Contrairement à une idée répandue, la protection des données personnelles n’est plus une simple recommandation en République démocratique du Congo.
Depuis l’entrée en vigueur du Code du numérique et l’adoption de la Décision n°039/ARPTC/CLG/2025 du 11 septembre 2025, les entreprises, startups, plateformes numériques, banques, écoles, hôpitaux, cabinets, associations, fintechs, sites e-commerce et prestataires informatiques doivent désormais vérifier leur conformité en matière de traitement des données personnelles.
Cette décision marque une étape importante dans l’application concrète du droit des données personnelles en RDC. Elle précise les traitements soumis à déclaration préalable, ceux soumis à autorisation préalable, les cas de dispense, les transferts de données vers l’étranger, les frais applicables, les délais de traitement des dossiers et les sanctions encourues en cas de non-conformité.
L’ARPTC exerce, à titre provisoire, les missions de l’Autorité de Protection des Données. Elle reçoit et examine les dossiers de déclaration, d’autorisation de traitement et d’autorisation de transfert des données personnelles vers un pays tiers.
Il convient toutefois de relever que certains auteurs contestent la légalité de la Décision n°039/ARPTC/CLG/2025, estimant que certaines de ses dispositions pourraient soulever des questions de conformité au Code du numérique et à la Constitution. À ce jour, cette décision demeure néanmoins applicable et constitue le cadre réglementaire de référence en matière de formalités relatives aux traitements des données personnelles.
En clair : toute structure qui collecte, utilise, conserve, partage, héberge ou transfère des données permettant d’identifier une personne physique doit se demander si elle est conforme au Code du numérique congolais.
Une conformité mal préparée peut exposer l’entreprise à des sanctions, à une suspension de traitement, à une perte de confiance des clients et à des difficultés contractuelles avec ses partenaires.

Sommaire

1. Ce qu’il faut retenir : la conformité des données personnelles devient obligatoire en RDC
2. Pourquoi la Décision n°039/ARPTC/CLG/2025 est importante
3. Qu’est-ce qu’une donnée personnelle en droit congolais ?
4. Qu’est-ce qu’un traitement de données personnelles ?
5. Autorisation préalable : les traitements sensibles ou à risque
6. Déclaration préalable : le régime général des traitements ordinaires
7. Les traitements dispensés de formalités
8. Le rôle du Délégué à la Protection des Données
9. Le transfert des données personnelles vers l’étranger
10. Procédure, délais, frais et durée de validité des titres
11. Sanctions et risques en cas de non-conformité
12. Le lien avec les arrêtés du 11 mars 2026 sur les activités numériques
13. Les réflexes d’urgence pour les entreprises
14. L’intérêt d’un avocat ou d’un cabinet spécialisé
15. Ce qu’il faut retenir
16. FAQ

Ce qu’il faut retenir : la conformité des données personnelles devient obligatoire en RDC

Depuis la Décision n°039/ARPTC/CLG/2025, la conformité des données personnelles en RDC devient une obligation concrète pour les organisations qui traitent des informations relatives aux personnes physiques.

Le Code du numérique avait déjà posé les principes généraux de protection des données personnelles. La décision de l’ARPTC vient préciser les modalités pratiques d’application : déclaration, autorisation, dispense, transfert international, frais, durée de validité et sanctions.

Les entreprises doivent donc identifier les données qu’elles collectent, les finalités du traitement, les personnes concernées, les destinataires, les mesures de sécurité, les transferts vers l’étranger et les formalités à accomplir.

En clair : une entreprise ne peut plus collecter et exploiter des données personnelles sans vérifier son régime juridique.

Pourquoi la Décision n°039/ARPTC/CLG/2025 est importante

La Décision n°039/ARPTC/CLG/2025 du 11 septembre 2025 constitue un texte important pour la protection des données personnelles en République démocratique du Congo.

Elle rend plus opérationnel le régime prévu par le Code du numérique, notamment les articles relatifs à la déclaration et à l’autorisation des traitements de données personnelles.

Cette décision précise notamment :

• Les traitements soumis à autorisation préalable ;
• Les traitements soumis à déclaration préalable ;
• Les traitements dispensés de formalités ;
• Les conditions de transfert des données personnelles vers l’étranger ;
• Les documents à fournir dans le dossier ;
• Les délais d’examen par l’autorité ;
• Les frais d’étude et de délivrance ;
• La durée de validité des récépissés et autorisations ;
• Les causes de suspension ou de retrait du titre.

Avant cette décision, beaucoup d’entreprises savaient que la protection des données existait dans le Code du numérique, mais ne savaient pas toujours comment se conformer concrètement.

Depuis cette décision, la conformité devient plus structurée : il existe une procédure, des frais, des délais et des titres officiels.

Qu’est-ce qu’une donnée personnelle en droit congolais ?

Une donnée personnelle est toute information qui permet d’identifier directement ou indirectement une personne physique.

Il peut s’agir notamment :

• Du nom ;
• Du prénom ;
• Du numéro de téléphone ;
• De l’adresse e-mail ;
• De l’adresse physique ;
• De la photo ;
• De la voix ;
• Des données biométriques ;
• Des données de santé ;
• Des données bancaires ;
• Du numéro d’identification nationale ;
• De l’adresse ip ;
• Des données de localisation ;
• Des informations relatives aux clients, employés, abonnés, membres ou utilisateurs.

En pratique, presque toutes les entreprises traitent des données personnelles.

Une société qui gère une base clients, une liste d’employés, un formulaire de contact, une application mobile, une plateforme e-commerce ou un fichier d’abonnés traite déjà des données personnelles.

C’est pourquoi la conformité ne concerne pas seulement les grandes entreprises technologiques. Elle concerne aussi les PME, startups, écoles, universités, hôpitaux, cabinets, banques, assurances, ASBL, églises, plateformes numériques et administrations.

Qu’est-ce qu’un traitement de données personnelles ?

Le traitement de données personnelles désigne toute opération portant sur des données permettant d’identifier une personne.

Il peut s’agir notamment :

• De la collecte ;
• De l’enregistrement ;
• De la conservation ;
• De l’organisation ;
• De la consultation ;
• De l’utilisation ;
• De la modification ;
• Du partage ;
• De la transmission ;
• De l’hébergement ;
• De l’effacement ;
• Du transfert vers l’étranger.

Ainsi, une entreprise traite des données personnelles lorsqu’elle :

• Inscrit un client dans une base de données ;
• Collecte les informations d’un utilisateur sur une application ;
• Conserve les dossiers de ses employés ;
• Envoie des messages marketing ;
• Utilise un formulaire de contact ;
• Installe un système de pointage biométrique ;
• Gère une plateforme de paiement ;
• Héberge des données dans le cloud ;
• Partage des données avec un prestataire externe.

Le traitement ne suppose donc pas nécessairement une activité complexe. Une simple base de données clients peut déjà constituer un traitement soumis aux règles du Code du numérique.

Autorisation préalable : les traitements sensibles ou à risque

L’autorisation préalable est le régime le plus strict en matière de protection des données personnelles.

Elle concerne les traitements qui présentent un risque particulier pour les droits et libertés des personnes concernées.

Dans ce cas, le responsable de traitement ne doit pas mettre en œuvre le traitement avant d’avoir obtenu l’autorisation de l’autorité compétente.

Selon la Décision n°039/ARPTC/CLG/2025, sont notamment soumis à autorisation préalable les traitements portant sur plusieurs catégories sensibles ou spécifiques.

1. Les données sensibles

Les données sensibles sont des informations particulièrement protégées en raison de leur nature.

Il peut s’agir notamment :

• Des données médicales ;
• Des données génétiques ;
• Des données relatives à la santé ;
• Des données utilisées à des fins de recherche scientifique.

Ces données exigent une protection renforcée parce qu’elles peuvent révéler des informations intimes ou exposer la personne concernée à des discriminations.

Exemples : dossier médical, application de santé, plateforme hospitalière, laboratoire, étude scientifique impliquant des personnes physiques.

2. Les données judiciaires

Les traitements portant sur les infractions, condamnations ou mesures de sûreté sont également soumis à un encadrement strict.

Ces informations peuvent affecter la réputation, la situation professionnelle ou la vie sociale d’une personne.

Elles ne peuvent donc pas être collectées ou exploitées librement.

3. Les identifiants nationaux et équivalents

La décision vise aussi les identifiants nationaux ou équivalents.

Elle inclut notamment les numéros de téléphone, ce qui est très important en RDC.

En effet, de nombreuses entreprises utilisent le numéro de téléphone comme identifiant principal pour les comptes clients, les applications mobiles, les services de paiement, les plateformes de livraison, les services e-commerce ou les bases d’utilisateurs.

Une entreprise qui collecte massivement les numéros de téléphone de ses clients doit donc vérifier si son traitement nécessite une déclaration ou une autorisation.

4. Les données biométriques

Les données biométriques permettent d’identifier une personne de manière unique.

Il peut s’agir notamment :

• Des empreintes digitales ;
• De la reconnaissance faciale ;
• De l’iris ;
• De la reconnaissance vocale ;
• Du pointage biométrique ;
• De tout système d’authentification biométrique.

Les entreprises qui utilisent des dispositifs biométriques pour contrôler l’accès aux locaux, gérer la présence du personnel ou identifier les utilisateurs doivent être particulièrement vigilantes.

Ces traitements peuvent nécessiter une autorisation préalable.

5. Les traitements à des fins historiques, statistiques ou scientifiques

Certains traitements réalisés à des fins historiques, statistiques ou scientifiques peuvent également être soumis à autorisation, surtout lorsqu’ils concernent des données personnelles sensibles, massives ou susceptibles de produire des effets sur les personnes concernées.

Les universités, centres de recherche, instituts, ONG et organismes d’étude doivent donc vérifier le régime applicable avant de collecter ou d’exploiter des données personnelles.

6. Les transferts de données personnelles vers l’étranger

Tout transfert de données personnelles vers un pays tiers fait l’objet d’un encadrement spécifique.

Le transfert international peut nécessiter une autorisation distincte, même lorsque le traitement principal a déjà été déclaré ou autorisé.

Cela concerne notamment les entreprises qui utilisent des serveurs étrangers, des outils cloud, des CRM internationaux, des services de messagerie professionnelle, des outils de paiement ou des prestataires techniques situés hors de la RDC.

Déclaration préalable : le régime général des traitements ordinaires

La déclaration préalable est le régime de droit commun pour les traitements qui ne relèvent pas de l’autorisation préalable et qui ne sont pas expressément dispensés.

Cela signifie que lorsqu’un traitement de données personnelles n’est pas sensible au point d’exiger une autorisation, mais n’est pas dispensé par la décision, il doit être déclaré auprès de l’ARPTC.

La déclaration peut notamment concerner :

• La gestion d’une base clients ;
• La gestion des abonnés ;
• La gestion d’un fichier de membres ;
• La gestion des utilisateurs d’une application ;
• L’envoi de newsletters ;
• La prospection commerciale ;
• La gestion des demandes en ligne ;
• Certains traitements marketing ;
• La gestion d’un site e-commerce ;
• La gestion de comptes utilisateurs.

La déclaration n’est pas une simple formalité sans importance.

Elle oblige l’entreprise à décrire précisément le traitement : finalité, catégories de données, personnes concernées, durée de conservation, destinataires, mesures de sécurité, droits des personnes et éventuels transferts.

Une déclaration imprécise, incomplète ou incohérente peut fragiliser la conformité de l’entreprise.

Les traitements dispensés de formalités

Tous les traitements de données personnelles ne nécessitent pas nécessairement une déclaration ou une autorisation.

La Décision n°039/ARPTC/CLG/2025 prévoit certains cas de dispense de formalités.

Cela signifie que certains traitements peuvent être mis en œuvre sans dépôt de déclaration ou demande d’autorisation, à condition de respecter les principes généraux de protection des données personnelles.

1. Les traitements à usage personnel ou domestique

Les traitements réalisés exclusivement dans un cadre personnel ou domestique peuvent être dispensés.

Exemple : conserver les contacts de ses proches dans son téléphone personnel.

Cette dispense ne concerne pas les traitements réalisés dans un cadre professionnel, commercial, institutionnel ou associatif.

2. Les traitements de gestion courante

Certains traitements liés à la gestion ordinaire d’une organisation peuvent être dispensés.

Cela peut notamment concerner :

• La comptabilité générale ;
• La paie du personnel ;
• La gestion des fournisseurs.

Mais attention : la dispense de formalité ne signifie pas absence d’obligations.

Même dispensée de déclaration, l’entreprise doit respecter les principes de confidentialité, de sécurité, de finalité, de proportionnalité et de durée de conservation.

3. Certaines associations sans but lucratif

Les associations religieuses, politiques ou similaires peuvent bénéficier d’une dispense lorsque les traitements concernent uniquement leurs membres et restent strictement liés à leur objet.

Cette dispense ne couvre pas les traitements excessifs, les transferts non maîtrisés ou l’utilisation commerciale des données.

4. La désignation d’un DPO

La décision prévoit également qu’un traitement peut être dispensé de formalité lorsque l’organisation désigne un Délégué à la Protection des Données indépendant chargé de veiller à la conformité interne.

Toutefois, cette dispense connaît une limite importante : elle ne s’applique pas aux transferts de données personnelles vers l’étranger.

Ainsi, même lorsqu’une entreprise a désigné un DPO, elle doit vérifier si une autorisation de transfert international est nécessaire.

Le rôle du Délégué à la Protection des Données

Le Délégué à la Protection des Données, souvent appelé DPO, est la personne chargée d’accompagner l’organisation dans le respect des règles relatives aux données personnelles.

Son rôle est stratégique.

Il peut notamment :

• Conseiller l’entreprise sur ses obligations ;
• Suivre la conformité des traitements ;
• Participer à la cartographie des données ;
• Contrôler les pratiques internes ;
• Sensibiliser le personnel ;
• Vérifier les politiques de confidentialité ;
• Accompagner la gestion des demandes des personnes concernées ;
• Assurer le lien avec l’autorité compétente ;
• Contribuer à la préparation des dossiers de déclaration ou d’autorisation.

Le DPO ne doit pas être désigné uniquement pour remplir une formalité.

Il doit être compétent, indépendant dans l’exercice de ses missions et réellement impliqué dans la gouvernance des données personnelles.

Pour les entreprises qui traitent régulièrement des données personnelles, la désignation d’un DPO peut devenir un véritable outil de conformité et de crédibilité.

Le transfert des données personnelles vers l’étranger

Le transfert international des données personnelles est l’un des points les plus sensibles du régime congolais.

Un transfert peut exister dès lors que les données sont envoyées, stockées, hébergées, consultées ou traitées hors de la RDC.

Beaucoup d’entreprises transfèrent des données vers l’étranger sans le savoir.

C’est notamment le cas lorsqu’elles utilisent :

• Google workspace ;
• Microsoft 365 ;
• Aws ;
• Azure ;
• Des crm étrangers ;
• Des outils marketing étrangers ;
• Des serveurs hors rdc ;
• Des plateformes de paiement internationales ;
• Des prestataires informatiques étrangers ;
• Des outils d’analyse ou de suivi des utilisateurs.

La Décision n°039/ARPTC/CLG/2025 prévoit que le transfert vers un pays tiers fait l’objet d’une autorisation distincte et accessoire au traitement principal.

Cela signifie qu’une entreprise peut devoir accomplir deux formalités :

• une déclaration ou une autorisation pour le traitement principal ;
• une autorisation spécifique pour le transfert international.

Le responsable de traitement doit démontrer que le pays destinataire offre un niveau de protection adéquat ou prévoir des garanties suffisantes, notamment par des engagements contractuels.

En clair : le transfert des données vers l’étranger n’est pas interdit, mais il est juridiquement encadré.

Procédure, délais, frais et durée de validité des titres

La conformité des données personnelles passe par un dossier formel adressé à l’ARPTC.

Le dossier doit être complet, cohérent et suffisamment documenté.

Il peut notamment comprendre :

• L’identité du responsable de traitement ;
• La description du traitement ;
• Les finalités poursuivies ;
• Les catégories de données collectées ;
• Les catégories de personnes concernées ;
• Les destinataires des données ;
• La durée de conservation ;
• Les mesures de sécurité ;
• Les informations relatives aux sous-traitants ;
• Les garanties prévues en cas de transfert international ;
• Une analyse d’impact relative à la protection des données lorsque le traitement présente un risque élevé.

Délais d’examen

L’autorité dispose en principe de 30 jours ouvrables pour statuer sur le dossier.

Ce délai peut être prorogé une fois.

Lorsque l’autorité ne répond pas dans le délai prévu, le silence vaut acceptation.

Toutefois, cette règle ne doit pas être mal comprise. Elle ne protège pas un responsable de traitement qui aurait déposé un dossier incomplet, inexact ou trompeur.

Frais d’étude de dossier

Les frais d’étude sont payables lors du dépôt du dossier et ne sont pas remboursables.

Les montants sont notamment les suivants :

• Déclaration de traitement : 250 USD ;
• Autorisation de traitement : 500 USD ;
• Autorisation de transfert vers un pays tiers : 750 USD ;
• Déclaration + autorisation de transfert : 800 USD ;
• Autorisation + autorisation de transfert : 1 000 USD.

En cas de modification substantielle d’un traitement existant, les frais peuvent notamment être :

• Modification d’un traitement déclaré : 100 USD ;
• Modification d’un traitement autorisé : 300 USD ;
• Modification affectant un transfert vers un pays tiers : 450 USD.

Frais de délivrance du titre

Après décision favorable, des frais de délivrance sont dus avant la remise du titre.

Les montants sont notamment :

• Récépissé de déclaration : 250 USD ;
• Autorisation de traitement : 500 USD ;
• Autorisation de transfert vers un pays tiers : 750 USD.

Aucun titre de conformité ne peut être délivré sans paiement préalable de l’intégralité des frais exigés.

Durée de validité

Les titres délivrés ont une durée limitée.

En principe :

• Le récépissé de déclaration est valable 3 ans renouvelables ;
• L’autorisation de traitement est valable 2 ans renouvelables ;
• L’autorisation de transfert vers un pays tiers est valable 1 an renouvelable.

La conformité doit donc être suivie dans le temps.

Une entreprise peut être conforme aujourd’hui et devenir irrégulière demain si elle oublie de renouveler son titre.

Sanctions et risques en cas de non-conformité

La non-conformité en matière de données personnelles peut entraîner des conséquences importantes.

L’ARPTC peut suspendre ou retirer un titre lorsque le responsable de traitement :

• Ne respecte plus les lois applicables ;
• Ne respecte plus les engagements pris dans son dossier ;
• Traite des données hors du périmètre déclaré ou autorisé ;
• Fait obstacle à un contrôle ;
• Empêche l’exercice des droits des personnes concernées ;
• Modifie substantiellement son traitement sans régularisation.

Le Code du numérique prévoit également des amendes administratives pouvant aller de 8 millions à 200 millions de francs congolais.

Mais le risque n’est pas seulement financier.

Une entreprise non conforme peut aussi subir :

• Une perte de confiance des clients ;
• Une perte de crédibilité auprès des partenaires ;
• Un blocage dans certains appels d’offres ;
• Une fragilisation de ses contrats ;
• Un risque réputationnel ;
• Une exposition accrue en cas de fuite de données ;
• Des difficultés avec les investisseurs ;
• Une baisse de confiance des utilisateurs.

La conformité des données personnelles devient donc un enjeu de gouvernance, de sécurité juridique et de confiance numérique.

Le lien avec les arrêtés du 11 mars 2026 sur les activités numériques

La conformité des données personnelles ne doit pas être analysée isolément.

Elle s’inscrit dans un mouvement plus large de régulation des activités numériques en RDC.

Les arrêtés du 11 mars 2026 relatifs aux activités numériques renforcent l’idée que certaines activités exercées dans l’écosystème numérique doivent être déclarées ou autorisées.

Cela signifie qu’une entreprise numérique peut être soumise à plusieurs obligations en même temps.

Par exemple, une plateforme numérique peut devoir :

• Déclarer ou faire autoriser son activité numérique ;
• Déclarer ou faire autoriser ses traitements de données personnelles ;
• Demander une autorisation de transfert vers l’étranger ;
• Sécuriser ses contrats avec les sous-traitants ;
• Mettre à jour ses CGU et CGV ;
• Adopter une politique de confidentialité conforme ;
• Documenter ses mesures de cybersécurité.

Il faut donc distinguer :

• La déclaration ou l’autorisation d’une activité numérique ;
• La déclaration ou l’autorisation d’un traitement de données personnelles ;
• L’autorisation spécifique de transfert des données vers un pays tiers ;
• Les obligations liées à la cybersécurité, au commerce électronique et aux contrats numériques.

Ces obligations peuvent se cumuler.

Pour les startups, fintechs, plateformes e-commerce, applications mobiles et prestataires numériques, un audit global de conformité devient indispensable.

Les obligations internes à ne pas négliger

Déposer un dossier auprès de l’ARPTC ne suffit pas toujours à garantir une conformité complète.

L’entreprise doit également mettre en place une organisation interne conforme au Code du numérique.

Elle doit notamment veiller à :

• Collecter les données pour une finalité claire ;
• Ne collecter que les données nécessaires ;
• Informer les personnes concernées ;
• Obtenir le consentement lorsque celui-ci est requis ;
• Sécuriser les données ;
• Limiter l’accès aux personnes autorisées ;
• Fixer une durée de conservation ;
• Encadrer les sous-traitants ;
• Prévoir une procédure d’exercice des droits ;
• Documenter les traitements ;
• Former les équipes internes ;
• Mettre à jour les documents juridiques.

La conformité des données personnelles n’est donc pas une simple formalité administrative.

C’est une organisation permanente.

Les droits des personnes concernées

Les personnes dont les données sont collectées disposent de droits.

Elles doivent pouvoir comprendre qui traite leurs données, pourquoi elles sont collectées, combien de temps elles seront conservées, avec qui elles seront partagées et si elles seront transférées à l’étranger.

Elles doivent aussi pouvoir exercer les droits prévus par le droit applicable, notamment l’accès, la rectification, l’opposition ou toute autre demande liée au traitement de leurs données.

Une entreprise doit donc prévoir une procédure claire pour recevoir et traiter les demandes des personnes concernées.

Ignorer ces demandes peut exposer l’entreprise à des plaintes, des contrôles ou des sanctions.

Les réflexes d’urgence pour les entreprises

1. Cartographier les données personnelles

La première étape consiste à identifier toutes les données collectées et utilisées par l’entreprise.

Il faut savoir quelles données sont traitées, par quel service, pour quelle finalité, sur quel support, pendant combien de temps et avec quels destinataires.

Sans cartographie, il est impossible de déterminer le régime applicable.

2. Identifier les traitements soumis à déclaration ou autorisation

L’entreprise doit distinguer les traitements ordinaires, les traitements sensibles, les traitements dispensés et les traitements nécessitant une autorisation.

Cette qualification est essentielle pour éviter une erreur de procédure.

3. Vérifier les transferts vers l’étranger

Il faut examiner les outils utilisés par l’entreprise : cloud, messagerie, hébergement, CRM, paiement, analytics, marketing, stockage, ressources humaines.

Beaucoup de transferts internationaux se cachent dans les prestataires techniques.

4. Préparer les documents de conformité

L’entreprise doit préparer ou mettre à jour :

• La politique de confidentialité ;
• Les conditions générales d’utilisation ;
• Les conditions générales de vente ;
• Les contrats de sous-traitance ;
• Les clauses de protection des données ;
• Les procédures internes ;
• Le registre des traitements ;
• Les mesures de sécurité ;
• Les formulaires d’information ou de consentement.

5. Désigner un DPO lorsque c’est pertinent

La désignation d’un Délégué à la Protection des Données peut renforcer la conformité et, dans certains cas, permettre une dispense de formalité.

Mais cette désignation doit être réelle, documentée et accompagnée de moyens suffisants.

6. Déposer les dossiers nécessaires

Lorsque le régime applicable est identifié, l’entreprise doit déposer les déclarations ou demandes d’autorisation nécessaires auprès de l’ARPTC.

Elle doit aussi prévoir les frais réglementaires et assurer le suivi du dossier.

7. Suivre les renouvellements

Les titres délivrés ayant une durée limitée, l’entreprise doit mettre en place un calendrier de renouvellement.

Une conformité non suivie peut rapidement devenir une non-conformité.

Pourquoi se faire accompagner par un avocat ou un cabinet spécialisé ?

La conformité des données personnelles est à la fois juridique, technique et organisationnelle.

Une mauvaise qualification peut entraîner des erreurs importantes.

Par exemple :

• Déclarer un traitement qui nécessite une autorisation ;
• Oublier un transfert international ;
• Croire que le DPO dispense de toutes les formalités ;
• Négliger les données biométriques ;
• Sous-estimer l’importance du numéro de téléphone ;
• Déposer un dossier incomplet ;
• Utiliser une politique de confidentialité générique ;
• Ne pas encadrer les sous-traitants ;
• Ignorer les obligations liées aux activités numériques.

Un avocat ou un cabinet spécialisé en droit du numérique peut aider à :

• Auditer les traitements ;
• Qualifier juridiquement les données ;
• Identifier les formalités applicables ;
• Préparer les dossiers ARPTC ;
• Rédiger les politiques de confidentialité ;
• Encadrer les sous-traitants ;
• Sécuriser les transferts internationaux ;
• Mettre à jour les contrats ;
• Accompagner les échanges avec l’autorité ;
• Anticiper les contrôles ;
• Limiter les risques de sanctions.

Pour les entreprises numériques, la conformité doit être intégrée dès la conception du service.

C’est ce qui permet de construire une activité durable, sécurisée et juridiquement crédible.

Une conformité devenue stratégique

La protection des données personnelles n’est plus seulement une contrainte administrative.

Elle devient un avantage concurrentiel.

Une entreprise conforme inspire davantage confiance à ses clients, partenaires, investisseurs et utilisateurs.

Elle démontre qu’elle prend au sérieux la sécurité des données, la vie privée et les droits des personnes concernées.

Dans un marché numérique en construction, la conformité peut faire la différence entre une entreprise fragile et une entreprise crédible.

Les organisations qui anticipent seront mieux préparées que celles qui attendent un contrôle, une plainte ou une sanction pour agir.

Ce qu’il faut retenir

✔️ La protection des données personnelles en RDC est encadrée par le Code du numérique.
✔️ La Décision n°039/ARPTC/CLG/2025 rend la conformité plus concrète et opérationnelle.
✔️ L’ARPTC exerce provisoirement les missions de l’Autorité de Protection des Données.
✔️ Les traitements sensibles ou à risque nécessitent une autorisation préalable.
✔️ Les traitements ordinaires non dispensés doivent faire l’objet d’une déclaration préalable.
✔️ Les transferts de données vers l’étranger nécessitent une autorisation spécifique.
✔️ Le DPO peut faciliter la conformité, mais ne dispense pas toujours de toutes les formalités.
✔️ Les titres ont une durée limitée et doivent être renouvelés.
✔️ Les sanctions administratives peuvent atteindre 200 millions de francs congolais.
✔️ La conformité des données personnelles peut se cumuler avec les obligations relatives aux activités numériques issues des textes du 11 mars 2026.

Conclusion

Depuis la Décision n°039/ARPTC/CLG/2025, la conformité en matière de données personnelles en RDC entre dans une phase beaucoup plus pratique.

Les entreprises ne doivent plus collecter, utiliser, stocker ou transférer des données personnelles sans vérifier leur régime juridique.

Elles doivent identifier leurs traitements, distinguer déclaration et autorisation, vérifier les transferts vers l’étranger, préparer les documents nécessaires, payer les frais applicables et suivre la validité des titres obtenus.

La conformité n’est donc pas un simple document à déposer. C’est une organisation continue.

Avec le Code du numérique et les textes relatifs aux activités numériques, les entreprises doivent désormais adopter une approche globale de conformité numérique.

Dans le nouvel environnement juridique congolais, les données personnelles ne sont plus seulement une ressource commerciale. Elles deviennent une responsabilité juridique.

❓FAQ

Qu’est-ce qu’une donnée personnelle en RDC ?

Une donnée personnelle est toute information qui permet d’identifier directement ou indirectement une personne physique.

Il peut s’agir du nom, du prénom, du numéro de téléphone, de l’adresse e-mail, de la photo, de l’adresse physique, des données biométriques, des données de santé, des données bancaires ou encore de l’adresse IP.

Dès qu’une entreprise collecte ou utilise des informations permettant d’identifier un client, un employé, un abonné, un utilisateur ou un partenaire, elle traite des données personnelles.

Quelle loi protège les données personnelles en RDC ?

La protection des données personnelles en RDC est principalement organisée par le Code du numérique.

Depuis la Décision n°039/ARPTC/CLG/2025 du 11 septembre 2025, ce régime est devenu plus concret, car cette décision précise les modalités de déclaration, d’autorisation, de transfert des données vers l’étranger, les frais applicables et la durée de validité des titres délivrés.

Quel est le rôle de l’ARPTC en matière de données personnelles ?

L’ARPTC exerce provisoirement les missions de l’Autorité de Protection des Données.

Elle reçoit et examine les dossiers de déclaration de traitement, d’autorisation de traitement et d’autorisation de transfert des données personnelles vers l’étranger.

Elle peut également contrôler les traitements, suspendre ou retirer un titre lorsque le responsable de traitement ne respecte pas ses obligations.

Toutes les entreprises sont-elles concernées par la conformité des données personnelles ?

Oui. Toute entreprise qui collecte, utilise, conserve ou partage des données permettant d’identifier une personne peut être concernée.

Cela vise notamment les entreprises commerciales, startups, banques, assurances, écoles, hôpitaux, cabinets, associations, plateformes numériques, fintechs, applications mobiles, sites e-commerce et administrations.

Même une petite entreprise peut être concernée si elle gère une base clients, une liste d’employés, un formulaire en ligne ou des données d’utilisateurs.

Quelle est la différence entre déclaration et autorisation de traitement ?

La déclaration concerne les traitements ordinaires qui ne sont pas soumis à autorisation et qui ne sont pas expressément dispensés.

L’autorisation préalable concerne les traitements sensibles ou à risque, notamment les données médicales, génétiques, biométriques, judiciaires, certains identifiants nationaux ou encore les transferts de données personnelles vers l’étranger.

En clair : la déclaration informe l’autorité, tandis que l’autorisation suppose une validation préalable avant la mise en œuvre du traitement.

Quels traitements nécessitent une autorisation préalable en RDC ?

L’autorisation préalable est requise pour les traitements présentant un risque particulier.

Cela peut notamment concerner les données de santé, les données génétiques, les données biométriques, les données judiciaires, les données relatives aux infractions ou condamnations, les identifiants nationaux ou équivalents, ainsi que les transferts de données personnelles vers un pays étranger.

Les entreprises utilisant des systèmes biométriques, des applications de santé, des plateformes fintech ou des outils cloud étrangers doivent donc vérifier attentivement leur régime de conformité.

Le numéro de téléphone est-il une donnée personnelle ?

Oui. Le numéro de téléphone est une donnée personnelle lorsqu’il permet d’identifier, de contacter ou de rattacher une personne à un compte, un service ou une transaction.

Cette précision est importante en RDC, car beaucoup de plateformes utilisent le numéro de téléphone comme identifiant principal pour les comptes clients, les applications mobiles, les services de paiement ou les plateformes e-commerce.

Une entreprise qui utilise un cloud étranger transfère-t-elle des données à l’étranger ?

Très souvent, oui.

Lorsqu’une entreprise congolaise utilise un serveur, un cloud, un CRM, une messagerie professionnelle, un outil marketing ou une plateforme étrangère qui stocke ou traite des données hors de la RDC, il peut s’agir d’un transfert international de données personnelles.

Dans ce cas, l’entreprise doit vérifier si une autorisation de transfert vers un pays tiers est nécessaire.

Le transfert des données personnelles vers l’étranger est-il interdit ?

Non. Le transfert des données personnelles vers l’étranger n’est pas interdit par principe.

Il est simplement encadré.

L’entreprise doit démontrer que le pays destinataire offre un niveau de protection adéquat ou prévoir des garanties suffisantes, notamment contractuelles.

Le problème n’est donc pas le transfert lui-même, mais le transfert effectué sans autorisation ou sans garanties suffisantes.

Le DPO est-il obligatoire en RDC ?

Le Délégué à la Protection des Données, ou DPO, est fortement recommandé pour les entreprises qui traitent régulièrement des données personnelles ou des données sensibles.

La Décision n°039/ARPTC/CLG/2025 prévoit aussi que la désignation d’un DPO indépendant peut dispenser certains traitements de formalité.

Toutefois, cette dispense ne couvre pas les transferts de données vers l’étranger.

Le DPO dispense-t-il toujours de déclaration ou d’autorisation ?

Non. La désignation d’un DPO ne dispense pas automatiquement de toutes les obligations.

Elle peut permettre une dispense dans certains cas, mais elle ne remplace pas l’autorisation de transfert international.

Elle ne permet pas non plus de justifier un traitement excessif, non sécurisé ou contraire au Code du numérique.

Combien coûte une déclaration de traitement des données personnelles en RDC ?

Selon la Décision n°039/ARPTC/CLG/2025, l’étude de dossier pour une déclaration de traitement coûte 250 USD.

Après décision favorable, la délivrance du récépissé de déclaration coûte également 250 USD.

Le coût total peut donc atteindre 500 USD pour une déclaration, hors frais d’accompagnement éventuels.

Combien coûte une autorisation de traitement des données personnelles ?

L’étude de dossier pour une autorisation de traitement coûte 500 USD.

Après décision favorable, la délivrance de l’autorisation coûte également 500 USD.

Le coût total peut donc atteindre 1 000 USD pour une autorisation de traitement, hors frais professionnels liés à la préparation du dossier.

Combien coûte une autorisation de transfert des données vers l’étranger ?

L’étude de dossier pour une autorisation de transfert vers un pays tiers coûte 750 USD.

Après décision favorable, la délivrance de l’autorisation de transfert coûte également 750 USD.

Le coût total peut donc atteindre 1 500 USD pour une autorisation de transfert international.

Quelle est la durée de validité d’une déclaration ou d’une autorisation ?

La durée de validité dépend du titre obtenu.

Le récépissé de déclaration est valable 3 ans renouvelables.

L’autorisation de traitement est valable 2 ans renouvelables.

L’autorisation de transfert vers un pays tiers est valable 1 an renouvelable.

Les entreprises doivent donc suivre les échéances de renouvellement pour éviter de se retrouver en situation d’irrégularité.

Quel est le délai de réponse de l’ARPTC ?

L’ARPTC dispose en principe de 30 jours ouvrables pour statuer sur un dossier complet.

Ce délai peut être prorogé une fois.

Lorsque l’autorité ne répond pas dans le délai prévu, le silence vaut acceptation.

Toutefois, cette règle ne protège pas une entreprise qui aurait déposé un dossier incomplet, inexact ou trompeur.

Que risque une entreprise non conforme ?

Une entreprise non conforme peut s’exposer à une mise en demeure, une suspension du traitement, un retrait du titre, une interdiction d’exercer certains traitements ou une sanction administrative.

Le Code du numérique prévoit également des amendes administratives pouvant aller de 8 millions à 200 millions de francs congolais.

Au-delà des sanctions, l’entreprise risque aussi de perdre la confiance de ses clients, partenaires, investisseurs et utilisateurs.

Une politique de confidentialité suffit-elle pour être conforme ?

Non. Une politique de confidentialité est importante, mais elle ne suffit pas.

La conformité implique aussi la cartographie des traitements, l’identification du régime applicable, la déclaration ou l’autorisation si nécessaire, la sécurisation des données, l’encadrement des sous-traitants, la gestion des droits des personnes et la documentation interne.

Une entreprise peut donc avoir une politique de confidentialité en ligne tout en restant juridiquement non conforme.

Une startup doit-elle se conformer aux règles sur les données personnelles ?

Oui. Une startup qui collecte les données de ses utilisateurs, clients, employés ou partenaires doit respecter les règles applicables.

Les startups sont particulièrement concernées lorsqu’elles exploitent une application mobile, une plateforme e-commerce, une fintech, un service de livraison, une solution d’identification, un outil de santé numérique ou une plateforme éducative.

La conformité doit être intégrée dès la conception du projet.

Une plateforme e-commerce est-elle concernée ?

Oui. Une plateforme e-commerce traite généralement plusieurs données personnelles : noms, numéros de téléphone, adresses, informations de paiement, historiques de commandes et données de livraison.

Elle doit donc vérifier si ses traitements sont soumis à déclaration, autorisation ou transfert international, notamment lorsqu’elle utilise des prestataires étrangers.

Une entreprise peut-elle traiter des données personnelles sans consentement ?

Oui, dans certains cas. Le consentement n’est pas toujours la seule base possible.

Un traitement peut aussi être fondé sur l’exécution d’un contrat, une obligation légale, l’intérêt légitime ou une autre base prévue par le droit applicable.

Toutefois, lorsque le consentement est requis, il doit être libre, clair, spécifique et documenté.

Que doivent faire les entreprises en urgence ?

Les entreprises doivent commencer par cartographier les données qu’elles collectent et utilisent.

Elles doivent ensuite identifier les finalités des traitements, vérifier les transferts vers l’étranger, distinguer déclaration, autorisation et dispense, préparer les documents de conformité, désigner un DPO si nécessaire et déposer les dossiers requis auprès de l’autorité compétente.

Pourquoi consulter un avocat ou un cabinet spécialisé en droit du numérique ?

Un avocat ou un cabinet spécialisé peut aider à qualifier juridiquement les traitements, identifier les formalités applicables, préparer les dossiers ARPTC, rédiger les politiques de confidentialité, encadrer les sous-traitants, sécuriser les transferts internationaux et limiter les risques de sanctions.

Dans un environnement réglementaire encore récent, l’accompagnement professionnel permet d’éviter les erreurs de qualification et les dossiers incomplets.

Zones desservies par Avocats.cd Nos avocats partenaires sont disponibles dans toutes les provinces de la RDC : 

Provinces : Bas-Uélé • Équateur • Haut-Katanga • Haut-Lomami • Haut-Uélé • Ituri • Kabinda • Kasaï • Kasaï-Central • Kasaï-Oriental • Kinshasa • Kongo-Central • Kwango • Kwilu • Lomami • Lualaba • Lulua • Maï-Ndombe • Maniema • Mongala • Nord-Kivu • Nord-Ubangi • Sankuru • Sud-Kivu • Sud-Ubangi • Tanganyika • Tshopo • Tshuapa

Villes : Bandundu • Baraka • Beni • Boende • Boma • Bukavu • Bumba • Bunia • Buta • Gandajika • Gbadolite • Gemena • Goma • Inongo • Isiro • Kabinda • Kalemie • Kamina • Kananga • Kikwit • Kindu • Kinshasa • Kipushi • Kisangani • Kolwezi • Likasi • Lodja • Lubumbashi • Lusambo • Matadi • Mbandaka • Mbanza-Ngungu • Mbuji-Mayi • Moanda • Mwene-Ditu • Tshikapa • Uvira • Zongo

✍️ Auteur : Timothée MALEMBE – Legal Content

 Sous la direction de : Junior LUYINDULA, CEO et Directeur de publication d’Avocats.cd