Protection des données au Cap-Vert : ce que dit la loi

Le Cap-Vert dispose d’un régime juridique général de protection des données personnelles depuis 2001. Ce régime a depuis été modifié deux fois et est aligné sur la Convention 108 du Conseil de l’Europe, dont le pays est Partie depuis le 1er octobre 2018. Ce guide explique, de manière générale, quelles lois s’appliquent, qui contrôle leur respect et quels droits ont les personnes concernées.

Les lois applicables

Le régime juridique général de protection des données personnelles des personnes physiques a été établi par la Loi n.º 133/V/2001, du 22 janvier (Bulletin officiel n.º 2, I Série, du 22 janvier 2001), et a été modifié par la Loi n.º 41/VIII/2013, du 17 septembre, et par la Loi n.º 121/IX/2021, du 17 mars (deuxième modification).

Le préambule de la Loi n.º 121/IX/2021 identifie la source directe du régime : la loi portugaise de protection des données de 1998 (Loi n.º 67/98), qui a transposé la Directive européenne 95/46/CE de cette époque. Autrement dit, le modèle cap-verdien a suivi le standard européen de protection des données du début des années 2000, et non le RGPD de l’Union européenne, qui date de 2016. La modification de 2021 a rapproché le régime de la Convention 108+ moderne du Conseil de l’Europe.

La protection des données personnelles a une racine constitutionnelle au Cap-Vert : la Loi n.º 133/V/2001 se fonde sur l’article 44 de la Constitution de 1992, qui garantit à chacun l’accès aux données informatisées le concernant et le droit de les rectifier et de connaître la finalité de leur traitement.

Champ d’application

Le régime s’applique au traitement de données personnelles effectué totalement ou partiellement par des moyens automatisés, ainsi qu’aux fichiers manuels, et inclut expressément la vidéoprotection. Il atteint également les responsables du traitement établis hors du territoire national lorsqu’ils recourent à des moyens situés au Cap-Vert ; la modification de 2021 a étendu cette dimension aux responsables établis à l’étranger qui traitent des données de personnes se trouvant au Cap-Vert.

Les concepts actualisés par la Loi n.º 121/IX/2021

La deuxième modification a introduit ou clarifié des concepts que le régime de 2001 ne connaissait pas, notamment :

• la pseudonymisation des données ;
• les données biométriques et les données relatives à la santé ;
• le concept de violation de données personnelles ;
• la définition de profils (profilage), avec l’interdiction des profils conduisant à une discrimination et de la soumission à des décisions significatives prises uniquement sur la base de profils.

La même loi a clarifié les conditions de validité du consentement, en fixant à 16 ans l’âge minimal pour un consentement valable de la personne concernée, avec l’intervention des représentants légaux à défaut.

Les droits des personnes concernées

Le noyau des droits de la personne concernée a une racine constitutionnelle et légale : connaître les données la concernant et la finalité du traitement, accéder aux données et exiger leur rectification. La modification de 2021 a renforcé ces droits avec les protections contre la discrimination par profilage mentionnées ci-dessus. Les canaux pour exercer ces droits, les formulaires et les orientations de l’autorité sont disponibles sur le site de la CNPD.

Note importante : des droits typiques de régimes plus récents, comme la portabilité des données entre prestataires, ne font pas partie du régime cap-verdien vérifié ; ce guide n’affirme pas plus que ce que la loi prévoit.

La Commission nationale de protection des données (CNPD)

L’autorité cap-verdienne de protection des données est la Comissão Nacional de Protecção de Dados (CNPD), entité administrative indépendante qui fonctionne auprès de l’Assemblée nationale, avec siège dans la ville de Praia, selon les termes du Statut approuvé par la Loi n.º 42/VIII/2013, du 17 septembre (site officiel de la CNPD).

Parmi les pouvoirs de la CNPD :

• contrôler et surveiller le respect des dispositions légales et réglementaires en matière de protection des données personnelles ;
• des pouvoirs d’investigation et d’enquête ;
• des pouvoirs d’autorité, notamment ordonner le blocage, l’effacement ou la destruction de données et interdire, à titre temporaire ou définitif, des traitements, y compris sur des réseaux ouverts à partir de serveurs situés sur le territoire cap-verdien ;
• émettre des avis préalables et, en cas de manquement réitéré, avertir ou censurer publiquement le responsable.

La Loi n.º 120/IX/2021, du 17 mars, a renforcé l’autorité : la CNPD a acquis la personnalité juridique de droit public, des pouvoirs d’autorité et l’autonomie administrative et financière, et peut appliquer des amendes et des sanctions accessoires, émettre des directives générales et promouvoir la sensibilisation ; elle est composée de trois personnalités, dont le président, élues par l’Assemblée nationale à la majorité des deux tiers.

Les obligations générales des responsables du traitement

Le régime impose, entre autres, les obligations suivantes à quiconque traite des données personnelles : traiter les données licitement, sur la base du consentement de la personne concernée ou d’autres bases légales ; garantir la qualité des données (exactitude et mise à jour si nécessaire) ; ne collecter que les données nécessaires aux finalités déclarées ; et assurer la sécurité des traitements. La Loi n.º 121/IX/2021 a ajouté le devoir de sécurité approprié aux traitements impliquant des données biométriques ou de santé et la gestion des violations de données personnelles.

Bonnes pratiques pour les citoyens

• Exercer directement les droits d’accès et de rectification auprès du responsable du traitement et, si nécessaire, auprès de la CNPD ;
• lire les politiques de confidentialité des services utilisés : elles doivent identifier les finalités et la base légale du traitement ;
• le site sur lequel vous lisez ce guide publie sa politique de confidentialité, avec le cadre concret des traitements qu’il réalise.

Note sur cette page

Ce guide a un caractère informatif et ne constitue pas un conseil juridique. Le texte a été vérifié le 8 octobre 2026 auprès du texte légal publié au Bulletin officiel électronique et auprès du site de la CNPD. Le Cap-Vert a signé la Convention de l’Union africaine sur la cybersécurité et la protection des données (Malabo) ; l’acte de ratification n’a pas été localisé au Bulletin officiel à la date de la dernière vérification, c’est pourquoi ce guide n’affirme pas sa vigueur interne. Pour un cas concret, consultez un avocat inscrit à l’Ordre des avocats du Cap-Vert.