Loi n° 25-11 du 28 Moharram 1447 correspondant au 24 juillet 2025 modifiant et complétant la loi n° 18-07 du 25 Ramadhan 1439 correspondant au 10 juin 2018 relative à la protection des personnes physiques dans le traitement des données à caractère personnel

La présente loi a pour objet de modifier et de compléter la loi n° 18-07 du 25 Ramadhan 1439 correspondant au 10 juin 2018 relative à la protection des personnes physiques dans le traitement des données à caractère personnel. 24 juillet 2025

Les dispositions des articles 3 et 6 de la loi n°18-07 du 25 Ramadhan 1439 correspondant au 10 juin 2018 susvisée, sont modifiées, complétées et rédigées ainsi qu’il suit :

« Art. 3. — Aux fins de la présente loi, on entend par ..................... (sans changement jusqu'à) la fin de la définition de la fermeture des données :

- Données biométriques : données à caractère personnel résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique, qui permettent ou confirment son identification unique ;

- Profilage : toute forme d’utilisation des données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts personnels, la fiabilité, le comportement, la localisation ou les déplacements de cette personne ;

- Pseudonymisation : traitement des données à caractère personnel de telle manière qu’elles ne puissent désormais être attribuées à une personne concernée sans recourir à des informations supplémentaires ;

- Autorité compétente : toute autorité publique compétente en matière de prévention et de détection des infractions, d’investigations, d’enquête et de poursuites, ainsi que d’exécution et d’application des peines, ou tout organisme ou entité jouissant des prérogatives de puissance publique et exerçant des pouvoirs de la force publique à des fins de prévention et de détection des infractions, d’investigations, d’enquête, de poursuites pénales, d’exécution et d’application des peines ;

- Violation des données à caractère personnel : toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, la modification, la divulgation ou l'accès non autorisés aux données à caractère personnel transmises, conservées ou traitées d'une autre manière ;

- Organisation internationale : toute entité et ses organes affiliés régis par le droit international public, ou tout autre organisme créé par un accord entre deux Etats ou plus, ou en vertu d'un tel accord. ».

« Art. 6. — Sont exclues du champ d’application de la présente loi, les données à caractère personnel :

1- ....................... (sans changement) ............................... ;

2- relatives à la défense et à la sécurité nationales. ».

La loi n° 18-07 du 25 Ramadhan 1439 correspondant au 10 juin 2018 susvisée, est complétée par un article 27 bis rédigé comme suit :

« Art. 27 bis. — L’Autorité nationale est dotée de pôles régionaux chargés du contrôle et de l’audit auprès des institutions et des personnes traitant des données à caractère personnel. 28 Moharram 1447 JOURNAL OFFICIEL DE 24 juillet 2025 Les conditions et les modalités d’application du présent article sont fixées par voie réglementaire. ».

Le titre V de la loi n° 18-07 du 25 Ramadhan 1439 correspondant au 10 juin 2018 susvisée, est complété par un chapitre I bis, intitulé « Du délégué à la protection des données à caractère personnel », comprenant les articles 41 bis et 41 bis 1, rédigés comme suit :

« Chapitre I bis Du délégué à la protection des données à caractère personnel »

« Art. 41 bis. — Le responsable du traitement et l’autorité compétente désignent, chacun en ce qui le concerne, un délégué à la protection des données à caractère personnel, choisi en fonction de ses qualités professionnelles, notamment de ses connaissances spécialisées du droit et des pratiques relatives à la protection des données.

Les juridictions sont dispensées de cette obligation lorsqu’elles exercent leurs fonctions juridictionnelles.

Il peut être désigné un seul délégué à la protection des données à caractère personnel, auprès de plusieurs autorités compétentes et responsables de traitement, eu égard à leur structure organisationnelle et à leur taille.

Le responsable du traitement et les autorités compétentes communiquent à l’autorité nationale les informations qui permettent de contacter le délégué à la protection des données. ».

« Art. 41 bis 1. — Le délégué à la protection des données à caractère personnel est chargé, notamment :

— d’informer et de conseiller le responsable du traitement et les personnels en charge du traitement des obligations qui leur incombent en vertu de la présente loi ;

— de contrôler le respect de la présente loi ainsi que des procédures internes du responsable du traitement en matière de protection des données à caractère personnel, y compris la répartition des responsabilités, la sensibilisation et la formation des personnels participant aux opérations de traitement et aux opérations d’audits pertinentes ;

— de fournir des conseils, sur demande, en ce qui concerne l’analyse de l’impact du traitement sur la protection des données à caractère personnel et de surveiller sa mise en œuvre, conformément aux dispositions de l’article 45 bis 6 de la présente loi.

Le délégué à la protection des données à caractère personnel est le point focal avec l’autorité nationale. ».

LA REPUBLIQUE ALGERIENNE N° 48 15

Le Titre V de la loi n° 18-07 du 25 Ramadhan 1439 correspondant au 10 juin 2018 susvisée, est complété par un Chapitre 1 bis 1 intitulé « Registres et carnets de traitement », comprenant les articles 41 bis 2 et 41 bis 3, rédigés comme suit :

« Chapitre 1 bis 1 Des registres et carnets de traitement »

« Art. 41 bis 2. — Le responsable du traitement tient un registre des activités de traitement effectuées sous sa responsabilité, comprenant, notamment :

— les noms et les coordonnées de contact du responsable du traitement et de son délégué ;

— les finalités et le fondement juridique de l’opération de traitement ;

— les catégories des destinataires auxquels les données à caractère personnel ont été ou seront communiquées, y compris les destinataires dans les autres Etats ou Organisations internationales ;

— une description des catégories de personnes et de données à caractère personnel concernées ;

— la mention, dans la mesure du possible, des délais prévus pour l’effacement partiel ou total des données à caractère personnel ;

— une description générale des mesures techniques et organisationnelles de sécurité mises en place.

Le sous-traitant tient également un registre des activités de traitement effectuées pour le compte du responsable du traitement, comprenant notamment, le nom et les coordonnées de contact du sous-traitant ainsi que les catégories de traitement réalisées pour le compte du responsable du traitement et, dans la mesure du possible, une description générale des mesures techniques et organisationnelles de sécurité mises en œuvre.

Les registres prévus par le présent article doivent être tenus sous format papier ou électronique et mis, sur sa demande, à la disposition de l’autorité nationale. ».

« Art. 41 bis 3. — Le responsable du traitement ainsi que le sous-traitant tiennent chacun un carnet automatisé des opérations de traitement des données à caractère personnel comprenant, au moins, les opérations de collecte, d’inscription, d’organisation, de conservation, d’adaptation, de modification, d’extraction, de consultation, d’utilisation ou de communication par transmission, de diffusion ou de toute autre forme de mise à disposition, de rapprochement ou d’interconnexion, ainsi que de verrouillage, de chiffrement, d’effacement ou de destruction.

Le carnet des opérations permet d’identifier les motifs, la date et l’heure des opérations susvisées et, dans la mesure du possible, la détermination de l’identité de la personne ayant utilisé, consulté ou divulgué les données, ainsi que l’identité des destinataires. Il est mis, sur sa demande, à la disposition de l’autorité nationale.

Le carnet des opérations est utilisé, exclusivement, aux fins de vérification de la légalité du traitement, du contrôle interne, de la garantie de l’intégrité et de la sécurité des données ainsi que pour les besoins des procédures pénales. ».

La loi n° 18-07 du 25 Ramadhan 1439 correspondant au 10 juin 2018 susvisée, est complétée par un Titre V bis, intitulé : « Traitement des données à caractère personnel à des fins de prévention et de détection des infractions, d’investigations, d’enquêtes, de poursuites pénales, d’exécution et d’application des peines », comprenant les articles 45 bis à 45 bis 14, rédigés comme suit :

« Titre V bis Traitement des données à caractère personnel à des fins de prévention et de détection des infractions, d’investigations, d’enquêtes, de poursuites pénales, d’exécution et d’application des peines »

Chapitre 1er Principes fondamentaux

« Art. 45 bis. — Le traitement des données à caractère personnel à des fins de prévention et de détection des infractions, d’investigations, d’enquêtes, de poursuites pénales, d’exécution et d’application des peines, ne peut être effectué que par :

— l’autorité judiciaire ;

— les services et organismes légalement habilités à rechercher les infractions et à identifier les auteurs, dans les limites de leurs attributions et compétences ;

— les auxiliaires de justice, dans le cadre de leurs attributions légales et pour une durée proportionnée aux missions qui leur sont confiées ;

— les services de l’administration pénitentiaire, dans les limites de leurs attributions et compétences.

Le traitement visé au présent article doit définir le responsable du traitement, la finalité du traitement, les personnes concernées, les tiers auxquels ces données peuvent être communiquées, l’origine de ces données et les mesures à prendre pour assurer la sécurité du traitement qui doit respecter les dispositions de l’alinéa 1er de l’article 9 de la présente loi.

Nonobstant les dispositions des articles 7 et 8 de la présente loi, le consentement préalable de la personne concernée n’est pas requis pour le traitement des données à caractère personnel prévues au présent titre.

Les données à caractère personnel collectées par les autorités compétentes en vertu du présent titre, ne peuvent être traitées qu’aux fins de prévention et de détection des infractions, d’investigations, d’enquêtes, de poursuites pénales, d’exécution et d’application des peines. En cas de traitement à d’autres fins, les dispositions législatives pertinentes prévues dans la présente loi et dans la législation en vigueur sont applicables. ». 24 juillet 2025

« Art. 45 bis 1. — Les décisions de justice nécessitant une appréciation du comportement d'une personne ne peuvent être fondées sur le seul traitement automatisé des données à caractère personnel impliquant l'évaluation de certains aspects de sa personnalité.

Toute autre décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données ayant pour objet de caractériser une personne ou d'évaluer certains aspects de sa personnalité.

Ne sont pas considérées comme prises sur le seul fondement d'un traitement automatisé, les décisions qui sont prises dans le cadre de la conclusion ou de l’exécution d'un contrat et dans lesquelles la personne concernée a été mise à même de présenter ses observations, ni celles satisfaisant les demandes de la personne concernée. ».

« Art. 45 bis 2. — Lorsque des données à caractère personnel figurent dans une ordonnance, un jugement, un arrêt ou dans un dossier judiciaire, les dispositions du code de procédure pénale pertinentes doivent être prises en compte. ».

Chapitre 2 Obligations du responsable du traitement

« Art. 45 bis 3. — Le responsable du traitement doit, dans la mesure du possible, distinguer clairement les données relatives aux catégories de personnes concernées, notamment :

— les personnes dont il existe des raisons sérieuses de penser qu'elles ont commis ou sont sur le point de commettre une infraction ;

— les personnes condamnées pour une infraction ;

— les victimes ou les personnes qui, au vu de certains faits, sont supposées être victimes d'une infraction ;

— les personnes qui peuvent être amenées à témoigner dans le cadre d'enquêtes sur des infractions ou de procédures pénales ultérieures ou les personnes qui peuvent fournir des informations sur des infractions.

En outre, il doit tenir les registres prévus aux articles 41 bis 2 et 41 bis 3 de la présente loi. ».

Chapitre 3 Droits de la personne concernée

« Art. 45 bis 4. — La personne concernée bénéficie des droits prévus aux articles 32 (tirets 1, 2 et 3 du 1er alinéa), 34 et 35 de la présente loi.

Toutefois, les droits de la personne concernée en vertu du présent titre peuvent être restreints, refusés ou retardés, en totalité ou en partie, à condition que cela soit nécessaire et proportionné à la préservation des droits et libertés fondamentaux et des intérêts légitimes de la personne concernée, afin :

1- d’éviter d'entraver les investigations, les enquêtes ou les procédures officielles ou judiciaires. 28 Moharram 1447 JOURNAL OFFICIEL DE 24 juillet 2025

2- d’éviter d'entraver les mesures de prévention ou de détection des infractions, le déroulement des investigations, des enquêtes, d'instructions, de poursuites pénales, d'exécution ou d’application des peines.

3- de protéger la sécurité publique ou la sécurité nationale.

4- de protéger les droits et libertés d'autrui.

Dans les cas visés ci-dessus, le responsable du traitement doit, par écrit ou par voie électronique, informer, dans les meilleurs délais, la personne concernée de tout refus, limitation ou retardement des droits cités et de leurs motifs, ainsi que de son droit d'introduire une réclamation auprès de l'autorité nationale ou de recourir à la justice.

Il peut être dérogé à l’obligation de communiquer au concerné les informations prévues dans le tiret 1er de l’article 34 de la présente loi, s’il existe un risque de ne pas atteindre les objectifs mentionnés à l’alinéa 2 du présent article. ».

« Art. 45 bis 5. — La personne concernée peut également exercer ses droits dans les cas prévus à l'article 45 bis 4 de la présente loi, par l'intermédiaire de l'autorité nationale.

Le responsable du traitement des données doit informer la personne concernée de la possibilité d'exercer ses droits à travers l'autorité nationale, conformément aux dispositions du 1er alinéa du présent article.

Si les droits sont exercés conformément au premier alinéa du présent article, l'autorité nationale doit informer la personne concernée que tous les examens et les vérifications nécessaires ont été effectués ou de son droit d'introduire un recours judiciaire. ».

Chapitre 4 De l’étude d’impact du traitement et de la violation des données à caractère personnel

« Art. 45 bis 6. — Lorsqu'il est probable qu'un type de traitement, notamment en utilisant de nouvelles technologies, est susceptible d'engendrer des risques élevés pour les droits et les libertés des personnes physiques, le responsable du traitement doit étudier, avant le traitement, l’impact des opérations de traitement à effectuer sur les données à caractère personnel, en tenant compte de la nature, de la portée, du contexte et des objectifs du traitement.

L’étude prévue au présent article doit comprendre, au moins, une description générale des opérations de traitements à effectuer, une évaluation des risques pour les droits et les libertés des personnes concernées, les mesures envisagées pour faire face à ces risques, les garanties, les mesures de sécurité et les mécanismes susceptibles d’assurer la protection des données à caractère personnel et d’apporter la preuve du respect des dispositions de la présente loi, eu égard aux droits et aux intérêts légitimes des personnes concernées et des autres personnes. ».

LA REPUBLIQUE ALGERIENNE N° 48 17

« Art. 45 bis 7. — Le responsable du traitement ou le sous-traitant doit mettre en place les mesures techniques et organisationnelles internes appropriées pour protéger les données à caractère personnel contre la destruction accidentelle ou illicite, la perte accidentelle, l'endommagement, la diffusion ou l'accès non autorisés, en particulier lorsque le traitement nécessite la transmission des données sur un réseau particulier, ainsi que la protection contre toute forme de traitement illicite.

Le responsable du traitement ou le sous-traitant doit également mettre en place des mesures techniques et organisationnelles internes adéquates pour assurer un niveau approprié de protection contre les risques, en particulier pour les traitements portant sur des données sensibles et biométriques, compte tenu de l'état des connaissances, du coût de la mise en service du traitement, de sa nature, de sa portée, de son contexte et de ses finalités. ».

« Art. 45 bis 8. — En cas de violation de données à caractère personnel, le responsable du traitement doit en informer l'autorité nationale, au plus tard, cinq (5) jours après en avoir pris connaissance.

Si la notification est faite hors ce délai, elle doit indiquer les raisons du retard.

Le sous-traitant doit informer le responsable du traitement, dès qu'il en a eu connaissance, de la violation de données à caractère personnel.

La notification visée au présent article comprend, au moins, les informations suivantes :

— la description de la nature de la violation des données à caractère personnel ;

— la description des conséquences possibles de la violation des données à caractère personnel ;

— la description des mesures prises ou qu'il est proposé de prendre, pour alléger les conséquences négatives éventuelles.

Si le responsable du traitement ou le sous-traitant n'est pas en mesure de fournir toutes ces informations en même temps, elles peuvent être communiquées progressivement. ».

« Art. 45 bis 9. — Le responsable du traitement des données doit documenter toutes violations des données à caractère personnel, leurs effets et les mesures rectificatives prises.

Cette documentation comprend les informations permettant à l'autorité nationale de vérifier le respect des présentes dispositions. ».

« Art. 45 bis 10. — Si la violation des données à caractère personnel est susceptible de causer un risque élevé pour les droits et les libertés des personnes physiques, le responsable du traitement en saisit la personne concernée en des termes simples et clairs avec une description des conséquences.

La saisine doit contenir les informations prévues à l’alinéa 4 de l’article 45 bis 8 de la présente loi et les coordonnées de contact du responsable du traitement.

La notification d'une violation des données à la personne concernée peut être retardée, limitée ou ne pas être effectuée, tant qu'il s'agit d'une mesure nécessaire et proportionnée, pour éviter d'entraver les mesures de prévention ou de détection des infractions, les investigations, les enquêtes, les instructions et les poursuites pénales, l'exécution ou l’application des peines, la protection de la sécurité nationale ou de la sûreté publique, ou pour protéger les droits et libertés des personnes, sans préjudice des droits et libertés fondamentaux légitimes. ».

« Art. 45 bis 11. — La personne responsable du traitement et le sous-traitant coopèrent avec l'autorité nationale dans l'exercice de ses missions et la consultent avant tout traitement des données à caractère personnel qui constituent une partie d’un nouveau fichier envisagé, lorsque l'étude d'impact sur les données à caractère personnel mentionnée à l'article 45 bis 6 de la présente loi, indique que le traitement présente un risque élevé, si le responsable du traitement ne prend pas de mesures pour atténuer le risque, ou lorsque le traitement présente un risque élevé pour les droits et les libertés des personnes concernées, compte tenu des mécanismes ou technologies utilisés.

L'autorité nationale peut établir une liste des traitements qui sont soumis à sa consultation. ».

Chapitre 5 Du contrôle

« Art. 45 bis 12. — L’autorité nationale effectue les vérifications et les examens prévus dans le présent titre et contrôle le respect du traitement des données à caractère personnel des droits et des libertés de la personne concernée.

Dans ce cas, l'autorité nationale charge l’un de ses membres pour procéder à toutes vérifications et tous examens nécessaires ainsi qu'à toutes démarches utiles auprès des autorités compétentes.

Dans l’exercice de ses missions prévues dans le présent titre, l’autorité nationale ne peut s’immiscer dans aucune procédure judiciaire ni dans les prérogatives du pouvoir judiciaire. ».

Chapitre 6 Du transfert des données vers un pays étranger ou à une organisation internationale

« Art. 45 bis 13. — L'autorité compétente évalue dans le transfert de données vers un Etat étranger ou à une organisation internationale, le niveau de protection adéquat garanti par l'Etat ou l'organisation internationale concernés, en tenant compte notamment du respect des droits de l'Homme et des libertés fondamentales, des prescriptions légales en vigueur dans cet Etat ou cette organisation internationale, de leur applicabilité, des mesures de sécurité applicables et de l'existence d'une autorité nationale chargée de contrôler les données à caractère personnel dans cet Etat ou cette organisation internationale et s’ils disposent d'une autorité suffisante pour faire respecter les règles de protection des données à caractère personnel dans les cas suivants :

— lorsque le transfert est nécessaire à des fins de prévention ou de détection d'infractions, des investigations, d'enquêtes, d’instructions, de poursuites pénales, d'exécution ou d’application des peines ; 24 juillet 2025

— lorsque les données sont transférées à une autorité compétente aux fins prévues au 1er tiret du présent article ;

— pour tenir compte de la gravité de l'infraction, de la finalité et du niveau de protection des données à caractère personnel dans l'autre pays ou l’organisation internationale vers lesquels les données à caractère personnel sont transférées.

Si les garanties sont insuffisantes dans l'Etat étranger ou l’organisation internationale, l'autorité compétente peut transférer ou autoriser le transfert des données à caractère personnel à condition que le transfert soit nécessaire :

— pour protéger les intérêts vitaux de la personne concernée ou de toute autre personne ;

— pour protéger les intérêts légitimes de la personne concernée ;

— pour prévenir une menace immédiate et grave à la sécurité publique de l'Etat concerné ou d'un autre Etat ;

— dans des cas individuels, aux fins de prévention ou de détection d'infractions, d'enquêtes, d’instructions ou de poursuites pénales, d'exécution ou d’application des peines ou de l'exercice des droits de la défense.

Les données transférées sont conservées pendant la période convenue et, le cas échéant, pendant la période nécessaire aux fins pour lesquelles elles ont été demandées. ».

« Art. 45 bis 14. — Les données à caractère personnel qui proviennent d'un pays étranger ou d'une organisation internationale ne peuvent être transférées, vers un autre Etat ou à une autre organisation internationale, à moins que l'Etat ou l'organisation internationale qui a envoyé les données n'ait préalablement accepté ce transfert.

Toutefois, s'il n'est pas possible d'obtenir l'autorisation préalable en temps utile, les données concernées peuvent être transmises, sans l’accord préalable, lorsque ce transfert est nécessaire pour les intérêts fondamentaux de l'Etat, ou pour empêcher une menace grave et immédiate à la sécurité publique de l'Etat concerné ou de celle d’un autre Etat.

L'autorité à l'origine des données à caractère personnel est immédiatement informée.

L’autorité compétente peut, avant le transfert des données à caractère personnel, demander l’avis de l'autorité nationale. ».

Sont abrogées, les dispositions des articles 10 et 11 de la loi n° 18-07 du 25 Ramadhan 1439 correspondant au 10 juin 2018 relative à la protection des personnes physiques dans le traitement des données à caractère personnel.

La présente loi sera publiée au Journal officiel de la République algérienne démocratique et populaire.

Fait à Alger, le 28 Moharram 1447 correspondant au 24 juillet 2025.

Abdelmadjid TEBBOUNE. 28 Moharram 1447 JOURNAL OFFICIEL DE 24 juillet 2025 LA REPUBLIQUE ALGERIENNE N° 48 19 DECISIONS INDIVIDUELLES