Loi 18-07 & KYC en Algérie — souveraineté des données
La Loi 18-07 du 10 juin 2018 encadre le traitement des données personnelles en Algérie. Pour un KYC bancaire, télécom ou public, elle rend obligatoire l'hébergement local et le contrôle exclusif par le responsable de traitement — deux exigences qu'un SaaS étranger comme Jumio, Onfido ou Sumsub ne peut pas satisfaire.
01
Cadre légal & autorité de contrôle
La Loi n° 18-07 relative à la protection des personnes physiques dans le traitement des données à caractère personnel a été promulguée le 10 juin 2018. Elle constitue le socle du droit algérien de la donnée personnelle et s'inspire du RGPD européen, tout en imposant une exigence supplémentaire fondamentale : la résidence domestique des données sensibles.
Toute organisation — banque, fintech, opérateur télécom, assureur, administration publique — qui collecte, traite ou stocke des données personnelles en Algérie est soumise à la Loi 18-07. Le KYC est un traitement à haut risque : il combine des données d'identité, biométriques et parfois de santé. Les exigences y sont donc particulièrement strictes.
Autorité de contrôle
L'Autorité nationale de protection des données à caractère personnel (ANPDP) est l'organe de contrôle prévu par la loi. Elle est habilitée à sanctionner les violations, y compris par le retrait d'agrément pour les entités régulées.
02
Obligations pour un traitement KYC
Cinq obligations principales pèsent sur le responsable de traitement, notamment lorsqu'il exploite un dispositif de KYC.
1. Consentement éclairé
Le client doit être informé de la finalité, du destinataire et de la durée de conservation avant toute capture d'identité ou biométrique.
2. Localisation des données
Les données personnelles doivent être hébergées sur le territoire algérien, sauf autorisation exceptionnelle et motivée de l'ANPDP.
3. Interdiction de transfert
Aucun transfert vers un pays tiers n'est autorisé sans garanties strictes et notification préalable — ce qui exclut de fait les SaaS KYC hébergés à l'étranger.
4. Sécurité renforcée
Chiffrement, contrôle d'accès, journalisation d'audit, notification d'incident : l'ensemble des mesures techniques et organisationnelles sont obligatoires.
5. Registre des traitements
Le responsable doit tenir un registre exhaustif — types de données, finalités, durées, destinataires — présentable à tout moment à l'ANPDP.
6. Sanctions
Amendes financières, retrait d'agrément pour les banques et PSP, sanctions pénales pour les responsables : la Loi 18-07 dispose de moyens réels.
03
Pourquoi un SaaS étranger ne peut pas se conformer
Un fournisseur SaaS étranger — Jumio, Onfido, Sumsub, Veriff — traite les données de vérification sur ses propres serveurs (Amérique du Nord, Europe ou Asie). Aucun engagement contractuel ne peut modifier cette réalité technique. Or la Loi 18-07 exige que les données soient sous le contrôle du responsable de traitement, sur son infrastructure ou celle d'un prestataire local agréé.
| Exigence Loi 18-07 | SaaS étranger (Jumio, Onfido, Sumsub…) | Assurique on-premise |
|---|---|---|
| Hébergement local | Non — serveurs hors Algérie | Oui |
| Contrôle exclusif du responsable | Non — le prestataire est co-processeur | Oui |
| Interdiction de transfert | Violation par conception | Aucun transfert |
| Registre des traitements simple | Complexe — sous-traitants multiples | Simple |
| DPA/PIA requis | Oui, à jour à chaque migration | Non — pas de sous-traitance |
Les banques algériennes (BEA, BNA, SGA, AGB, BNP El Djazaïr, Al Salam, Al Baraka, CPA, CNEP-Banque), les opérateurs télécoms (Mobilis, Djezzy, Ooredoo) et les assureurs (SAA, CAAT, CIAR, AXA Algérie, TALA) qui ont évalué un SaaS étranger sont tous confrontés à la même conclusion : l'architecture même du produit rend la conformité impossible.
04
Comment Assurique satisfait la Loi 18-07
La plateforme KYC Assurique a été conçue dès l'origine pour la Loi 18-07. L'architecture on-premise n'est pas une option de configuration : c'est une propriété du produit.
05
Textes réglementaires liés
La Loi 18-07 s'articule avec plusieurs autres textes qui touchent le KYC en Algérie.
- Instruction 04-2026 de la Banque d'Algérie — procédure KYC unifiée pour les banques.
- Instruction 06-2025 — KYC pour les prestataires de services de paiement (BaridiMob, CIB, SATIM, YassirPay, Chargily).
- Loi 05-01 LCB-FT — obligations de vigilance, screening PPE et sanctions.
- Règlement 24-64 — hébergement domestique des systèmes bancaires numériques.
- Loi 20-05 relative à la prévention et à la lutte contre la discrimination et le discours de haine — cadre général sur les données sensibles.
Un audit Loi 18-07 gratuit de votre projet KYC
30 minutes avec notre équipe conformité pour cartographier vos données personnelles, identifier les risques Loi 18-07 et valider le périmètre technique.