Accueil › Enjeux de gouvernance › G-01
Notification des violations : obligation exigible mais effectivité non établie
L'article 22 de la loi n°2024/017 du 23 décembre 2024 impose la notification des violations de données à caractère personnel à l'Autorité et aux personnes concernées. Aucun délai n'est chiffré, et l'autorité destinataire prévue à l'article 53 n'a pas été installée : l'obligation n'a pas de destinataire. La date à laquelle elle devient pleinement exigible fait débat — promulgation, ou terme du délai de mise en conformité du 23 juin 2026 ; l'Observatoire expose ce débat sans le trancher.
État du cadre
Ce qui existe
- Une obligation de notifier les violations de données à caractère personnel à l'Autorité et aux personnes concernées (loi n°2024/017, art. 22)
- Une autorité de protection des données prévue par la loi, dont la création dépend d'un décret présidentiel (art. 53)
Ce qui manque
- Aucun délai de notification chiffré dans la loi
- L'autorité destinataire prévue à l'article 53 n'est pas installée : l'obligation n'a pas de destinataire — constat OBS-CC au 10 septembre 2026, à re-vérifier à chaque révision
Ce qui a changé
- 23 décembre 2024 — promulgation de la loi n°2024/017
- 23 juin 2026 — terme du délai de mise en conformité ; la date à laquelle l'obligation devient pleinement exigible fait débat, l'Observatoire l'expose sans le trancher
Rédigée le 8 septembre 2026 · v2.0 · remplace la v1.2 du 12 mars 2026 Le débat public camerounais présente encore ce sujet comme un vide juridique. Ce n'est plus exact depuis décembre 2024, et nos propres publications antérieures ont repris cette formulation : elle est corrigée ici. L'article 22 crée une obligation de notification plus large que le standard européen, puisqu'elle ne connaît pas de seuil de risque et s'étend aux sous-traitants.
La difficulté a changé de nature. Depuis le 23 juin 2026, l'obligation est exigible et son destinataire n'existe pas : une organisation diligente qui voudrait notifier ne saurait pas à qui. Ce n'est pas un vide juridique, c'est une obligation sans guichet — et cela se corrige par un décret, pas par une loi.
Le trou résiduel, lui, est bien législatif : un sabotage, un déni de service ou un rançongiciel sans exfiltration ne déclenchent aucune obligation de déclaration. Sur notre base, ces catégories représentent une part importante des incidents documentés. Aucun texte ne les couvre.
6 incidents rattachés
Sous chaque incident, le motif du rattachement : ce que ce cas précis donne à voir de cet enjeu. Les fiches sont classées de la plus récente à la plus ancienne, par date de l'incident.
-
CCA-Bank
Revendication d'exfiltration de 19 Go et 11 837 fichiers d'un établissement bancaire, avec compte à rebours d'extorsion actif au moment de la détection. L'incident est le plus récent de la base et se situe après le terme de la période de mise en conformité : l'obligation de notification de l'article 22 était pleinement exigible, sans discussion possible. Aucune notification n'est documentée, et l'autorité destinataire prévue à l'article 53 n'était toujours pas installée.
-
Turbosoft
L'éditeur compromis fournit des logiciels de paie, de ressources humaines, de comptabilité et de santé : les données menacées de divulgation ne sont pas les siennes, ce sont celles des salariés et des patients de ses entreprises clientes. L'article 22 vise le responsable de traitement et le sous-traitant, mais aucun mécanisme ne permet aux personnes concernées, qui n'ont aucun lien direct avec l'éditeur, d'apprendre que leurs données sont en jeu. L'incident est postérieur au 23 juin 2026 : l'obligation était pleinement exigible selon toutes les lectures.
-
Hevecam
Intrusion dans les serveurs de gestion suivie d'une extraction de données, indexée par des rapports de fuite. Les serveurs de gestion d'une entreprise agro-industrielle comportent des données de personnel, donc des données à caractère personnel. Aucune notification n'est documentée, et aucune autorité n'existait pour la recevoir. C'est un tiers — l'indexation de la fuite — qui a rendu l'incident visible, non l'entreprise.
-
Orange Cameroun
L'opérateur a affirmé qu'aucune donnée client majeure n'avait été exfiltrée. Cette affirmation est la seule information disponible : aucune autorité n'était en mesure de la vérifier, ni même de la recevoir. L'article 22 fait reposer le déclenchement de la notification sur la qualification que le responsable de traitement porte lui-même sur son incident — sans autorité installée, cette qualification n'est contrôlée par personne.
-
ASCOMA Cameroun
Exfiltration de données avant chiffrement dans le système qui valide les prises en charge médicales : les données en cause relèvent de la santé, la catégorie la plus protégée par la loi. L'article 22 imposait donc la notification à l'autorité de protection et aux personnes concernées. L'autorité prévue à l'article 53 n'étant pas installée, cette notification n'avait pas de destinataire, et rien ne permet d'établir si les assurés ont été informés au titre de l'obligation légale ou au seul titre de la relation commerciale.
-
Chanas Assurances S.A.
Exfiltration de données chez un assureur, revendiquée sur un site de fuite. Les données d'assurance sont des données personnelles, souvent patrimoniales ou de santé, et leur violation appelle la notification des personnes concernées. Aucune notification publique n'est documentée, et l'autorité qui devrait la recevoir n'était pas opérante à la date des faits : l'obligation est exigible dans son principe, son effectivité ne l'est pas.
Ce que l'Observatoire recommande
Prendre le décret prévu à l'article 53 installant l'Autorité de protection des données. C'est la mesure la plus urgente du dispositif : depuis le 23 juin 2026, une obligation sanctionnée pénalement n'a pas de destinataire.
Fixer par lignes directrices un délai de notification chiffré et un format de déclaration, puis publier une statistique agrégée trimestrielle des notifications reçues — même à volume nul. La série compte davantage que son niveau initial.
Étendre une obligation de déclaration aux incidents de sécurité sans violation de données personnelles. Sabotage, déni de service et rançongiciel sans exfiltration restent aujourd'hui entièrement hors champ.
Documenter dès maintenant le délai entre détection et notification, et conserver la trace des déclarations tentées. L'obligation est exigible : son inapplicabilité pratique ne protège pas rétroactivement.
Le rattachement d'un incident à un enjeu n'existe pas sans un motif écrit. Les règles qui le gouvernent sont exposées sur l'index des enjeux, et toute reformulation d'un enjeu est consignée au registre public des corrections.