Protection des données personnelles : la Tunisie se prépare à sa réforme GDPR

Pendant plus de vingt ans, la protection des données en Tunisie a reposé sur la loi organique n° 2004-63. Un texte pionnier pour l'époque — la Tunisie fut le premier pays arabe à se doter d'une telle législation — mais devenu structurellement insuffisant face à l'économie numérique de 2026.

Le projet de loi examiné cette année marque une rupture : il transpose l'essentiel des principes du Règlement général sur la protection des données européen, avec un effet immédiat sur toutes les entreprises qui collectent ou traitent des données en Tunisie.

Pourquoi la loi de 2004 ne suffit plus

L'INPDP (Instance Nationale de Protection des Données Personnelles) l'a reconnu elle-même dans son rapport 2025 : le cadre actuel souffre de trois faiblesses majeures.

• Sanctions dérisoires : les amendes plafonnent à des niveaux sans effet dissuasif pour les grandes plateformes.
• Pouvoirs d'enquête limités : difficultés à contrôler les opérateurs étrangers qui ciblent le marché tunisien.
• Absence de régime pour les transferts internationaux de données, sujet pourtant central pour les filiales de groupes européens.

Résultat : une adéquation RGPD de fait pour les entreprises exportatrices, mais un vide juridique pour le marché intérieur.

Les grands apports du projet 2026

1. Consentement renforcé et droits des personnes

Le nouveau texte impose un consentement libre, spécifique, éclairé et univoque. Les cases pré-cochées, les conditions générales non lues et les consentements groupés deviennent invalides.

Les droits des personnes sont considérablement élargis :

• Droit d'accès dans un délai maximum d'un mois.
• Droit à la portabilité des données vers un autre prestataire.
• Droit à l'effacement (« droit à l'oubli »), sous réserve des obligations de conservation légales.
• Droit de s'opposer au profilage automatisé.

2. Obligations renforcées pour les entreprises

Les responsables de traitement devront désigner un Délégué à la Protection des Données (DPO) dès lors qu'ils traitent des données à grande échelle ou des données sensibles. La tenue d'un registre des traitements devient obligatoire.

Les entreprises devront également mener une analyse d'impact (DPIA) avant tout traitement à risque élevé et notifier toute violation de données à l'INPDP sous 72 heures.

3. Sanctions dissuasives

C'est peut-être le changement le plus marquant. Les amendes administratives pourraient atteindre un pourcentage du chiffre d'affaires mondial — inspiration directe du RGPD européen. Les sanctions pénales pour les violations intentionnelles sont également alourdies.

L'INPDP voit ses pouvoirs d'enquête, de contrôle sur place et de sanction considérablement renforcés, avec une autonomie budgétaire réaffirmée.

4. Transferts internationaux : un cadre enfin clair

Le texte pose un cadre structuré pour les transferts de données hors de Tunisie :

• Pays reconnus comme offrant un niveau de protection adéquat.
• Clauses contractuelles types publiées par l'INPDP.
• Règles d'entreprise contraignantes pour les groupes internationaux.

Qui est concerné ?

Contrairement à une idée reçue, la loi ne vise pas uniquement les grandes entreprises technologiques. Sont concernés :

• Tous les e-commerçants, qu'ils soient basés en Tunisie ou qu'ils ciblent des résidents tunisiens.
• Les établissements financiers, assurances, mutuelles.
• Les cliniques, cabinets médicaux et laboratoires (données de santé = données sensibles).
• Les cabinets de recrutement et services RH externalisés.
• Les écoles, universités et organismes de formation.
• Les collectivités et administrations.

En pratique, toute structure qui tient un fichier clients, prospects ou patients est concernée.

L'impact concret pour les entreprises tunisiennes

Si le texte est adopté dans sa version actuelle, les entreprises devront engager dans les 12 mois :

• Une cartographie des traitements de données effectués.
• Une mise à jour des politiques de confidentialité sur les sites et applications.
• La révision des contrats avec les prestataires (sous-traitants, hébergeurs, outils SaaS).
• La désignation d'un DPO interne ou externe, selon la taille et le secteur.
• Des actions de formation du personnel, notamment commercial et RH.

Note de notre cabinet : Beaucoup d'entreprises tunisiennes pensent être conformes parce qu'elles ont copié une politique de confidentialité trouvée en ligne. Ce n'est pas une conformité. La nouvelle loi exigera une documentation réelle des traitements, des bases légales et des mesures de sécurité. Anticiper dès 2026 évite le stress d'un contrôle ou d'une plainte en 2027.

Notre cabinet accompagne les entreprises tunisiennes et les filiales de groupes étrangers dans leur mise en conformité : cartographie des traitements, rédaction de politiques de confidentialité, contrats de sous-traitance, réponses aux demandes d'exercice de droits et relations avec l'INPDP.