La transformation numérique de la République Démocratique du Congo s’accompagne d’un nouveau défi pour les entreprises : la protection des données personnelles. Longtemps ignorée ou perçue comme une question technique, cette obligation légale s’impose désormais à toutes les PME congolaises, sous peine de lourdes sanctions.
Un cadre juridique désormais en place
Depuis l’adoption de la loi n° 20/017 du 25 novembre 2020 et plus récemment du Code du Numérique (Ordonnance-loi n° 23/010 du 13 mars 2023), la RDC dispose d’une législation claire sur la collecte, le stockage et le traitement des données personnelles. Le texte prévoit même la création d’une Autorité de Protection des Données (APD). En attendant sa mise en place effective, c’est l’ARPTIC qui assume ce rôle de régulation transitoire.
Toute entreprise opérant en RDC ou utilisant des moyens techniques basés dans le pays est soumise à cette loi – y compris les sociétés étrangères.
Mais qu’entend-on par “données personnelles” ?
Il s’agit de toute information permettant d’identifier une personne physique, directement ou indirectement : nom, adresse, numéro de téléphone, email, mais aussi des données sensibles comme l’origine ethnique, les opinions politiques ou l’état de santé.
Les 5 obligations principales pour les PME
-
Consentement explicite : aucune donnée ne peut être collectée sans l’accord clair de la personne concernée.
-
Registre des traitements : chaque entreprise doit tenir à jour un tableau listant les données collectées, les finalités, les durées de conservation, etc.
-
Sécurité renforcée : les données doivent être protégées contre tout accès non autorisé via des mesures comme le chiffrement ou l’authentification à deux facteurs.
-
Information des clients : les personnes doivent être informées de leurs droits, notamment celui d’accéder à leurs données, de les corriger ou de s’opposer à leur traitement.
-
Contrôle des transferts à l’étranger : toute transmission de données en dehors de la RDC doit être autorisée par l’ARPTIC.
Des sanctions lourdes pour les contrevenants
Les PME qui ignorent ces obligations s’exposent à des amendes pouvant atteindre 100 millions de francs congolais (environ 34 000 USD). En cas de traitement illicite ou de fuite de données sensibles, des peines de prison allant jusqu’à 5 ans sont prévues.
Se mettre en règle : mode d’emploi simplifié
-
Identifier les données collectées (clients, employés, partenaires)
-
Désigner un point focal pour la protection des données
-
Mettre à jour les contrats avec les sous-traitants (hébergeurs, prestataires RH)
-
Rédiger une politique de confidentialité
-
Sécuriser les systèmes informatiques
-
Former les équipes aux bonnes pratiques
Une opportunité pour les entreprises
Si elle peut sembler contraignante au premier abord, cette conformité est aussi une opportunité stratégique. Dans un monde où la confiance numérique devient un atout commercial, les PME capables de garantir la confidentialité des données personnelles se démarquent.
Conclusion
La protection des données n’est plus un concept abstrait réservé aux multinationales. En RDC, c’est désormais une exigence légale pour toutes les entreprises, y compris les plus petites. Pour les PME congolaises, il s’agit de passer d’un simple réflexe de conformité à une véritable culture de la confidentialité.
