Gouvernance des données en Afrique centrale : le Cameroun négocie un cadre régional sans autorité nationale opérationnelle

Douala a accueilli, du 31 août au 4 septembre 2026, l’atelier régional de la CEEAC consacré à un futur cadre commun de gouvernance transfrontalière des données. L’architecture qui s’y dessine repose sur les autorités nationales de protection des données. Au Cameroun, celle-ci existe dans la loi depuis décembre 2024, mais le décret qui doit l’organiser n’a, à ce jour, pas été publié.

Cinq jours de travaux à Douala

Pendant cinq jours, les experts des États membres de la Communauté économique des États de l’Afrique centrale ont confronté leurs approches en vue d’un dispositif régional commun de gouvernance des données transfrontalières. Les travaux ont porté sur trois volets : l’évaluation du niveau de préparation de chaque État membre, l’identification des piliers devant structurer le futur cadre, et l’harmonisation des contributions techniques nationales en une position régionale.

L’atelier a été ouvert par Guichard Tsangou Wanvoukissa, Directeur des Postes, Télécommunications et de l’Économie numérique de la CEEAC, qui a qualifié les experts de « chevilles ouvrières » du processus. La délégation de la Commission de la CEEAC comprenait également Bonheur Djerabe Djatto, Directeur des Systèmes d’information, et Abdel Hamit Fadoul Abdoulaye. Les travaux ont bénéficié de l’appui technique et financier de la GIZ, de l’AUDA-NEPAD, de la Commission économique pour l’Afrique et de la Commission de l’Union africaine.

Cette réunion prolonge une séquence engagée un an plus tôt, déjà à Douala. En septembre 2025, la CEA et la CEEAC y avaient validé une politique régionale de développement du commerce numérique assortie d’un plan d’action 2025-2030 et d’une loi-cadre régionale. Jacob Kotcho, directeur du marché commun de la Commission de la CEEAC, y résumait le problème à résoudre : certains États ont légiféré, « il se trouve que ces lois et ces politiques sont divergentes et comportent des dispositions qui peuvent être conflictuelles ».

Ce qu’un cadre régional suppose des États

Un dispositif de circulation transfrontalière des données ne fonctionne pas en apesanteur. Il suppose, dans chaque État partie, un interlocuteur identifié capable d’exercer un ensemble de compétences précises : autoriser ou refuser les transferts vers l’étranger, établir la liste des pays offrant un niveau de protection jugé équivalent, recevoir les plaintes, enquêter, et coopérer avec ses homologues de la sous-région. C’est le point de contact sans lequel la reconnaissance mutuelle entre pays n’a pas d’ancrage.

La loi camerounaise a prévu cet interlocuteur. La loi n° 2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel crée, en son article 53, l’Autorité de protection des données à caractère personnel (APDP), « organisme public indépendant » chargé de veiller à l’application de la loi, des textes d’application et des conventions internationales en la matière. L’article 54 détaille ses missions : délivrance des autorisations, élaboration et mise à jour du référentiel des mesures techniques et organisationnelles, approbation des mécanismes de certification, traitement des réclamations et plaintes. L’article 62 lui confie l’établissement et la publication de la liste des pays reconnus comme offrant un niveau de protection équivalent aux exigences du droit camerounais — précisément le type d’instrument qu’un cadre régional viendrait articuler.

Le texte est également doté d’un volet répressif consistant : l’article 70 prévoit des amendes pouvant atteindre un milliard de francs CFA, notamment en cas de transfert de données vers un pays tiers sans autorisation préalable de l’Autorité.

Une autorité créée par la loi, pas encore par décret

La loi ne suffit pas à faire exister l’APDP comme institution. Son organisation et son fonctionnement doivent être fixés par décret présidentiel — c’est la condition de son installation effective, de la désignation de ses membres et de l’exercice de ses compétences.

Nous avons parcouru la liste des actes publiés sur le site de la Présidence de la République, le 14 septembre 2026, en remontant du décret n° 2026/287 du 31 août 2026 jusqu’aux actes de janvier 2022, soit plus de six cents entrées. Aucun décret relatif à la protection des données à caractère personnel ou à l’Autorité n’y figure. Cette observation porte sur les actes publiés à cette adresse et à cette date ; elle ne vaut pas certification d’absence au Journal officiel, et nous la réviserons dès qu’un élément contraire nous sera signalé.

Un projet de décret d’application existe pourtant. Il est en ligne sur le site du ministère des Postes et Télécommunications, parmi les textes soumis à consultation publique dans le cadre du PATNUC. Ce document de treize pages organise l’Autorité dans le détail : siège à Yaoundé, dix membres choisis pour leur honorabilité et leur compétence juridique ou technique, prestation de serment à la prise de fonction, inamovibilité pendant le mandat, renouvellement par moitié tous les deux ans et six mois, pouvoirs d’investigation et de contrôle, formalités préalables à la mise en œuvre des traitements.

Mais ce texte a été préparé avant l’adoption de la loi. Il vise « la loi n° [•] », dont le numéro et la date sont restés en blanc, et fonde l’Autorité sur les articles 49 et 50 de ce texte — alors que la loi n° 2024/017 finalement promulguée la crée à l’article 53 et fixe ses missions à l’article 54. En l’état, le projet ne peut donc pas être signé sans reprise de ses renvois.

Son article 32 mérite par ailleurs d’être lu comme un calendrier. Il prévoit que l’Autorité, une fois constituée — c’est-à-dire une fois l’ensemble de ses membres et son président désignés —, dispose de six mois pour dresser la liste des décisions prioritaires, puis de douze mois à compter de sa constitution pour les adopter et « commencer ses activités opérationnelles ». Autrement dit, et sur la base du projet tel qu’il est publié : même signé demain, le décret ne rendrait pas l’Autorité immédiatement capable d’instruire les autorisations auxquelles les organisations sont pourtant déjà soumises.

Cette situation a une conséquence directe sur le calendrier légal. L’article 73 accordait aux organisations un délai de dix-huit mois à compter de la promulgation pour se mettre en conformité, échéance atteinte le 23 juin 2026. Ce délai est dépassé depuis près de trois mois. Or le régime instauré par la loi repose largement sur l’autorisation préalable : responsables de traitement et sous-traitants sont censés obtenir une autorisation avant certains traitements et avant tout transfert international. Ils sont donc tenus à une formalité auprès d’une autorité qui n’est pas encore en mesure de l’instruire.

Ce que cela change pour la position camerounaise

L’enjeu n’est pas seulement juridique. Dans une négociation régionale où chaque État est évalué sur son « niveau de préparation », l’existence d’un régulateur opérationnel est un actif de négociation autant qu’une obligation interne. Un pays disposant d’une autorité installée pèse sur la définition des standards communs ; un pays qui n’en dispose pas subit ceux des autres, et devra ensuite s’y conformer.

Le Cameroun a par ailleurs accueilli les deux dernières sessions de ce processus. Il y a là un décalage à documenter : le pays hôte du chantier régional sur les données est aussi celui dont l’autorité de protection des données reste, à ce stade, un organe prévu par un texte plutôt qu’une institution en fonctionnement.

Ce que l’Observatoire suivra

  • La publication du décret d’application de l’article 53 — point de vigilance A-01 de notre registre FNCC, ouvert depuis la promulgation de la loi.
  • Le passage des textes régionaux devant les Comités techniques spécialisés de la CEEAC, étape de validation politique préalable à leur présentation à la Conférence des Chefs d’État et de Gouvernement.
  • Le sort des obligations d’autorisation préalable pendant la période où l’Autorité n’est pas installée : aucune doctrine administrative publique ne précise, à notre connaissance, comment les responsables de traitement doivent s’en acquitter dans l’intervalle.

Méthode et sources

Cet article repose sur des sources publiques vérifiables. Le déroulement de l’atelier de Douala est établi par deux comptes rendus concordants et datés ; nous n’avons pas retrouvé de communiqué institutionnel de la CEEAC ou de la CEA sur cette session, et le signalons comme une limite. Les dispositions légales citées le sont d’après le texte officiel de la loi, et le projet de décret d’après le document mis en ligne par le MINPOSTEL, que nous avons lu intégralement. L’absence de décret est une observation datée, portant sur un corpus identifié, et non une affirmation absolue.

Previous Post

Leave A Comment

Signaler
un incident