Du 18 au 20 août 2026, le Forum sur la gouvernance de l’Internet a placé l’interconnexion des fichiers publics au centre de la transformation numérique camerounaise. Deux mois après l’échéance de conformité de la loi n° 2024/017, l’autorité chargée d’autoriser et de contrôler ces traitements n’est toujours pas organisée.
Mise à jour du 1er septembre 2026
Cet article a été publié le 26 août 2026. L’Observatoire a depuis eu accès à des sources qui n’avaient pas été identifiées lors de sa rédaction. Deux précisions s’imposent.
Ce que nous avions manqué. Le MINPOSTEL avait mis en ligne dès le 21 août un compte rendu du forum, en anglais, sur son propre site, ainsi que neuf captations vidéo intégrales des travaux — près de quatorze heures — sur sa page Facebook. Celle du 20 août couvre la table ronde nationale et la cérémonie de clôture. Ces sources étaient donc publiques au moment où nous écrivions. Notre veille les a manquées : la rubrique Actualités du site ministériel servait alors du contenu périmé. La formulation de cet article sur l’indisponibilité des restitutions du forum était trop large, et nous la corrigeons ici.
Ce que ces sources établissent. Le rapport général, lu en séance de clôture, comporte sept axes de recommandations. Le premier recommande explicitement d’« accélérer la publication des textes d’application de la législation sur la protection des données à caractère personnel » et de « rendre pleinement opérationnel le dispositif institutionnel chargé de sa mise en œuvre ». La carence décrite dans cet article est donc identifiée par le forum lui-même, et inscrite dans ses recommandations.
Le reste de l’analyse est inchangé. Au 1er septembre 2026, aucun décret d’organisation de l’APDP n’a été publié, aucune nomination n’est intervenue, le rapport général n’a été ni consolidé ni rendu public, et aucune feuille de route n’a été adoptée. Nous y revenons dans FGI Cameroun 2026 : les recommandations existent, mais personne ne peut les lire.
Le Palais des Congrès de Yaoundé a accueilli, du 18 au 20 août 2026, le Forum sur la gouvernance de l’Internet au Cameroun (FGI). Le thème retenu par le ministère des Postes et Télécommunications, organisateur de l’événement sous le haut patronage du Premier ministre Joseph Dion Ngute, ne laissait aucune ambiguïté sur l’ambition : « De la fragmentation à l’interopérabilité : faire de la donnée le socle des infrastructures publiques numériques au Cameroun ».
Derrière la formule, un chantier d’État. Il s’agit de faire communiquer entre elles des administrations qui, jusqu’ici, ont construit leurs plateformes en silos — mécanismes d’identification numérique, plateformes de paiement, systèmes d’échange de données, services administratifs en ligne. L’opérateur historique CAMTEL, qui exploite la dorsale nationale en fibre optique, les infrastructures de transmission, les capacités internationales et les infrastructures d’hébergement, s’est positionné dès la journée d’ouverture du 18 août comme le facilitateur de cette interopérabilité nationale — sa directrice générale, Judith Yah Sunday épse Achidi, déclarant devant le forum que l’entreprise « entend être un facilitateur de l’interopérabilité nationale ».
Le forum n’a pas éludé la question de la sécurité. Les travaux devaient porter sur « la propriété, le stockage, le partage et la protection des données », ainsi que sur la cybersécurité, l’intelligence artificielle et la réduction des fractures numériques, et déboucher sur une feuille de route pour la gouvernance des infrastructures publiques numériques. Selon le compte rendu publié par Biometric Update, dont le journaliste était sur place, la nécessité de doter le pays d’un cadre juridique encadrant ses ambitions de gouvernement numérique a d’ailleurs été soulevée au cours des sessions.
Reste une question qui n’apparaît dans aucune des restitutions publiques disponibles, et que l’Observatoire pose ici : qui autorisera et contrôlera ces interconnexions ? Car ce cadre juridique existe déjà pour l’essentiel. C’est son organe d’application qui manque.
Ce que la loi exige, et qui doit le faire respecter
La loi n° 2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel n’est pas un texte accessoire dans ce dossier. Elle s’applique explicitement à « tout traitement des données à caractère personnel effectué par l’État, les collectivités territoriales décentralisées ou toute autre personne physique ou morale » (article 2). Elle soumet tout traitement à autorisation préalable — et vise nommément, à l’article 19 alinéa 2, « tout processus d’interconnexion et d’interopérabilité des fichiers ». Le non-respect des règles d’interconnexion est par ailleurs un motif de sanction (article 58).
Autrement dit : le chantier ouvert au FGI n’est pas seulement concerné par la loi de manière générale. C’est exactement l’opération que la loi désigne par son nom.
L’organe compétent pour délivrer ces autorisations, publier le référentiel des mesures techniques et organisationnelles, approuver les mécanismes de certification et instruire les réclamations des usagers, c’est l’Autorité de protection des données à caractère personnel (APDP), créée par l’article 53 de la loi comme un organisme public indépendant.
Or l’alinéa 2 du même article est sans ambiguïté : « La création, ainsi que l’organisation et le fonctionnement de l’Autorité de protection des données à caractère personnel sont fixées par un décret du Président de la République. » À la date de publication de cet article, l’Observatoire n’a trouvé aucune trace d’un tel décret publié, ni d’aucune nomination.
Un projet de décret d’application figure bien dans l’espace de consultation publique du ministère des Postes et Télécommunications, au titre du Projet d’accélération de la transformation numérique (PATNUC). Mais ce document date de mai 2023 et est antérieur à la loi promulguée : son article 1er vise une autorité instituée « conformément à l’article 49 » d’un projet de loi, quand le texte finalement adopté la place à l’article 53. Aucun projet de décret postérieur à la promulgation n’a été rendu public.
La distinction est essentielle et elle est souvent brouillée dans la couverture médiatique. Les titres de décembre 2024 annonçant que « l’Autorité de protection des données à caractère personnel est créée » disaient vrai au sens juridique : la loi l’a instituée. Ils ne disaient rien de sa mise en place effective. Une autorité existe dans un texte ; elle ne fonctionne qu’avec un décret d’organisation, un siège, un collège, un budget et des agents.
Encadré — Ce que dit la loi n° 2024/017
- Article 19 (1) — le traitement de données à caractère personnel est soumis à l’obtention préalable d’une autorisation délivrée par l’APDP. (2) — tout processus d’interconnexion et d’interopérabilité des fichiers est expressément soumis à cette autorisation préalable.
- Article 27 (2) — le responsable du traitement adresse à l’APDP un rapport annuel sur l’état de mise en œuvre des mesures de sécurité contenues dans le référentiel technique.
- Article 53 (1) — l’APDP, organisme public indépendant, veille à l’application de la loi, délivre les autorisations, élabore et publie le référentiel technique, approuve les mécanismes de certification et traite les réclamations. (2) — sa création, son organisation et son fonctionnement sont fixés par décret du président de la République.
- Article 54 — après mise en demeure restée sans effet, l’APDP peut prononcer une injonction sous astreinte (plafonnée à 100 000 FCFA par jour), puis la suspension ou le retrait de l’autorisation et l’interdiction de toute activité de traitement.
- Article 58 — le non-respect des règles d’interconnexion des fichiers est sanctionné de 1 à 5 millions de francs CFA.
- Article 71 — les personnes morales peuvent être déclarées pénalement responsables et condamnées à une amende de 50 millions à un milliard de francs CFA lorsque les infractions prévues par la loi sont commises par leurs dirigeants.
- Article 73 — dix-huit mois sont accordés pour la mise en conformité à compter de la promulgation, soit une échéance au 23 juin 2026.
Un délai échu, une autorité en attente
L’échéance du 23 juin 2026 est passée. Elle n’a fait l’objet d’aucune communication publique d’ampleur, ni d’un bilan de conformité des administrations concernées.
Cette configuration — une loi en vigueur, un délai expiré, une autorité non organisée — a été analysée dès juillet 2025 par le juriste Laurent-Fabrice Zengue dans le Village de la Justice. Sa conclusion mérite d’être connue des responsables de traitement camerounais, publics comme privés : le délai de mise en conformité n’est pas une suspension de la loi. Comme il l’écrit, « il n’y a aucune disposition suspendant l’application de ladite loi, jusqu’à l’échéance du délai de mise en conformité ». Autrement dit, l’application des sanctions est juridiquement possible depuis la promulgation.
Le même auteur constate que « l’Autorité camerounaise de protection des données à caractère personnel n’ayant été ni créée ni organisée, et n’étant donc pas fonctionnelle, le régime de conformité dit de l’autorisation/déclaration est inopérant, puisque c’est l’Autorité de protection qui doit délivrer ledit outil de conformité ». Il en tire une conséquence pratique : les responsables de traitement n’ont pas d’autre voie que l’accountability spontanée — documenter et sécuriser leurs traitements sans attendre un guichet qui n’ouvre pas.
Il rappelle enfin que le pouvoir de sanction civile et pénale n’appartient pas à l’autorité administrative mais aux juridictions, lesquelles n’ont pas besoin de l’APDP pour être saisies.
Pourquoi le calendrier compte
Interconnecter des fichiers publics n’est pas une opération neutre. C’est précisément l’opération qui transforme des bases de données séparées, chacune avec son périmètre et son risque propre, en un ensemble où une compromission unique peut exposer des données croisées : état civil, fiscalité, santé, protection sociale, identifiants de paiement.
Le risque n’est pas théorique au Cameroun. En 2025, l’ANTIC a détecté 5 973 vulnérabilités dans 256 systèmes d’information publics et privés, chiffres issus de la défense du budget 2026 par la ministre des Postes et Télécommunications devant la Commission des finances et du budget de l’Assemblée nationale, tels que rapportés par la presse. Un organisme public camerounais a par ailleurs déjà figuré sur un site de fuite de rançongiciel en septembre 2024 — revendication que l’organisme concerné a publiquement démentie.
Le séquencement retenu est donc l’inverse de celui qu’appelle la logique : le chantier d’interconnexion est lancé, le régulateur qui doit l’encadrer ne l’est pas. Ce n’est pas un procès d’intention fait aux organisateurs du FGI — la place accordée à la cybersécurité et à la protection de la vie privée dans les travaux montre que la question est identifiée. C’est un constat de calendrier, et il est encore corrigeable, puisque aucune feuille de route n’a été arrêtée à ce jour.
Trois recommandations de l’Observatoire
- Publier le décret d’organisation de l’APDP avant le lancement opérationnel du dispositif d’interopérabilité. Un travail préparatoire existe depuis 2023 et a été soumis à consultation publique, même s’il doit être mis à jour au regard du texte finalement promulgué. La publication du décret conditionne l’existence d’un guichet d’autorisation, sans lequel l’article 19 reste inapplicable — y compris pour les administrations elles-mêmes.
- Désigner une autorité intérimaire, à défaut. Plusieurs États africains ont confié la protection des données à un organe existant en attendant l’installation d’une autorité dédiée : l’ARTCI en Côte d’Ivoire, la POTRAZ au Zimbabwe, l’autorité des communications en Éthiopie. Pour le Cameroun, le juriste Laurent-Fabrice Zengue cite trois candidats plausibles à un tel intérim : la Commission des droits de l’homme du Cameroun, l’Agence de régulation des télécommunications et l’ANTIC. Une solution transitoire assumée vaut mieux qu’un vide prolongé.
- Conditionner chaque interconnexion à une analyse d’impact publiée. Tant que l’APDP n’instruit pas de dossiers, les administrations parties prenantes du dispositif d’interopérabilité gagneraient à publier, pour chaque flux de données créé, la finalité poursuivie, la base légale, les catégories de données échangées et les mesures de sécurité retenues. Cette transparence documentaire est le meilleur substitut disponible à un contrôle externe — et elle constituera le dossier de conformité le jour où l’autorité sera opérationnelle.
Méthodologie et niveau de vérification
- Confirmé : tenue, dates, lieu et thème du FGI Cameroun 2026 ; positionnement public de CAMTEL comme facilitateur de l’interopérabilité nationale, exprimé par sa directrice générale devant le forum le 18 août 2026 et vérifié sur la captation intégrale de son intervention ; contenu des articles 2, 19, 27, 53, 54, 58, 71 et 73 de la loi n° 2024/017, vérifiés sur la copie certifiée conforme publiée par la Présidence de la République.
- Vérifié à la date de publication, preuve négative : l’Observatoire n’a identifié aucun décret présidentiel portant organisation et fonctionnement de l’APDP, ni aucune nomination, dans ses recherches en français et en anglais. Ce constat converge avec celui de plusieurs analyses juridiques indépendantes publiées entre juillet 2025 et 2026. Il s’agit toutefois d’une preuve négative : le recueil officiel des décrets n’a pas pu être passé en revue de façon exhaustive. L’Observatoire publiera un correctif si un décret est porté à sa connaissance.
- Rapporté par la presse, non vérifié sur pièce : les chiffres ANTIC 2025 (5 973 vulnérabilités, 256 systèmes d’information), issus de la défense du budget 2026 devant l’Assemblée nationale. L’Observatoire n’a pas eu accès au document parlementaire d’origine.
- Précision importante : les articles de décembre 2024 annonçant que l’APDP est « créée » disent vrai au sens de l’article 53 alinéa 1 — la loi l’institue. Ils ne préjugent pas de son organisation, qui relève de l’alinéa 2.
- Non vérifié / exclu : le contenu final de la feuille de route du FGI. Aucun document n’a été publié à la date de rédaction et aucune adoption n’a été annoncée — la seule trace publique de la table ronde de clôture, une captation diffusée par CAMTEL le 25 août 2026, évoque « l’élaboration » d’une feuille de route, non son adoption. Le programme détaillé des panels n’est pas non plus consultable publiquement.
Contact : mon@obs-cc.org — Signalez-nous toute correction ou tout élément complémentaire.
Sources
- Digital Business Africa — Gouvernance de l’Internet / Cameroun : le FGI 2026 veut faire de la donnée le socle des infrastructures publiques numériques, 11 août 2026.
- Digital Business Africa — FGI/Cameroun : CAMTEL mandatée pour faciliter l’interopérabilité nationale, 18 août 2026.
- Digital Business Africa — Cameroun : le gouvernement veut mettre fin aux plateformes numériques en silos et bâtir un écosystème public interopérable, 20 août 2026.
- Digital Business Africa (chaîne YouTube) — captation intégrale de l’intervention de Judith Yah Sunday épse Achidi, directrice générale de CAMTEL, au FGI Cameroun 2026 (11 min 45), mise en ligne le 21 août 2026.
- Biometric Update — Cameroon eyes national interoperability infrastructure to drive digital govt, 21 août 2026.
- Cameroon Telecommunications CAMTEL (chaîne YouTube) — CAMTEL au FGI Cameroun 2026 : quelle feuille de route pour les infrastructures numériques ?, extrait de la table ronde de clôture, mis en ligne le 25 août 2026.
- Présidence de la République du Cameroun — Loi n° 2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel.
- Digital Business Africa — Cameroun : L’Autorité de protection des données à caractère personnel créée, 24 décembre 2024.
- Laurent-Fabrice Zengue, Village de la Justice — Inexistence de l’autorité de protection des données personnelles : les acteurs du traitement sont-ils exempts de sanctions ?, 11 juillet 2025.
- MINPOSTEL / PATNUC — Projet de décret pris pour l’application de la loi relative à la protection des données à caractère personnel (PDF, mai 2023, antérieur à la loi promulguée).
- StopBlaBlaCam — Cybercriminalité : plus d’un milliard de FCFA perdus en 2025, l’ANTIC intensifie la riposte, 17 décembre 2025.
- Ransomware.live — Victimes recensées au Cameroun, consulté le 25 août 2026.