Protection des données en RDC : les obligations des PME

La protection des données en RDC concerne aussi votre PME lorsque vous gérez des informations sur vos clients, salariés ou fournisseurs. Un fichier de paie, un carnet de commandes organisé ou une application commerciale peuvent être concernés. Pour commencer, identifiez les données utilisées, leur raison d’être et les personnes qui y accèdent. Les formalités dépendent ensuite du traitement : toutes les petites entreprises n’ont pas exactement les mêmes obligations.

Quel cadre légal s’applique à votre entreprise ?

Le Code du numérique, porté par l’ordonnance-loi n° 23/010 du 13 mars 2023, organise la protection des données personnelles au niveau national. Il prévoit une Autorité de protection des données, ou APD. Ses missions sont exercées à titre provisoire par l’Autorité de régulation de la poste et des télécommunications du Congo, l’ARPTC.

La décision n° 039/ARPTC/CLG/2025 du 11 septembre 2025 précise les procédures de déclaration et d’autorisation. Sa publication au Journal officiel est signalée dans le numéro spécial du 23 avril 2026. Pour préparer une démarche, adressez-vous à l’ARPTC afin d’obtenir les formulaires et les modalités applicables à votre traitement.

Reconnaître les données personnelles et limiter leur collecte

Un nom, un numéro de téléphone, une adresse, une photographie, une rémunération ou des références de paiement peuvent se rapporter à une personne identifiable. La protection ne se limite donc pas aux dossiers médicaux ni aux fichiers informatiques : les traitements non automatisés de données contenues dans un fichier sont également concernés.

Pour chaque formulaire, posez une question simple : cette information est-elle nécessaire au service proposé ? Évitez, par exemple, de demander une copie de pièce d’identité pour une simple demande de renseignements sans justification adaptée. Les données doivent rester pertinentes, exactes et proportionnées à leur usage.

Le consentement n’est pas l’unique fondement

L’article 192 prévoit le consentement ou la nécessité de respecter une obligation légale à laquelle le responsable du traitement est soumis. Il serait donc inexact d’affirmer que toute utilisation exige systématiquement un accord. Identifiez le fondement applicable à chaque usage ; lorsqu’un consentement est nécessaire, expliquez précisément ce qui est accepté et conservez une trace de cet accord.

Exemple fictif : une boutique de Lubumbashi souhaite utiliser les coordonnées de ses clients pour envoyer des promotions. Elle distingue cette utilisation de la gestion des commandes et recueille un accord clair pour la prospection. Elle prévoit aussi un moyen simple de demander l’arrêt des messages. Un numéro donné pour une livraison ne doit pas être ajouté automatiquement à une liste promotionnelle.

Déclaration, autorisation ou dispense : distinguer les démarches

Le Code pose un régime de déclaration préalable, avec des traitements soumis à autorisation et des dispenses de déclaration. Pour un traitement relevant de la déclaration, l’article 186 prévoit sa mise en œuvre dès réception du récépissé. Le dépôt d’un dossier ne supprime pas la responsabilité de l’entreprise.

• Autorisation préalable : l’article 187 vise notamment les données génétiques et médicales, les données relatives aux infractions et condamnations, les données biométriques, certains identifiants, certains traitements d’intérêt public et les transferts vers un pays tiers.
• Attention aux téléphones : cet article mentionne expressément les numéros de téléphone parmi les identifiants concernés. Ne classez donc pas automatiquement un fichier de contacts dans les traitements ordinaires soumis à simple déclaration.
• Dispense de déclaration : l’article 189 prévoit notamment des cas concernant la comptabilité générale, la rémunération du personnel et la gestion des fournisseurs. Une dispense de déclaration ne dispense pas de protéger les données et ne doit pas être étendue automatiquement à un traitement soumis à autorisation.

Avant de lancer un fichier commercial ou un système de pointage biométrique, faites qualifier le traitement par l’ARPTC ou un professionnel du droit congolais. Préparez sa finalité, les données utilisées, leur origine, les destinataires, les prestataires, les mesures de sécurité et les éventuels transferts. Demandez le formulaire et le barème applicables à votre dossier, puis conservez les justificatifs et les titres délivrés.

Registre et délégué : une exception à examiner pour les PME

Les articles 227 et 228 encadrent le registre des traitements et prévoient une exception aux obligations de registre et de désignation d’un délégué pour les PME et startups. Cette exception ne s’applique toutefois pas lorsque le traitement présente un risque pour les droits et libertés, n’est pas occasionnel ou porte notamment sur des catégories particulières de données ou des condamnations pénales. Le seul statut de PME ne suffit donc pas à conclure à une exemption.

Même lorsque vous bénéficiez d’une exception, un tableau de suivi reste utile. Organisez-le par usage plutôt que par logiciel. Le modèle ci-dessous constitue un point de départ ; un registre légal doit comporter toutes les mentions exigées par le Code.

Attribuez le suivi à une personne identifiée. Si un délégué est requis ou désigné, organisez son indépendance et évitez les conflits d’intérêts ; une nomination sur papier ne suffit pas.

Informer les personnes et traiter leurs demandes

Au plus tard lors de la collecte, expliquez qui utilise les données, pour quelles finalités, avec quels destinataires et pendant combien de temps. Précisez les coordonnées permettant d’exercer les droits applicables, notamment l’accès, la rectification ou l’opposition. Indiquez aussi le caractère obligatoire ou facultatif des réponses, les conséquences d’un refus, les éventuels transferts à l’étranger et la possibilité de réclamer auprès de l’autorité compétente. Si vous utilisez le profilage ou une décision automatisée, l’information doit également en tenir compte.

Une politique de confidentialité doit correspondre aux pratiques réelles de votre entreprise. Une notice affichée au comptoir peut compléter les explications données pour un formulaire papier ; une application doit rendre cette information accessible au moment utile.

Prévoyez un circuit simple : réception de la demande, vérification proportionnée de l’identité, recherche dans les fichiers concernés, réponse et conservation d’une trace. Pour la communication des renseignements demandés au titre de l’article 209, l’article 210 prévoit un délai maximal de soixante jours, sous réserve des aménagements qu’il encadre. L’article 215 prévoit trente jours pour l’effacement lorsque ses conditions sont réunies. Enregistrez donc la date et la nature de chaque demande.

Ne promettez pas l’effacement immédiat de tous les documents : certaines conservations peuvent répondre à une obligation légale. Expliquez le motif lorsqu’une demande ne peut pas être satisfaite entièrement.

Fixer des durées de conservation justifiées

Le Code limite la conservation identifiable à la durée nécessaire aux finalités, sous réserve des exceptions prévues. Il n’existe donc pas une durée unique à appliquer indistinctement à tous vos fichiers. Pour chaque usage, définissez une échéance et faites vérifier les obligations sectorielles, comptables ou sociales pertinentes avant d’effacer un document.

En pratique, programmez une revue des anciens prospects, candidatures et comptes inactifs. Évitez de conserver indéfiniment des copies de pièces d’identité « au cas où ». Pensez aussi aux exports, aux téléphones professionnels et aux dossiers partagés lorsque vous appliquez vos règles de conservation.

Sécuriser les fichiers et encadrer les prestataires

Les mesures suivantes constituent un socle pratique de cybersécurité :

• Utilisez des mots de passe longs et différents selon les services, et activez la double authentification lorsqu’elle est proposée.
• Appliquez rapidement les mises à jour de sécurité sur les ordinateurs, téléphones et logiciels.
• Effectuez des sauvegardes régulières, dont une copie déconnectée du réseau, et protégez leur accès.
• Formez les collaborateurs à reconnaître les messages suspects et à signaler rapidement une erreur ou une tentative d’hameçonnage.

Limitez également les accès aux besoins de chaque fonction. Un livreur n’a pas besoin de consulter les dossiers de paie. Retirez les accès devenus inutiles et rangez les dossiers papier dans un espace réservé aux personnes autorisées.

Lorsqu’un prestataire traite des données pour votre compte, le contrat doit encadrer notamment l’objet du traitement, sa durée, sa nature, sa finalité, les données concernées, les instructions et la confidentialité. Demandez aussi comment les fichiers seront récupérés ou supprimés en fin de prestation. Externaliser la paie ou l’hébergement ne transfère pas automatiquement toutes vos responsabilités.

Cloud et transferts à l’étranger

L’article 201 pose le principe du stockage ou de l’hébergement des données personnelles en RDC. Il encadre aussi les transferts vers l’étranger, notamment au regard du niveau de protection offert. Avant tout transfert effectif vers un État tiers ou une organisation internationale, il exige une autorisation préalable de l’autorité de protection des données. L’article 202 prévoit des cas de transfert lorsque le niveau de protection n’est pas adéquat ; le consentement ne doit pas être traité comme un remplacement de l’autorisation préalable.

Un service accessible depuis la RDC peut héberger ou traiter les données ailleurs. Avant une migration, demandez au fournisseur où se trouvent les fichiers et leurs sauvegardes, quels sous-traitants interviennent et depuis quels pays ils peuvent y accéder. Faites examiner les formalités et garanties applicables avant d’envoyer les données.

Comparez les solutions sur ces éléments, en plus du prix et de la capacité de stockage. Exigez une possibilité de récupération des fichiers et préparez une sauvegarde protégée avant tout changement de service.

Quelles conséquences en cas de manquement ?

Le Code prévoit des avertissements, des mises en demeure et des sanctions administratives. L’article 257 prévoit notamment, lorsque le responsable ne se conforme pas à la mise en demeure et dans le respect du contradictoire, une sanction de huit millions à deux cents millions de francs congolais si la violation n’a eu aucun impact grave sur l’État ou les personnes concernées. Ce montant ne constitue pas un tarif automatique applicable à toute erreur.

Des actions en réparation et des poursuites pénales peuvent également dépendre des faits et de leur qualification. Une fuite ne permet donc pas, à elle seule, d’annoncer une peine de prison uniforme. En cas d’incident, mobilisez rapidement votre prestataire compétent et un conseil juridique pour organiser la réponse et déterminer les démarches nécessaires.

Par où commencer dans votre PME ?

1. Recensez les fichiers, carnets, applications et prestataires qui utilisent des données personnelles.
2. Supprimez des formulaires les demandes inutiles et documentez chaque finalité ainsi que son fondement.
3. Faites déterminer les formalités applicables, y compris pour les numéros de téléphone, les données sensibles et les transferts.
4. Mettez en place les informations destinées aux personnes, les règles d’accès, les durées de conservation et les contrats nécessaires.
5. Programmez une révision lors d’un changement de logiciel, de prestataire ou d’usage des données.

Votre objectif est de pouvoir expliquer simplement quelles données vous détenez, pourquoi vous les utilisez, qui y accède et comment vous les protégez. Cette organisation doit évoluer avec l’activité de votre entreprise. Commencez par vos traitements réels et leurs risques : une politique de confidentialité copiée sur Internet ne suffit pas.

Sources et références

• Ordonnance-loi n° 23/010 du 13 mars 2023 portant Code du numérique
• Allocution du président du collège de l’ARPTC à l’occasion des deux ans du Code du numérique
• Données personnelles en RDC : comment les entreprises doivent se conformer
• RDC : publication au journal officiel de la décision fixant la procédure des formalités préalables
• Cybersécurité : cinq recommandations essentielles pour les entreprises