RGPH-4 prolongé jusqu’au 15 septembre : sous quel régime les données collectées sont-elles protégées ?

Analyse — Observatoire de Cybersécurité du Cameroun, 12 août 2026

Par un arrêté signé le 30 juillet et rendu public le 31 juillet 2026, le Premier ministre Joseph Dion Ngute a ouvert une période complémentaire de dénombrement du 1er août au 15 septembre 2026 pour le quatrième Recensement général de la population et de l’habitat (RGPH-4), couplé au Recensement général de l’agriculture et de l’élevage (RGAE). C’est la deuxième prorogation d’une opération lancée le 24 avril, initialement prévue sur 35 jours.

Quarante-cinq jours supplémentaires, environ 40 % de la population encore à dénombrer, plus de 30 000 agents équipés de smartphones : le RGPH-4 est vraisemblablement l’un des plus vastes traitements de données personnelles jamais menés au Cameroun. Il se déroule dans un contexte juridique inédit — la loi n° 2024/017 du 23 décembre 2024 sur la protection des données à caractère personnel est en vigueur, son délai de mise en conformité de dix-huit mois a expiré le 23 juin 2026, et l’autorité qu’elle prévoit n’existe toujours pas.

L’Observatoire a examiné les deux textes applicables. La conclusion n’est pas celle qu’on pourrait attendre : le recensement n’est pas mené hors de tout cadre juridique. Il relève selon toute vraisemblance d’un régime distinct, plus ancien, et beaucoup moins outillé.

Ce que prévoit l’arrêté

La période complémentaire vise, selon les extraits publiés par StopBlaBlaCam, à « parachever les opérations de dénombrement à travers le renforcement de la couverture des ménages, des personnes et des exploitations agricoles sur l’ensemble du territoire national ». Les équipes doivent achever l’identification des ménages non recensés, vérifier la couverture géographique et intensifier la sensibilisation. Gouverneurs, préfets et sous-préfets en assurent la supervision, en s’appuyant sur les maires, chefs traditionnels et responsables de quartiers.

Le calendrier initial — 24 avril au 29 mai — avait déjà été repoussé au 31 juillet. Selon Journal du Cameroun, les deux premières phases n’ont couvert qu’environ 60 % de la population. Toujours selon cette rédaction, le budget, initialement de 13,2 milliards de FCFA (7 milliards de la Banque mondiale, 6,2 milliards de l’État), a été porté à 23,5 milliards après deux déblocages successifs en juin. D’autres rédactions avancent des montants différents — nous y revenons plus bas. Sur le terrain, les opérations ont été freinées par des grèves d’agents recenseurs réclamant le paiement de leurs indemnités.

L’arrêté rappelle enfin deux choses, toujours d’après StopBlaBlaCam : la participation au recensement est obligatoire pour toute personne résidant sur le territoire, et les informations collectées resteraient strictement confidentielles, protégées par la législation en vigueur en matière de secret statistique.

C’est cette dernière mention qui mérite d’être examinée.

Une collecte entièrement numérique

Le RGPH-4, institué par le décret présidentiel n° 2015/397 du 15 septembre 2015 et confié au Bureau central des recensements et des études de population (BUCREP), repose intégralement sur des outils numériques. Le site officiel de l’opération l’indique explicitement : « Le Gouvernement a opté pour l’utilisation de smartphones de lors la [sic] collecte des données, dans un souci de disposer des résultats et de raccourcir le délai de mis [sic] à disposition des résultats. »

Concrètement : des dizaines de milliers d’agents recenseurs équipés de terminaux mobiles — L’Économie fait état du recrutement de 32 059 agents recenseurs, l’Institut national de la statistique (INS) évoquant pour sa part plus de 30 000 agents et superviseurs à rémunérer —, une saisie directe sur le terrain, et une méthodologie combinant dénombrement classique par smartphone, imagerie satellitaire et estimations par sondage pour les zones difficiles d’accès. Le couplage avec le RGAE ajoute à la collecte démographique un volet sur les exploitations agricoles et l’élevage.

À cela s’ajoute une chaîne de traitement annexe : le 4 mars 2026, l’INS a conclu des partenariats avec MTN et Orange Cameroun pour le paiement électronique, via mobile money, de ces agents et superviseurs.

Chacune de ces briques — terminaux, transmission, stockage, imagerie géolocalisée, chaîne de paiement — constitue une surface d’exposition. Aucune information publique ne documente à ce jour l’architecture de sécurité retenue, le lieu d’hébergement des données ni la durée de conservation des enregistrements individuels.

Une réserve s’impose d’emblée sur ce dernier volet : la chaîne de paiement des agents ne poursuit aucune finalité statistique. Ce traitement — identité, numéro de téléphone, portefeuille électronique de plus de 30 000 personnes — relève de la loi de 2024, que l’on retienne ou non l’exclusion examinée ci-dessous. C’est le seul volet du dispositif dont le rattachement au nouveau texte paraît difficilement contestable, avec ce qu’il implique : autorisation préalable, obligations de sécurité, notification des violations.

Deux lois : laquelle s’applique ?

La loi n° 2024/017 est d’un champ d’application très large. Son article 2 y soumet « tout traitement des données à caractère personnel effectué par l’État, les collectivités territoriales décentralisées ou toute autre personne physique ou morale ». L’État n’échappe donc pas au texte par principe.

Mais l’article 3 exclut du champ de la loi, entre autres, « les traitements des données à caractère personnel effectués à des seules fins littéraires ou artistiques, archivistiques dans l’intérêt public, de recherche scientifique ou historique, statistique, ou de journalisme quel que soit le média utilisé dans le respect des règles déontologiques et éthiques de ces professions, notamment les mesures de sécurité garantissant le secret des sources journalistiques, ainsi que les règles de modération applicables aux fora de discussion mis en œuvre par les éditeurs d’information journalistique ». Le mot « recensement », lui, n’apparaît dans aucun des 75 articles de la loi.

Le régime applicable au RGPH-4 est donc, selon toute vraisemblance, celui de la loi n° 2020/010 du 20 juillet 2020 régissant l’activité statistique au Cameroun — texte dont l’article 24 abroge expressément la précédente loi « relative aux recensements et enquêtes statistiques ». C’est d’ailleurs la lecture que retient l’opération elle-même : le site officiel du RGPH-4 indique aux ménages que « vos données collectées sont protégées par la clause de confidentialité de la loi statistique régissant les enquêtes et recensement ».

Cette loi de 2020 pose de vraies garanties, qu’il serait inexact de minorer :

  • Article 9 (2) : les personnes recensées doivent être informées des objectifs, de la finalité, des méthodes de collecte et de traitement, du calendrier de diffusion, ainsi que des dispositions adoptées pour garantir la confidentialité et la protection des informations individuelles.
  • Article 14 (1) : « Les renseignements d’ordre nominatif relatifs à une personne physique ou morale, inscrits dans les questionnaires à l’occasion des opérations de collecte des données statistiques, ne peuvent faire l’objet d’une exploitation en dehors des services chargés desdites opérations statistiques. »
  • Article 14 (2) : « En aucun cas, les données individuelles recueillies ne peuvent être utilisées à d’autres fins que celles pour lesquelles elles ont été collectées. »
  • Article 14 (4) : « En tout état de cause, les données statistiques ne peuvent être utilisées à des fins de poursuite, de répression fiscale ou pénale. »

Ces dispositions ne sont ni fictives ni décoratives. Écrire que les données du recensement ne sont « pas protégées » serait faux.

Une lecture défendable, mais contestable

L’Observatoire retient donc l’application de la loi statistique de 2020. Cette lecture n’est pas une position officielle et, en l’absence d’autorité de contrôle, aucune interprétation ne fait autorité. Trois objections sérieuses peuvent lui être opposées, et l’honnêteté commande de les exposer.

Première objection : l’exclusion de l’article 3 est peut-être conditionnelle. L’incise « dans le respect des règles déontologiques et éthiques de ces professions » peut se lire comme ne visant que le journalisme, dans le prolongement duquel elle est rédigée — c’est la lecture que nous retenons. Elle peut aussi se lire comme subordonnant l’ensemble des exclusions au respect des règles déontologiques de chaque profession. Pour la statistique publique, ces règles existent : Principes fondamentaux de la statistique officielle des Nations unies et Charte africaine de la statistique, auxquels la loi de 2020 renvoie expressément.

Deuxième objection : l’effet utile de l’article 13 (3). Ce même texte de 2024 dispose qu’au-delà de la durée normale, les données « ne peuvent être conservées qu’en vue de répondre spécifiquement à un traitement à des fins historiques, statistiques ou de recherche ». Si toute finalité statistique était intégralement hors du champ de la loi, cette disposition serait privée d’objet. La réponse tient — l’article 13 (3) vise la réutilisation statistique secondaire de données collectées à d’autres fins, l’article 3 les traitements dont la statistique est la finalité initiale et exclusive — mais elle relève de l’interprétation.

Troisième objection : le contexte de l’énumération. L’article 3 place « statistique » au milieu d’une liste de libertés professionnelles et expressives : littéraire, artistique, archivistique, recherche scientifique ou historique, journalisme. Un juge pourrait en déduire que le terme y désigne l’activité statistique privée ou académique, non un dénombrement d’État obligatoire assorti de sanctions. Dans cette lecture, le recensement relèverait plutôt de la logique des articles 4 et 72, qui renvoient certains domaines — sécurité, défense, santé, justice, état civil — à des « textes spécifiques » sans les exclure du champ de la loi. On notera que la statistique ne figure dans aucune de ces deux listes.

Ce que le secret statistique ne couvre pas

À supposer notre lecture retenue, l’écart entre les deux régimes reste considérable, et il porte sur des points que la loi de 2020 n’aborde pas.

La sécurité technique. L’article 27 de la loi de 2024 impose au responsable de traitement une liste détaillée d’obligations : garantir la disponibilité et la résilience des systèmes, tracer a posteriori l’identité des personnes ayant accédé aux données et la nature des opérations effectuées, empêcher la lecture ou la copie de supports par une personne non autorisée, sauvegarder les données par copies de sécurité protégées. La loi statistique de 2020 n’énonce aucune obligation de sécurité technique.

La notification des violations. L’article 22 de la loi de 2024 impose, « dès connaissance de toute violation des données à caractère personnel », d’informer sans délai l’autorité de protection et la personne concernée. Ni la loi statistique de 2020 ni l’arrêté du Premier ministre ne prévoient d’informer les ménages recensés en cas d’incident.

Les droits individuels. La loi de 2024 ouvre des droits d’accès, de rectification, d’opposition et d’effacement. La loi de 2020 protège la confidentialité des réponses mais n’organise aucun droit d’accès du répondant à ses propres données.

La diffusion des microdonnées. L’article 14 (3) de la loi de 2020 permet la diffusion de fichiers de microdonnées anonymisés à usage public sur simple autorisation écrite du responsable du service producteur. C’est un canal réel, sans contrôle externe, et sans définition légale du seuil d’anonymisation.

Le périmètre de l’exclusion. L’article 3 vise les traitements effectués « à des seules fins […] statistique ». La formulation est restrictive et ne prévoit, pour la statistique, aucune garantie compensatoire — anonymisation, minimisation, limitation de conservation. Où passe exactement sa frontière ? Le texte ne le dit pas.

Une tension non résolue. L’article 21 de la loi de 2024 impose d’informer la personne concernée, au plus tard lors de la collecte, de « la possibilité de refuser de figurer sur le fichier en cause ». Or l’article 15 de la loi statistique rend la réponse obligatoire, et son article 19 punit le refus de répondre ou la fausse déclaration d’une amende de 10 000 à 50 000 FCFA pour une personne physique. L’articulation peut se résoudre par l’exclusion de l’article 3 comme par le principe lex specialis — la loi statistique, texte spécial, primant sur le devoir général d’information. Rien ne permet de trancher en l’absence d’autorité de contrôle.

L’arbitre manquant

C’est le point central. L’article 53 alinéa 2 de la loi n° 2024/017 dispose : « La création, ainsi que l’organisation et le fonctionnement de l’Autorité de protection visée à l’alinéa 1 ci-dessus sont fixées par un décret du Président de la République. »

La formulation est décisive. La loi ne crée pas l’Autorité de protection des données à caractère personnel (APDP) : elle renvoie sa création même à un décret. Tant que ce décret n’est pas signé, l’APDP n’a pas d’existence juridique. Le titre V de la loi ne comporte qu’un seul article ; ni la composition, ni le mandat, ni le budget de l’Autorité ne sont fixés par le texte législatif. Et aucun délai n’est imposé au Président de la République pour prendre ce décret.

Le juriste Laurent-Fabrice Zengue l’écrit sans détour : « L’Autorité camerounaise de protection des données à caractère personnel n’ayant été ni créée ni organisée, et n’étant donc pas fonctionnelle […]. »

Un projet de décret existe pourtant. Il est en ligne sur le site du ministère des Postes et Télécommunications, dans la rubrique des textes en préparation soumis à consultation publique du PATNuC. L’Observatoire l’a téléchargé et examiné. Le document ne porte aucune date — l’emplacement prévu reste vierge : « Fait à YAOUNDE, le _____ » — mais son nom de fichier et ses métadonnées le situent en mai 2023, soit dix-neuf mois avant la promulgation de la loi. Ses visas sont vides (« Vu la loi n°…. »), il comporte encore des arbitrages non tranchés entre crochets (« devant [la Cour Suprême] », « le ministre chargé des [à définir – par exemple : des finances] »), et sa numérotation ne concorde pas avec le texte promulgué : il vise « l’article 49 de la Loi » pour l’institution de l’Autorité et « l’article 50 » pour sa composition en dix membres, alors que l’Autorité figure à l’article 53 de la loi de 2024 et qu’aucune disposition n’y fixe sa composition. Il ne peut pas être lu comme un texte d’application de la loi de 2024.

Un élément de contexte, enfin, mérite d’être signalé, sans que l’Observatoire en tire de conclusion. La signature de ce décret relève du seul Président de la République. Or Paul Biya a quitté le Cameroun le 7 juin 2026 pour un séjour privé en Europe et son absence prolongée a conduit, depuis, une partie de l’opposition à saisir le Conseil constitutionnel sur la question de la vacance du pouvoir, tandis que le RDPC affirme que le chef de l’État continue d’exercer ses fonctions. Aucun vice-président n’a été nommé — et l’Observatoire rappelle qu’un décret prétendant nommer Franck Biya à ce poste a été établi comme faux par StopBlaBlaCam en avril 2026. Quelle que soit l’issue de ce débat, il éclaire l’horizon dans lequel s’inscrit l’attente du décret créant l’APDP.

Depuis le 23 juin 2026, tout responsable de traitement au Cameroun est donc censé être en conformité avec une loi dont l’organe de contrôle n’existe pas, dont le référentiel de sécurité n’a jamais été publié, et dont l’autorisation préalable exigée par l’article 19 est matériellement impossible à obtenir — alors que l’article 55 sanctionne d’une pénalité de 5 à 50 millions de FCFA l’activité de traitement menée sans elle.

Une nuance s’impose néanmoins, et Zengue y insiste : l’absence d’autorité n’exonère personne. Le délai de mise en conformité n’était pas une suspension de l’application de la loi, les sanctions civiles et pénales restent mobilisables devant les juridictions ordinaires, et rien n’empêche un responsable de traitement de s’organiser spontanément. Ce qui manque, c’est le contrôle, la doctrine et le recours — pas la norme.

Ce que cela change pour un ménage recensé

D’ici au 15 septembre, un agent recenseur muni d’un smartphone peut se présenter à votre domicile. Vos réponses sont couvertes par le secret statistique, qui interdit leur exploitation hors des services statistiques et leur usage à des fins fiscales ou pénales. Répondre est une obligation légale, sanctionnée par une amende. En revanche, vous n’avez pas de droit d’accès organisé à vos données, vous ne serez pas nécessairement informé en cas d’incident de sécurité, et vous ne disposez d’aucune autorité indépendante auprès de laquelle porter une réclamation.

La période complémentaire crée par ailleurs un risque pratique que l’Observatoire signale sans en avoir constaté d’occurrence : une campagne de porte-à-porte prolongée, dans des zones où la sensibilisation a été plus faible, offre un terrain favorable à l’usurpation d’identité d’agents recenseurs. Aucun cas n’a été documenté à ce jour, et rien ne permet d’affirmer qu’il en existe. Le réflexe de vérification reste néanmoins recommandé.

Recensé pendant la période complémentaire ? Cinq réflexes

  1. Exiger le badge et les accessoires officiels de l’agent : l’arrêté du Premier ministre en fait une condition explicite.
  2. En cas de doute, se rapprocher de la mairie, du chef de quartier ou de la sous-préfecture, qui supervisent le déploiement.
  3. Un agent recenseur ne demande jamais de code secret Mobile Money, de code de confirmation reçu par SMS, ni aucun paiement.
  4. Refuser de communiquer un numéro de carte bancaire ou des identifiants de connexion : ils ne figurent pas au questionnaire.
  5. Signaler toute tentative suspecte à l’ANTIC (numéro vert 8202) et aux autorités administratives locales.

Ce que nous n’avons pas pu vérifier

Par souci de transparence, l’Observatoire précise les limites de cette analyse.

  • Le texte intégral de l’arrêté n’est pas accessible en ligne. StopBlaBlaCam le date de la signature du 30 juillet 2026, Journal du Cameroun indique qu’il a été rendu public le 31 juillet. Nous nous appuyons sur les extraits publiés par ces deux rédactions.
  • Aucun décret présidentiel créant l’APDP n’a été identifié à la date du 11 août 2026, ni aucune nomination de membres. Il s’agit d’une absence de preuve, non d’une preuve d’absence : si un décret a été pris sans publicité, cette analyse devra être corrigée.
  • L’architecture de sécurité du RGPH-4 — hébergement, chiffrement, durée de conservation, sous-traitance — n’a fait l’objet d’aucune communication publique. L’article 9 (2) de la loi statistique de 2020 impose pourtant d’informer les personnes recensées des dispositions adoptées pour garantir la confidentialité. L’Observatoire sollicite le BUCREP et l’INS sur ce point et publiera leurs réponses.
  • La qualification juridique du RGPH-4 au regard de l’article 3 de la loi n° 2024/017 est une lecture de l’Observatoire. Les objections sérieuses qui peuvent lui être opposées sont exposées ci-dessus.
  • Le taux de couverture d’environ 60 % est rapporté par Journal du Cameroun et n’a pas été confirmé par une source officielle.
  • Les chiffres budgétaires ne sont pas stabilisés et aucun n’a été confirmé officiellement. L’Économie donne un budget initial de 13,28 milliards de FCFA. Journal du Cameroun retient 13,2 milliards portés à 23,5 milliards après deux déblocages de 6 puis 4 milliards en juin. Camer.be, rendant compte le 3 août 2026 d’une déclaration du MRC, fait état d’un total de 19,28 milliards après un unique déblocage complémentaire de 6 milliards (4,5 de la Banque mondiale, 1,5 du Trésor). L’Observatoire n’est pas en mesure de départager ces montants.
  • Le nombre d’agents varie également selon les sources : 32 059 agents recenseurs recrutés selon L’Économie, « plus de 30 000 » agents et superviseurs à rémunérer selon l’INS, 34 941 agents mobilisés selon Camer.be. Aucun décompte officiel consolidé n’a été publié.

Sources

L’Observatoire de Cybersécurité du Cameroun documente et vérifie les incidents et les enjeux de cybersécurité affectant les organisations et les citoyens camerounais. Une précision, une correction, un document à nous transmettre ? Écrivez à mon@obs-cc.org.

Previous Post
Newer Post

Leave A Comment

Signaler
un incident