Le banquier-consultant Ange Ngandjo le formule avec une précision qui mérite attention. « Le rapprochement n’est pas qu’un hasard de calendrier. Protection des données, lutte contre le blanchiment des capitaux, transparence financière : ce sont les piliers d’un même enjeu, la confiance dans notre économie et la crédibilité de nos institutions. »
Ce regard croisé sur deux dossiers que les administrations camerounaises traitent encore trop souvent en silos résume l’essentiel d’une situation préoccupante. Avant l’adoption de la loi n° 2024/017 du 23 décembre 2024, le Cameroun figurait parmi les rares États africains ne disposant pas de législation dédiée à la protection des données à caractère personnel. Ce texte, inspiré du RGPD européen, s’applique à toutes les entreprises et organisations, qu’elles soient basées sur le territoire ou qu’elles traitent des données de citoyens camerounais depuis l’étranger.
La loi a accordé aux entreprises collectant, enregistrant, organisant, conservant ou transférant des données à caractère personnel un délai de mise en conformité de dix-huit mois, qui expire le 23 juin 2026. Mais le paradoxe central que soulèvent les juristes est celui-ci : l’autorité de protection des données à caractère personnel n’existe pas encore. Son absence soulève des questions sur l’application effective de la loi et sur les sanctions.
Ngandjo est sans janotisme sur ce risque. « Attendre la mise en place du régulateur pour s’y conformer, c’est prendre le risque de tout faire dans l’urgence le jour où il deviendra opérationnel. Les organisations crédibles seront celles qui ont anticipé. »
La loi prévoit pourtant la création d’une autorité de protection des données chargée de veiller à l’application du texte et de sanctionner les infractions. Les sanctions pénales prévues comprennent des peines d’emprisonnement allant de six mois à dix ans, et des amendes pouvant atteindre un milliard de francs CFA. Des amendes administratives pouvant atteindre plusieurs dizaines de millions de francs CFA, voire un pourcentage significatif du chiffre d’affaires annuel, sont prévues pour les manquements les plus graves.
Le secteur financier en première ligne
Le secteur de la finance et des fintechs figure en tête de liste des secteurs sous surveillance accrue, en raison de la nature sensible et de la volumétrie des données traitées quotidiennement. La collecte de données biométriques pour le KYC et la gestion des antécédents de crédit nécessitent désormais un consentement explicite et une sécurisation sans faille.
Pour les établissements bancaires, les assureurs, les établissements de microfinance (EMF), les PSP et les acteurs de la FinTech, le chantier est concret, cartographier les traitements de données, recueillir et documenter le consentement, sécuriser les systèmes, encadrer contractuellement les sous-traitants, désigner un délégué à la protection des données, et publier une politique de confidentialité. Soit six obligations de fond à remplir avant que le régulateur ne soit en mesure de les contrôler.
Le second signal d’alarme est celui du GAFI. Le Cameroun figure sur la liste grise depuis le 23 juin 2023, une catégorie regroupant les pays présentant des déficiences stratégiques dans leurs régimes de lutte contre le blanchiment et le financement du terrorisme, mais qui coopèrent activement avec le GAFI.
En octobre 2025, treize des vingt-quatre actions exigées par le GAFI n’étaient toujours pas mises en œuvre. Une sortie de la liste grise allégerait la pression sur le secteur bancaire, améliorerait l’accès aux financements internationaux et pourrait, à terme, réduire le coût de la dette souveraine. Le non-respect des engagements pris expose le Cameroun à être considéré comme un pays à haut risque et à être inscrit sur la liste noire du GAFI. Dans ce cas, les banques étrangères pourraient suspendre toute transaction avec leurs correspondants camerounais.
Sur le plan économique, l’inscription persistante sur la liste GAFI peut entraîner un désengagement des investisseurs étrangers, une hausse du coût de financement de la dette publique, une perte de confiance des marchés et des agences de notation.
La simultanéité des deux échéances offre une lecture que les dirigeants d’entreprises financières auraient tort d’ignorer. La protection des données n’est pas un impératif informatique : c’est une composante du dispositif de lutte contre le blanchiment, dans la mesure où elle encadre la traçabilité, la conservation et la transmission des informations clients, autant d’éléments au cœur des exigences KYC/AML.
Pour se conformer avant la fin de la période de transition, les responsables du traitement des données et les sous-traitants doivent notamment obtenir l’autorisation préalable de l’Autorité avant tout traitement, et documenter les activités de traitement dans le cadre de la préparation de la demande.
Le message du banquier Ngandjo est celui d’un praticien qui mesure l’écart entre le texte de loi et la réalité des organisations. « L’obligation légale existe déjà. Attendre la mise en place du régulateur pour s’y conformer, c’est prendre le risque de tout faire dans l’urgence. » Et dans un environnement où le Cameroun cherche à prouver sa fiabilité aux marchés internationaux, l’urgence n’est plus une option de gestion. C’est un risque systémique.
