La protection des données personnelles : la loi n° 058/2021 et sa portée à l’étranger, l’enregistrement auprès de l’Autorité nationale de cybersécurité dans les 30 jours ouvrables, le représentant et le délégué à la protection des données, les bases licites et les droits des personnes concernées, la notification des violations dans les 48 heures et le rapport dans les 72 heures, les transferts à l’étranger, la règle de conservation des données au Rwanda, et les amendes de 1 % et 5 % du chiffre d’affaires

La loi et les personnes qu’elle vise

La loi rwandaise sur la protection des données est la loi n° 058/2021 du 13/10/2021 relative à la protection des données à caractère personnel et de la vie privée (la loi sur la protection des données), publiée au Journal officiel n° spécial du 15/10/2021 et en vigueur dès sa publication (article 70). L’article 67 a accordé aux responsables du traitement et aux sous-traitants déjà en activité deux ans à compter de la publication pour se mettre en conformité : la période transitoire a donc pris fin en octobre 2023 et la loi est pleinement applicable depuis. Elle s’inspire de l’approche européenne, avec des exigences d’enregistrement et une règle de conservation qui vont plus loin. Aucune modification n’avait été publiée au 10 octobre 2026 (FAQ 81).

La loi s’applique au traitement de données personnelles par des moyens électroniques ou autres, par un responsable du traitement (la personne qui détermine les finalités et les moyens du traitement) ou un sous-traitant (la personne qui traite les données pour le compte du responsable du traitement) établi ou résidant au Rwanda, et aussi par un responsable du traitement ou un sous-traitant qui n’est ni établi ni résident au Rwanda mais traite des données personnelles de personnes concernées se trouvant au Rwanda (article 2). Une plateforme, un éditeur de logiciels ou un centre de services de groupe étranger qui traite des données de personnes se trouvant au Rwanda entre donc dans son champ d’application même sans entité rwandaise. Les données personnelles sensibles comprennent les informations révélant l’origine raciale, l’état de santé, les antécédents judiciaires, les dossiers médicaux, l’origine sociale, les convictions religieuses ou philosophiques, les opinions politiques, les informations génétiques ou biométriques, la vie sexuelle et la situation familiale (article 3), et leur traitement n’est autorisé que pour les motifs plus restreints de l’article 10.

L’autorité de contrôle est l’Autorité nationale de cybersécurité (NCSA), créée par la loi n° 26/2017 du 31/05/2017 et placée sous l’autorité de la Présidence de la République, qui agit par l’intermédiaire de son bureau de la protection des données et de la vie privée (dpo.gov.rw). Ses missions comprennent la tenue du registre des responsables du traitement et des sous-traitants, l’instruction des plaintes, les décisions sur les recours des personnes concernées et le prononcé des sanctions administratives (articles 27 et 28). Pour la semaine de la protection des données de janvier 2026, la presse a rapporté que le thème de la NCSA était « La conformité va au-delà de l’enregistrement », signe d’un passage du décompte des enregistrements au contrôle de la manière dont les entreprises traitent les données ; aucune amende administrative ni poursuite publiée n’avait été trouvée au 10 octobre 2026.

S’enregistrer auprès de la NCSA

L’article 29 impose à toute personne qui entend être responsable du traitement ou sous-traitant de s’enregistrer auprès de l’autorité de contrôle. La demande indique l’identité du demandeur et son point de contact unique, son représentant, les données personnelles et les catégories de personnes concernées, les finalités, les destinataires, les pays vers lesquels les données seront transférées directement ou indirectement, ainsi que les risques et les garanties (article 30). La NCSA délivre le certificat dans les 30 jours ouvrables de la réception d’une demande complète (article 31). Ensuite, toute modification des éléments sur la base desquels le certificat a été délivré est notifiée dans les 15 jours ouvrables (article 32), le renouvellement est demandé 45 jours ouvrables avant l’expiration et il y est répondu dans les 30 jours ouvrables (article 33), et la NCSA peut modifier le certificat ou l’annuler pour fausse déclaration ou non-conformité après un préavis de 15 jours ouvrables (articles 34 et 35).

Le guide d’enregistrement de la NCSA précise la pratique. Il existe des formulaires distincts pour les responsables du traitement et pour les sous-traitants, et une société qui a les deux qualités, par exemple un prestataire de services qui est responsable du traitement des données de son personnel et sous-traitant des données de ses clients, dépose les deux et obtient deux certificats. Le formulaire est accompagné d’une lettre adressée au directeur général de la NCSA, du certificat d’immatriculation, de toute licence sectorielle (par exemple de la Rwanda Utilities Regulatory Authority (RURA)), du contrat avec le représentant pour un demandeur étranger, et de pièces justificatives comme les contrats de sous-traitance et la politique de confidentialité. Les documents sont envoyés en fichiers PDF par courriel à registration@dpo.gov.rw et dpp@ncsa.gov.rw. Il n’y a aucune redevance d’enregistrement. Une demande incomplète ou rejetée fait l’objet d’une notification de refus motivée dans les sept jours ouvrables, et une nouvelle demande peut être déposée une fois les défauts corrigés.

Deux points demandent de l’attention. Premièrement, la durée de validité du certificat doit être fixée par un règlement de la NCSA (article 31), qui n’avait pas été trouvé au 10 octobre 2026 ; le guide indique qu’un certificat reste valable jusqu’à la date d’expiration qui y figure : c’est donc la date du certificat qui commande le calendrier du renouvellement. Deuxièmement, la demande est le moment d’obtenir l’autorisation de conservation hors du Rwanda et de déclarer les pays de transfert : un investisseur qui prévoit d’héberger des données à l’étranger devrait donc l’indiquer dans la demande plutôt que de solliciter l’autorisation plus tard.

Le représentant et le délégué à la protection des données

Un responsable du traitement ou un sous-traitant qui n’est ni établi ni résident au Rwanda mais traite des données personnelles de personnes concernées se trouvant au Rwanda doit désigner par écrit un représentant au Rwanda pour remplir ses obligations au titre de la loi (article 39). Le contrat avec le représentant est joint à la demande d’enregistrement, et un règlement de la NCSA sur la désignation est prévu mais n’avait pas été trouvé. En pratique, le représentant est un cabinet juridique, un cabinet de conformité ou une société du groupe au Rwanda, et il devrait être habilité à recevoir la correspondance de la NCSA et à coordonner les notifications de violation dans le délai de 48 heures.

Un délégué à la protection des données (DPD) doit être désigné lorsque le traitement est effectué par une personne morale ou une entité juridique publique ou privée, à l’exception des juridictions ; lorsque les activités de base consistent en un suivi régulier et systématique à grande échelle des personnes concernées ; ou lorsqu’elles consistent en un traitement à grande échelle de données sensibles ou de données relatives aux condamnations pénales (article 40). Le premier cas couvrant toute personne morale ou entité juridique, toute société qui traite des données personnelles, y compris celles de ses propres salariés, a en pratique besoin d’un DPD. Un groupe peut désigner un DPD unique s’il est facilement joignable depuis chaque établissement, et le DPD peut être un salarié ou un prestataire externe lié par un contrat de services. Le délégué doit posséder des qualités professionnelles et des connaissances spécialisées en protection des données, et le responsable du traitement doit publier ses coordonnées et les communiquer à la NCSA. Le DPD informe et conseille l’entreprise, contrôle la conformité, donne son avis sur les analyses d’impact et est le point de contact de la NCSA (article 41). L’absence de désignation d’un DPD est un manquement administratif en vertu de l’article 53.

Traitement licite, information et droits des personnes concernées

Le traitement n’est licite que sur l’un des fondements de l’article 46 : le consentement pour des finalités expliquées à la personne concernée ; l’exécution d’un contrat avec la personne concernée ou des mesures précontractuelles prises à sa demande ; une obligation légale ; les intérêts vitaux ; une mission d’intérêt public ou relevant de l’autorité publique ; les missions d’une entité publique ; des intérêts légitimes sur lesquels les droits de la personne concernée ne prévalent pas ; ou une recherche autorisée par l’institution compétente. Le consentement doit être éclairé et pouvoir être prouvé, et un enfant de moins de 16 ans est représenté par une personne exerçant l’autorité parentale (articles 9 et 26). Le traitement doit aussi respecter les principes de licéité, de loyauté, de transparence, de limitation des finalités, de pertinence, d’exactitude et de limitation de la conservation (article 37). Lors de la collecte, le responsable du traitement indique à la personne concernée son identité, les finalités, les destinataires, le caractère facultatif ou non de la fourniture des données, le droit de retirer son consentement, les droits d’accès et de rectification, toute prise de décision automatisée, la durée de conservation, le droit de saisir la NCSA et, le cas échéant, le fait que les données peuvent être transférées hors du Rwanda (article 42).

Les personnes concernées ont le droit d’accéder à leurs données et à des informations sur leur traitement, leur source et tout transfert à l’étranger (article 18), de s’opposer, y compris à tout moment à la prospection et au profilage qui y est lié (article 19), à la portabilité (article 20), de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou significatifs, sauf si elle repose sur un consentement explicite, un contrat ou la loi assortis de garanties (article 21), à la limitation (article 22), à l’effacement (article 23), à la rectification (article 24), de désigner par testament un héritier de leurs données personnelles (article 25) et à la représentation (article 26). Pour l’opposition, la portabilité, l’effacement et la rectification, le responsable du traitement doit répondre par écrit ou par voie électronique dans les 30 jours de la demande ; une personne concernée insatisfaite peut saisir la NCSA dans les 30 jours de la réponse, et la NCSA répond dans les 60 jours (articles 18 à 24). Une entreprise qui sert des consommateurs devrait disposer d’une procédure écrite, d’un canal unique de réception et d’un registre des demandes et des réponses.

Responsabilité : registres, journaux, analyses d’impact et sécurité

La loi exige des preuves de conformité, et non seulement de bonnes pratiques. Le responsable du traitement et le sous-traitant tiennent un registre des opérations de traitement (articles 17 et 38) et journalisent la collecte, la modification, la consultation, la communication et l’effacement des données personnelles (article 16) ; ne pas tenir de registre ou de journaux est un manquement administratif en vertu de l’article 53. Un sous-traitant agit en vertu d’un contrat écrit avec le responsable du traitement (article 4). Une analyse d’impact relative à la protection des données est requise lorsque le traitement est susceptible d’engendrer un risque élevé, et notamment pour l’évaluation systématique et approfondie d’aspects personnels fondée sur un traitement automatisé, y compris le profilage, sur la base de laquelle des décisions sont prises ; le traitement à grande échelle de données sensibles ; la surveillance systématique à grande échelle d’une zone accessible au public ; les traitements que la NCSA désigne comme à haut risque ; et les nouvelles technologies utilisées pour traiter des données personnelles (article 38).

La sécurité est une obligation de résultat gérée par un processus : le responsable du traitement ou le sous-traitant identifie les risques prévisibles, met en place des garanties, les vérifie régulièrement et les met à jour face aux nouveaux risques (article 47), et la NCSA peut inspecter et évaluer ces mesures lorsqu’elle estime qu’un traitement ou un transfert peut porter atteinte à la vie privée. Les données personnelles ne sont conservées que jusqu’à ce que les finalités du traitement soient atteintes, sauf si un motif énuméré, comme une exigence légale, un contrat, un litige ou le consentement de la personne concernée, justifie une conservation plus longue, et elles doivent ensuite être détruites d’une manière qui empêche leur reconstitution sous une forme intelligible (article 52). Les normes de cybersécurité et les obligations en cas d’incident qui accompagnent ces règles sont traitées dans Cybersécurité et informations critiques.

Les violations de données personnelles : 48 heures et 72 heures

Le calendrier rwandais des violations est court. Le responsable du traitement doit communiquer une violation de données personnelles à la NCSA dans les 48 heures après avoir pris connaissance de l’incident, et un sous-traitant qui prend connaissance d’une violation doit en informer le responsable du traitement dans les 48 heures (article 43). Le responsable du traitement remet ensuite un rapport dans les 72 heures avec les faits disponibles, décrivant la nature de la violation et, si possible, les catégories et le nombre approximatif de personnes concernées et d’enregistrements, les coordonnées du DPD, les mesures prises pour y remédier et en atténuer les effets, ses conséquences et les mesures correctives, ainsi que la proposition et le calendrier du responsable du traitement pour communiquer la violation aux personnes concernées, pour approbation par la NCSA (article 44). Lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées, le responsable du traitement la leur communique par écrit ou par voie électronique, sauf si une protection efficace comme le chiffrement, des mesures ultérieures ou une communication publique tout aussi efficace rend cette communication inutile, et la NCSA peut l’exiger (article 45).

Le défaut de notification, de rapport ou de communication d’une violation constitue chacun un manquement administratif en vertu de l’article 53. Le portail de la NCSA offre un canal de signalement des violations, et une violation qui est aussi un incident informatique peut devoir être signalée à l’équipe rwandaise de réponse aux incidents de sécurité informatique (Rw-CSIRT) de la NCSA et, pour un établissement financier, à la Banque nationale du Rwanda (BNR) dans les deux heures en vertu du règlement de la BNR sur la cybersécurité. Les groupes dotés d’une politique mondiale de gestion des incidents fondée sur la règle européenne des 72 heures devraient ramener l’horloge rwandaise à 48 heures pour la première notification et exiger de leurs sous-traitants un signalement dans le même délai.

Les transferts à l’étranger et la règle de conservation des données au Rwanda

La loi traite séparément le transfert et la conservation, et la différence compte pour l’hébergement en nuage. En vertu de l’article 48, un responsable du traitement ou un sous-traitant peut communiquer ou transférer des données personnelles à un tiers hors du Rwanda s’il a obtenu l’autorisation de la NCSA après avoir apporté la preuve de garanties appropriées ; si la personne concernée y a consenti ; ou si le transfert est nécessaire à un contrat conclu avec la personne concernée ou dans son intérêt, pour des motifs d’intérêt public, pour des actions en justice, pour protéger des intérêts vitaux, pour des intérêts légitimes impérieux lorsque le transfert n’est pas répétitif et concerne un nombre limité de personnes concernées avec des garanties appropriées, ou pour l’exécution d’instruments internationaux ratifiés par le Rwanda. Chaque transfert requiert un contrat écrit précisant les rôles et responsabilités des parties, dont la NCSA peut prescrire la forme, et la NCSA peut interdire ou suspendre des transferts pour protéger les personnes concernées (article 49). Le portail de la NCSA propose des clauses contractuelles types et des demandes d’autorisation de transfert.

L’article 50 est plus strict : « Le responsable du traitement ou le sous-traitant conserve les données personnelles au Rwanda », et la conservation hors du Rwanda n’est permise que si le responsable du traitement ou le sous-traitant détient un certificat d’enregistrement valable qui l’autorise, délivré par la NCSA. Une entreprise qui recourt à un fournisseur de cloud étranger, à un centre de données du groupe ou à une plateforme logicielle en ligne hébergée à l’étranger conserve des données à l’étranger et a besoin de cette autorisation sur son certificat ; le consentement ou la nécessité contractuelle de l’article 48 couvrent le transfert, non la conservation. En pratique, les formulaires de la NCSA demandent si les données sont conservées hors du Rwanda, et l’autorisation est sollicitée lors de l’enregistrement ou par une modification du certificat. Lorsqu’une entreprise se transforme ou cesse son activité, la migration et la gestion de ses données personnelles suivront un règlement de la NCSA qui reste à adopter (article 51). Les établissements financiers sont soumis à une couche supplémentaire : le règlement de la BNR sur l’externalisation ne permet l’externalisation à l’étranger que si l’accès de la BNR n’est pas entravé, comme l’expose Cybersécurité et informations critiques.

Mettre en place un programme conforme de protection des données au Rwanda, étape par étape

1. Cartographier les donnéesRecensez les données personnelles, les personnes concernées, les finalités, les fondements licites de l’article 46, les destinataires, les sous-traitants, les pays de transfert et les lieux de conservation ; cette cartographie devient le registre de l’article 17 et le formulaire d’enregistrement.
2. Désigner les personnesDésignez un DPD en vertu de l’article 40 et, pour un responsable du traitement ou un sous-traitant étranger, un représentant au Rwanda désigné par écrit en vertu de l’article 39 ; publiez les coordonnées du DPD.
3. S’enregistrer auprès de la NCSADéposez par courriel le formulaire de responsable du traitement et, le cas échéant, celui de sous-traitant, avec les pièces justificatives ; demandez l’autorisation de conserver des données hors du Rwanda si une partie de l’hébergement est à l’étranger. Aucune redevance ; certificat dans les 30 jours ouvrables.
4. Formaliser les relationsSignez des contrats de sous-traitance (article 4) et des contrats de transfert pour chaque flux transfrontalier (article 49), en utilisant les clauses types de la NCSA lorsqu’elles conviennent.
5. Publier l’information et les procédures relatives aux droitsPubliez des politiques de confidentialité comportant les mentions de l’article 42 et mettez en place une procédure pour répondre dans les 30 jours aux demandes d’accès, d’opposition, de portabilité, d’effacement et de rectification.
6. Évaluer et sécuriserRéalisez des analyses d’impact pour les traitements à haut risque et les nouvelles technologies (article 38), mettez en œuvre et testez les mesures de sécurité (article 47) et tenez des journaux (article 16).
7. Se préparer aux violationsAdoptez un plan de gestion des incidents qui prévoit la notification à la NCSA dans les 48 heures et le rapport dans les 72 heures, les sous-traitants étant tenus de signaler dans les 48 heures.
8. Tenir le certificat à jourNotifiez les modifications dans les 15 jours ouvrables, inscrivez à l’agenda le renouvellement 45 jours ouvrables avant la date d’expiration figurant sur le certificat et réexaminez chaque année la conservation et la destruction.