Décryptage juridique — Observatoire de Cybersécurité du Cameroun
Depuis le 1er avril 2026, un téléphone qui se connecte pour la première fois à un réseau camerounais sans avoir été dédouané peut être bloqué. Le dispositif est présenté comme une réforme fiscale — recouvrer des droits de douane que l’État chiffre en dizaines de milliards de francs CFA. Il est aussi, mécaniquement, autre chose : l’un des plus vastes traitements de données personnelles jamais mis en œuvre au Cameroun.
Pour fonctionner, il croise l’identifiant matériel de chaque appareil avec l’identité civile, fiscale, sociale et bancaire de son détenteur, à travers une chaîne d’au moins cinq catégories d’acteurs. Il a été activé neuf semaines avant l’expiration du délai de mise en conformité à la loi n° 2024/017. Et il fonctionne aujourd’hui sans que l’Autorité de Protection des Données à caractère Personnel, que cette même loi charge d’autoriser et de contrôler ce type de traitement, n’ait d’existence opérationnelle.
Ce n’est pas un procès d’intention. C’est un constat de fait, et il mérite d’être posé clairement.
Ce que le dispositif collecte réellement
Le mécanisme repose sur un couple d’identifiants : la carte SIM et l’IMEI, c’est-à-dire l’abonné et l’appareil. L’un ne va pas sans l’autre. Un terminal ne se connecte pas sans SIM active, et une SIM ne s’active pas sans identification préalable de l’abonné — obligation qui découle du décret n° 2015/3759/PM du 3 septembre 2015 sur l’identification des abonnés aux réseaux de communications électroniques.
Le ministère des Finances documente lui-même la portée de ce croisement. En cas de doublon d’IMEI, explique-t-il, un « système de triangulation » permet « d’associer d’autres types d’informations telles que le numéro SIM utilisé ou le nom de son propriétaire, l’adresse IP ». Autrement dit, l’administration confirme que la plateforme est conçue pour relier, sur un même enregistrement, un appareil, une ligne, une identité nommée et une adresse réseau.
Autour de ce couple, le dispositif agrège une quantité considérable de pièces justificatives. Le juriste Laurent-Fabrice Zengue, spécialiste de la protection des données, en dresse la liste : pour les personnes physiques, « la Carte Nationale d’Identité, le titre de séjour, l’attestation de conformité fiscale, l’acte de naissance, le relevé d’identification bancaire, plan de situation de la résidence ou domicile habituel, l’adresse » ; pour les personnes morales, s’y ajoute l’attestation de soumission à l’organisme de sécurité sociale.
Les données effectivement traitées sont, toujours selon lui, « le nom, le prénom, le Numéro d’Identification Unique (NIU), la localisation géographique, le numéro de compte bancaire, le numéro fiscal et le numéro de sécurité sociale ».
Il faut prendre la mesure de cet ensemble. Identité civile, domicile, coordonnées bancaires, numéro fiscal, numéro de sécurité sociale et identifiant matériel d’un appareil que la personne porte sur elle en permanence — le tout réuni dans un traitement unique, et rattaché à un identifiant de localisation. C’est précisément le type de jeu de données qui, en cas de fuite, permet l’usurpation d’identité complète : ouverture de compte, souscription de crédit mobile, enregistrement de SIM au nom d’un tiers.
Le rapport 2026 d’INTERPOL sur les cybermenaces en Afrique, publié le 3 août, décrit exactement ce scénario : des identités synthétiques, combinant données réelles et éléments fabriqués, utilisées pour ouvrir des comptes bancaires, obtenir des prêts mobiles et enregistrer des cartes SIM sous de faux noms. Le carburant de ces fraudes, ce sont des bases de données comme celle-ci.
Cinq maillons, cinq surfaces d’attaque
La donnée ne reste pas au même endroit. Elle circule.
Le ministère des Finances précise que « la Plateforme gérée par le ministère des Postes et des Télécommunications ou son mandataire » détecte et identifie chaque appareil par son numéro IMEI dès la connexion. L’importateur transmet l’IMEI et ses propres pièces fiscales et sociales. Les banques et services de paiement traitent les coordonnées bancaires nécessaires au règlement des droits. Les opérateurs de téléphonie exécutent le blocage et le déblocage des appareils. L’utilisateur, lui, est à la fois personne concernée et redevable.
En termes de protection des données, cela dessine une architecture où les douanes et leur délégataire endossent le rôle de responsables — probablement conjoints — du traitement, tandis que les autres acteurs interviennent vraisemblablement comme sous-traitants. Cette qualification n’est pas cosmétique : elle détermine qui répond de quoi en cas de violation.
Chaque point de contact de plus représente un vecteur d’attaque supplémentaire. […] Si un seul de ces partenaires a une sécurité défaillante, les données qui transitent par lui peuvent être compromises, créant une violation par ricochet.
À quoi s’ajoute une difficulté que l’ANTIC documente par ailleurs : près de 80 % des données numériques camerounaises sont hébergées hors du territoire national, selon son directeur général au Forum DNS de décembre 2025. Zengue formule le même constat pour les opérateurs, dont les données sont « souvent en partie ou en totalité stockées à l’étranger, notamment dans les pays d’origine desdits opérateurs », avec « l’indisponibilité des codes sources qui permettent d’avoir la pleine maîtrise de l’accès auxdites données ».
Le point aveugle : CAMCIS figure déjà dans notre base d’incidents
C’est ici que l’Observatoire peut apporter un élément que l’analyse juridique seule ne fournit pas.
Le dédouanement des terminaux transite par la plateforme informatique des douanes camerounaises, CAMCIS. Or notre base publique d’incidents documente, à la date du 1er mai 2026, un incident d’exfiltration / fuite de données (T1567) visant CAMCIS (DGD / MINPOSTEL), classé au niveau d’impact modéré, avec un niveau de fiabilité « média public ».
Autrement dit : un mois après l’activation du dispositif de blocage, la plateforme au cœur de la chaîne a fait l’objet d’un incident de fuite de données rapporté publiquement.
Nous formulons cela avec les précautions qui s’imposent. Notre fiche est classée « média public », c’est-à-dire le niveau de fiabilité que nous réservons aux faits rapportés par la presse sans confirmation indépendante de notre part. Nous n’avons pas établi que les données du mécanisme de dédouanement des terminaux figuraient parmi les données concernées, et nous ne l’affirmons pas. Mais la question mérite d’être posée publiquement — et, dans un régime doté d’une autorité de contrôle fonctionnelle, elle aurait dû l’être par cette autorité.
Elle ne l’a pas été. Parce qu’il n’y a personne pour la poser.
L’autorisation que personne ne peut délivrer
Nous avons documenté ce vide en détail dans notre analyse du 18 juillet 2026, « Loi 2024/017 : la deadline est passée depuis un mois. Qui sanctionne ? ». Nous n’y revenons ici que pour ce qui concerne directement ce dispositif.
La loi n° 2024/017 est un texte omnibus : elle s’applique à tous les traitements, publics comme privés, y compris celui-ci. Elle subordonne le traitement à une autorisation préalable de l’Autorité, et confie à cette dernière le pouvoir de contrôler, de recevoir les réclamations et de sanctionner.
Zengue, écrivant en avril 2026 — soit au moment même de l’entrée en application du dispositif — constate que l’Autorité « a été instituée dans la loi relative à la protection des données personnelles, bien que sa création, son organisation et son fonctionnement restent attendues ».
Il en résulte, pour ce mécanisme précisément, trois conséquences concrètes :
- Aucune autorisation préalable n’a pu être délivrée pour un traitement de cette ampleur, faute d’organisme habilité à la délivrer.
- Aucune analyse d’impact n’a pu être examinée par une autorité indépendante avant déploiement.
- Le droit de réclamation prévu par la loi est aujourd’hui sans destinataire. Un citoyen dont l’appareil est bloqué à tort, ou dont les données sont utilisées hors finalité, n’a pas d’autorité administrative à saisir.
Zengue note que « les autres régulateurs, pour autant qu’ils sont compétents, peuvent exercer leurs missions de contrôle ». C’est exact — ANTIC, ART, COBAC, Archives nationales conservent leurs compétences sectorielles. Mais aucun d’eux n’a de mandat transversal sur ce traitement, et l’auteur relève lui-même que cette multiplicité met en présence « une multitude de régulateurs » entre lesquels s’installe « une certaine difficulté à qualifier d’emblée les acteurs ».
Un traitement national sans chef d’orchestre n’est pas un traitement non régulé. C’est un traitement régulé par personne en particulier — ce qui, en pratique, revient au même.
Le risque qui n’est pas technique : le détournement de finalité
Le risque le plus sérieux n’est pas qu’un serveur soit mal configuré. C’est qu’une base constituée pour percevoir une taxe serve, un jour, à autre chose.
Si une donnée est utilisée […] pour autre chose que ce qui a été annoncé, tout l’édifice juridique s’écroule. […] Le changement illicite de la finalité du traitement entraîne la perte de la base légale […] Juridiquement, cela transforme une détention licite de données légale en une détention illicite de données.
Une base qui associe identité civile, domicile, compte bancaire, numéro fiscal, numéro de sécurité sociale et identifiant d’un appareil géolocalisable a, par construction, de nombreux usages possibles au-delà de la fiscalité douanière. La seule garantie contre ces usages est le principe de finalité — et le contrôle indépendant qui le fait respecter. Le premier existe dans la loi. Le second n’existe pas encore.
Ce que cela change pour vous
Si vous êtes un particulier. Vous pouvez vérifier le statut douanier de votre appareil à partir de son IMEI via les canaux officiels des douanes. Méfiez-vous en revanche des messages non sollicités vous proposant de « régulariser » votre téléphone : toute campagne administrative de grande ampleur attire des imitateurs, et le mode opératoire — un SMS urgent, un lien, un formulaire demandant vos coordonnées bancaires — est précisément celui du phishing que l’ANTIC recense comme l’une des fraudes les plus fréquentes au Cameroun. Passez toujours par les canaux officiels que vous avez vous-même recherchés, jamais par un lien reçu.
Si vous êtes importateur ou commerçant. Vous transmettez, dans ce circuit, vos propres données fiscales et sociales ainsi que celles de vos clients. Vous êtes très probablement sous-traitant au sens de la loi 2024/017. Formalisez par écrit ce que vous transmettez, à qui, et sur quel fondement : en l’absence d’autorité pour arbitrer, le contrat est aujourd’hui le seul instrument de répartition des responsabilités. Zengue le formule ainsi : « en cas d’une mauvaise ou insuffisance de précision de la distribution de la responsabilité, c’est le propriétaire ou le détenteur légal des données qui peut se retrouver seul responsable face aux autorités et aux victimes ».
Si vous êtes opérateur, banque ou service de paiement. La stratégie disponible reste celle que nous décrivions en juillet : l’accountability. Documenter, dater, archiver. Le jour où l’Autorité s’installera, la question ne sera pas « aviez-vous une autorisation ? » — personne n’en avait. Elle sera : qu’avez-vous fait, et pouvez-vous le prouver ?
Encadré — ce que nous n’avons pas pu vérifier
L’Observatoire préfère afficher les limites de sa vérification plutôt que de les taire.
- Fondement légal — point tranché depuis la première version de cet article. Les sources divergeaient entre les lois de finances 2019, 2023 et 2026. Le ministère des Finances confirme que la réforme « a été actée et consacrée dans la loi des finances 2019 en son article 7ème ». La loi de finances 2023 est venue la modifier, en recentrant la charge du dédouanement sur l’importateur et en réduisant les valeurs taxables. Les modalités de collecte relèvent de décisions conjointes MINFI-DGD/MINPOSTEL, dont celle du 13 mars 2020, puis du 25 mars 2026 pour la mise en application effective au 1er avril 2026. Il ne s’agit donc pas de textes concurrents mais de couches successives.
- Déclaration d’intérêt de notre source principale. Laurent-Fabrice Zengue déclare publiquement, en fin de son article, avoir siégé comme membre du comité et président du sous-comité juridique d’élaboration du projet de décret fixant les modalités d’identification des abonnés, et avoir été « l’ingénieur juridique originel » du mécanisme de collecte électronique des droits de douane à l’importation des terminaux mobiles. Cette position lui donne une connaissance de première main du dispositif ; elle constitue aussi un intérêt dans le sujet. Nous la signalons par principe. Il indique par ailleurs avoir eu recours en partie à l’IA générative pour la rédaction de son article, avec relecture humaine.
- Le lien entre l’incident CAMCIS et le mécanisme douanier n’est pas établi. Notre fiche du 1er mai 2026 est classée en fiabilité « média public ». Nous n’avons pas déterminé la nature exacte des données concernées ni si elles relevaient du dédouanement des terminaux. Nous posons la question, nous n’affirmons pas la réponse.
- Statut de l’APDP au 11 août 2026. Nos recherches, refaites le jour de la publication, ne font apparaître aucun décret d’organisation de l’Autorité ni aucune nomination. La situation est inchangée depuis notre article du 18 juillet 2026. Une absence de résultat n’est pas une preuve d’absence : si un texte nous a échappé, nous corrigerons.
- Chiffres volontairement écartés. Le chiffre d’environ 700 000 terminaux connectés sans dédouanement entre le 1er et le 25 avril 2026, et l’objectif annuel de recettes de l’ordre de 25 milliards FCFA, circulent dans la presse économique en étant attribués au ministère des Finances. Nous ne les avons pas retrouvés dans un document officiel. Ils ne sont pas cités ici comme des faits établis.
L’Observatoire de Cybersécurité du Cameroun documente et analyse les incidents et le cadre réglementaire de la cybersécurité au Cameroun. Cet article est une analyse à visée informative et ne constitue pas un conseil juridique. Une organisation confrontée à une question de conformité devrait consulter un praticien.
Sources
- Loi n° 2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel — Présidence de la République
- Ministère des Finances (MINFI), « Réforme sur le système de collecte par voie numérique des droits et taxes de douane dus sur les téléphones et autres terminaux importés » — minfi.gov.cm
- Décision conjointe n° 00000247/MINFI-DGD/MINPOSTEL-IGT du 13 mars 2020 fixant les modalités de collecte des droits et taxes par voie numérique
- Loi de finances 2019, article 7 — institution du mécanisme ; loi de finances 2023 — modification
- Décret n° 2015/3759/PM du 3 septembre 2015 fixant les modalités d’identification des abonnés et des équipements terminaux des réseaux de communications électroniques
- Laurent-Fabrice Zengue, « Protection des données personnelles et douane 2.0 sur terminaux mobiles au Cameroun : quid de vos données d’identité et bancaires », Village de la Justice, 11 avril 2026 (mis à jour le 13 avril 2026)
- Laurent-Fabrice Zengue, « Régime de l’autorisation inopérant, régime de l’accountability irrésistible », Village de la Justice, 30 juin 2026
- INTERPOL, African Cyberthreat Assessment Report 2026, 3 août 2026
- ANTIC, Forum DNS 2025, Douala, décembre 2025 — déclaration du directeur général sur l’hébergement des données à l’étranger
- Investir au Cameroun, « Téléphones non dédouanés : Motaze presse, MTN et Orange alertent sur les failles du dispositif », juin 2026
- OBS-CC, base d’incidents — fiche CAMCIS (DGD / MINPOSTEL), 1er mai 2026
- OBS-CC, « Loi 2024/017 : la deadline est passée depuis un mois. Qui sanctionne ? », 18 juillet 2026