Aller au contenu TechNorm

Fiche pays · vérifiée le 05/10/2026

Protection des données personnelles en République démocratique du Congo

Code du numérique (ordonnance-loi) : Ordonnance-loi n°23/010 du 13 mars 2023. Statut : partiellement appliqué.

LoiOrdonnance-loi n°23/010
AutoritéVoir la fiche
Délégué (DPO)Facultatif
Violation de donnéesSans délai

L’essentiel

Autorité de contrôle: Autorité de protection des données (fonctions confiées au régulateur des télécommunications)
Formalités: Déclaration pour tous les traitements ; autorisation pour les données sensibles et les transferts. Procédures précisées par le régulateur en mai 2026.
Délégué à la protection des données: Facultatif.
Violation de données: « Sans délai » à l’autorité ; modalités floues.
Transferts hors du pays: Vers des pays offrant une protection égale ou meilleure.
À savoir: L’autorité prévue n’est pas créée ; la délégation au régulateur des télécommunications est contestée.

Sources : https://www.dlapiperdataprotection.com/index.html?t=law&c=CD

La checklist des données personnelles pour un projet en République démocratique du Congo

Contrôles retenus pour un site web qui traite des données personnelles et les héberge hors du pays.

DP-01

Collecter uniquement les données nécessaires

PrioritaireValidation juridique

Ne demandez que les informations dont le service a vraiment besoin.

Action: Relier chaque donnée collectée à une finalité précise et supprimer les champs sans justification.
Preuve à réunir: Un registre : donnée, finalité, base légale, destinataires, durée de conservation.

Droit national : Ordonnance-loi n°23/010, République démocratique du Congo. Articles à vérifier dans le texte national.

DP-02

Établir la base légale ou recueillir le consentement

PrioritaireValidation juridique

Action: Pour chaque traitement, identifier la base légale ; si c’est le consentement, le recueillir avant la collecte, de façon libre et documentée.
Preuve à réunir: La preuve du consentement (date, version du texte) ou la base légale écrite dans le registre.

Droit national : Ordonnance-loi n°23/010, République démocratique du Congo. Articles à vérifier dans le texte national.

DP-04

Accomplir la formalité préalable auprès de l’autorité

PrioritaireValidation juridique

Dans la plupart des pays africains, un traitement de données doit être déclaré ou autorisé avant de démarrer.

Action: Déterminer le régime applicable (déclaration, déclaration simplifiée, autorisation ou avis) et le déposer avant la mise en œuvre du traitement.
Preuve à réunir: Récépissé ou décision de l’autorité de protection des données.

Droit national : Ordonnance-loi n°23/010, République démocratique du Congo. Articles à vérifier dans le texte national.

DP-05

Informer clairement les personnes

PrioritaireValidation juridique

Action: Publier une information compréhensible : identité du responsable, finalités, catégories de données, destinataires, durée de conservation, droits et moyen de les exercer.
Preuve à réunir: La politique de confidentialité, visible au moment de la collecte.

Droit national : Ordonnance-loi n°23/010, République démocratique du Congo. Articles à vérifier dans le texte national.

DP-06

Organiser l’exercice des droits

PrioritaireValidation juridique

Action: Prévoir un canal (adresse, formulaire) et une procédure pour l’accès, la rectification, l’opposition et la suppression, avec un délai de réponse suivi.
Preuve à réunir: La procédure écrite et le journal des demandes traitées avec leurs dates.

Droit national : Ordonnance-loi n°23/010, République démocratique du Congo. Articles à vérifier dans le texte national.

DP-08

Encadrer l’hébergement et les transferts hors du pays

PrioritaireValidation juridique

Héberger chez un fournisseur étranger est souvent un transfert de données qui demande une autorisation.

Action: Lister les pays où les données sont hébergées ou consultées (nuage, support, outils SaaS, IA) et obtenir l’autorisation ou les garanties exigées avant tout transfert.
Preuve à réunir: Carte des flux de données et autorisations ou garanties obtenues.

Droit national : Ordonnance-loi n°23/010, République démocratique du Congo. Articles à vérifier dans le texte national.

DP-12

Savoir gérer une violation de données

PrioritaireValidation juridique

Les délais varient : 72 h au Nigeria et au Kenya, 48 h au Rwanda, 24 h en Zambie, « sans délai » au Niger ou au Gabon.

Action: Prévoir comment détecter, qualifier et documenter une fuite, et vérifier dans le droit du pays s’il faut notifier l’autorité et les personnes, et dans quel délai.
Preuve à réunir: Registre des violations et modèle de notification prêt.

Droit national : Ordonnance-loi n°23/010, République démocratique du Congo. Articles à vérifier dans le texte national.

DP-07

Fixer des durées de conservation et purger

ImportantValidation juridique

Action: Définir une durée par catégorie de données et automatiser la suppression ou l’anonymisation à l’échéance, sauvegardes comprises.
Preuve à réunir: Tableau des durées et preuve d’exécution de la purge (tâche planifiée, journal).

Droit national : Ordonnance-loi n°23/010, République démocratique du Congo. Articles à vérifier dans le texte national.

DP-11

Protéger les données dès la conception et par défaut

ImportantBonne pratique

Action: Choisir les réglages les plus protecteurs par défaut (profil privé, partage désactivé), pseudonymiser quand c’est possible, limiter les accès internes.
Preuve à réunir: Revue de conception datée et captures des réglages par défaut.

ISO/IEC 27701:2025Système de management de la vie privée

DP-10

Désigner un point de contact ou un délégué à la protection des données

RecommandéValidation juridique

Au Burkina Faso le délégué est facultatif ; dans d’autres pays (Algérie, Rwanda, Maurice…) il est obligatoire.

Action: Nommer une personne joignable pour les questions de données ; vérifier si un délégué (DPO) est obligatoire dans le pays.
Preuve à réunir: Lettre de désignation et contact publié.

Droit national : Ordonnance-loi n°23/010, République démocratique du Congo. Articles à vérifier dans le texte national.

Textes régionaux et continentaux

En bref

Questions fréquentes

Quelle loi protège les données personnelles en République démocratique du Congo ?

Code du numérique (ordonnance-loi) (Ordonnance-loi n°23/010 du 13 mars 2023). Statut : partiellement appliqué.

Quelle est l’autorité de protection des données en République démocratique du Congo ?

Autorité de protection des données (fonctions confiées au régulateur des télécommunications)

Faut-il déclarer un traitement de données en République démocratique du Congo ?

Déclaration pour tous les traitements ; autorisation pour les données sensibles et les transferts. Procédures précisées par le régulateur en mai 2026.

Un délégué à la protection des données (DPO) est-il obligatoire en République démocratique du Congo ?

Facultatif.

Faut-il notifier une violation de données en République démocratique du Congo ?

« Sans délai » à l’autorité ; modalités floues.

Peut-on héberger ou transférer des données hors du pays en République démocratique du Congo ?

Vers des pays offrant une protection égale ou meilleure.

Votre projet est-il prêt à être vérifié ?

Deux minutes pour obtenir votre checklist : les contrôles qui s’appliquent, la preuve à réunir et le texte à l’appui, exportable en tableur.

Analyser mon projet