Loi 25-11 : ce que la protection des données change pour vos logiciels

Le texte et ce qu'il modifie

La loi n° 25-11 du 24 juillet 2025 est parue au Journal officiel n° 48. Elle modifie et complète la loi n° 18-07 du 10 juin 2018 relative à la protection des personnes physiques dans le traitement des données à caractère personnel. Le texte intégral se trouve sur le portail du ministère de la Justice, droit.mjustice.gov.dz.

Elle ajoute des définitions (données biométriques, profilage, pseudonymisation, violation de données), crée des pôles régionaux de contrôle et d'audit rattachés à l'Autorité nationale, et ajoute trois obligations qui touchent directement les entreprises.

Un délégué à la protection des données

L'article 41 bis demande au responsable du traitement de désigner un délégué, choisi pour ses connaissances du droit et des pratiques de protection des données. Le texte ne fixe pas de seuil de taille. Plusieurs entités peuvent partager un même délégué, selon leur organisation et leur taille.

Le délégué conseille la direction et les équipes, contrôle l'application de la loi et des procédures internes, et sert d'interlocuteur à l'Autorité nationale. L'entreprise communique ses coordonnées à cette Autorité.

Un registre des traitements

L'article 41 bis 2 demande un registre de tous les traitements de données personnelles. Il se tient sur papier ou sous forme électronique et doit être remis à l'Autorité nationale si elle le demande. Pour chaque traitement, il contient au moins les éléments suivants.

• Le nom et les coordonnées du responsable du traitement et de son délégué.
• La finalité du traitement et son fondement juridique.
• Les destinataires des données, y compris à l'étranger.
• Les catégories de personnes et de données concernées.
• Les délais prévus pour effacer les données, dans la mesure du possible.
• Une description générale des mesures de sécurité.

Un carnet automatisé des opérations, dans le logiciel

C'est l'obligation qui concerne le plus vos logiciels. L'article 41 bis 3 demande au responsable du traitement et au sous-traitant de tenir chacun un carnet automatisé des opérations sur les données personnelles. Il couvre la collecte, la modification, la consultation, la transmission, l'effacement et la destruction.

Pour chaque opération, le carnet permet de retrouver le motif, la date et l'heure et, dans la mesure du possible, la personne qui a consulté ou transmis la donnée, ainsi que les destinataires. Il est remis à l'Autorité nationale sur demande.

Un tableur partagé ou une messagerie ne produit pas ce carnet. Un logiciel métier le produit à condition d'avoir été conçu pour cela. Chaque utilisateur a son propre compte, le logiciel enregistre chaque action sur une fiche client, un dossier patient ou une fiche employé, et personne ne peut effacer cet historique.

Votre prestataire est un sous-traitant

Quand un prestataire héberge vos données ou exploite votre logiciel, la loi le traite en sous-traitant. Il tient son propre registre des traitements qu'il fait pour vous, avec ses coordonnées et ses mesures de sécurité, et son propre carnet des opérations.

Demandez-lui par écrit où sont vos données, qui y accède chez lui, comment il trace ces accès et comment il vous préviendra en cas d'incident. Ces réponses vont dans votre registre.

Ce qu'il faut vérifier dans vos logiciels

Posez ces questions à votre équipe informatique ou à votre prestataire.

• Chaque utilisateur a-t-il son propre compte, sans identifiant partagé ?
• Le logiciel enregistre-t-il qui a consulté, modifié, exporté ou supprimé une donnée personnelle, et quand ?
• Cet historique est-il protégé contre la modification, y compris par un administrateur ?
• Peut-on extraire cet historique pour une personne ou une période donnée ?
• Les droits d'accès suivent-ils le poste de chacun ?
• Sait-on effacer les données d'une personne à la fin du délai prévu ?

Les violations de données

La loi définit désormais la violation de données à caractère personnel. Elle couvre la destruction, la perte, la modification, la divulgation ou l'accès non autorisé, que ce soit accidentel ou illicite.

Plusieurs articles en ligne annoncent un délai de notification de cinq jours pour toutes les entreprises. Dans le texte, ce délai figure à l'article 45 bis 8, dans le titre V bis consacré aux traitements de prévention et de détection des infractions et aux poursuites pénales. Pour votre cas précis, faites vérifier le texte par un juriste.