches auprès de l'ANPDP et la qualification de vos traitements, on travaille avec votre juriste. La mise en conformité technique démarre à 25 000 DA HT.