Données personnelles : ce que votre site web doit respecter en Tunisie et avec le RGPD

Protection des données personnelles en Tunisie : tout site ou application qui collecte des noms, des e-mails ou des données de navigation doit respecter la loi organique n° 2004-63, sous le contrôle de l’INPDP. Si vous ciblez des personnes dans l’Union européenne ou suivez leur comportement en ligne, le RGPD s’applique aussi. Concrètement : formalités, formulaires sobres, bandeau cookies honnête et sécurité solide.

Quelles règles s’appliquent à un site web en Tunisie ?

La loi organique n° 2004-63 du 27 juillet 2004 protège toute information permettant d’identifier une personne. L’Instance nationale de protection des données à caractère personnel (INPDP) reçoit les déclarations, délivre les autorisations et peut interdire un traitement.

La Tunisie est partie à la Convention 108 du Conseil de l’Europe depuis le 1er novembre 2017 et a signé en 2019 sa version modernisée, la « Convention 108+ ». Un projet de loi destiné à remplacer celle de 2004 est examiné en commission parlementaire ; à notre connaissance, il n’est pas encore adopté. Cet article est une information générale, pas un conseil juridique.

Quand le RGPD s’applique-t-il à une entreprise tunisienne ?

Selon l’article 3, paragraphe 2, du RGPD, le règlement vise aussi les entreprises établies hors de l’Union dans deux cas :

• Offre de biens ou de services : l’accessibilité du site ne suffit pas, mais des prix en euros, une livraison dans l’Union ou des campagnes visant un pays européen sont des indices.
• Suivi du comportement : publicité comportementale, traçage par cookies ou profilage de visiteurs dans l’Union.

L’entreprise doit alors désigner un représentant dans l’Union (article 27), sauf traitement occasionnel, peu risqué et sans données sensibles à grande échelle. Sous-traitant d’un client européen ? Celui-ci vous fera signer un contrat (article 28) et encadrera le transfert, généralement par des clauses contractuelles types : la Tunisie n’a pas de décision d’adéquation.

Loi tunisienne et RGPD : quelles différences ?

Si les deux textes s’appliquent, suivez la règle la plus exigeante.

Obligation	Loi 2004-63	RGPD
Formalités	Déclaration à l’INPDP (art. 7) ; autorisation pour certaines données sensibles, la vidéosurveillance, les transferts	Pas de déclaration ; registre des traitements selon les cas
Base légale	Consentement exprès et écrit, sauf exceptions (art. 27 et 29)	Six bases, dont le contrat et l’intérêt légitime (art. 6)
Droits	Accès, rectification, opposition (art. 32 et 42)	Accès, rectification, effacement, portabilité, opposition (art. 15 à 22)
Violation de données	Pas de notification prévue ; obligation de sécurité (art. 18 et 19)	Notification à l’autorité si possible sous 72 heures, en cas de risque (art. 33)
Transferts	Autorisation de l’INPDP (art. 52)	Adéquation ou garanties, comme les clauses types (art. 46)
Sanctions	Pénales, par exemple un an d’emprisonnement et 5 000 dinars d’amende sans déclaration (art. 90)	Jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial, le plus élevé des deux (art. 83)

Quelles données votre site collecte-t-il vraiment ?

Listez chaque point de collecte (formulaires, newsletter, mesure d’audience, CRM, chat, espace client) avec sa finalité, sa base légale et sa durée de conservation, puis supprimez les champs superflus. Pour la prospection, la loi tunisienne exige un consentement exprès et particulier (article 30) : case non précochée, preuve conservée. Le tout alimente votre politique de confidentialité.

Bandeau cookies : quelles règles respecter ?

La loi de 2004 ne mentionne pas les cookies. Pour vos visiteurs européens, la référence est la directive ePrivacy, dont la CNIL précise l’application :

• Consentement préalable : aucun cookie non essentiel avant le choix du visiteur.
• Refus aussi simple que l’acceptation : boutons « Tout accepter » et « Tout refuser » au même niveau et au même format.
• Exemptions : panier, authentification, certains outils de mesure d’audience.
• Durée et retrait : conserver le choix six mois est une bonne pratique ; retirer son consentement doit être aussi simple que le donner.

Une réforme européenne, dite « omnibus numérique », est en négociation ; les règles actuelles s’appliquent. Vérifiez que le bandeau bloque réellement les scripts.

Sécurité, prestataires et transferts : que prévoir ?

La loi impose d’empêcher les accès non autorisés, de les retracer et de sauvegarder les données (articles 18 et 19) : HTTPS, double authentification, mises à jour, sauvegardes testées. Hébergeur, e-mailing, CRM ou chat doivent être choisis « scrupuleusement » (article 20) et liés par un contrat de sous-traitance, exigé par le RGPD (article 28). Tout transfert vers l’étranger exige l’autorisation de l’INPDP (article 52) : un hébergement ou un outil en ligne hors de Tunisie relève en principe de ce régime.

La checklist de conformité de votre site

1. Inventorier les données et les outils qui les reçoivent.
2. Fixer finalité, base légale et durée de conservation.
3. Réduire les formulaires et publier une politique de confidentialité.
4. Déclarer les traitements à l’INPDP.
5. Bloquer les traceurs non essentiels avant consentement.
6. Sécuriser le site et signer des contrats avec chaque prestataire.
7. Encadrer les transferts hors de Tunisie et de l’Union.
8. Prévoir une procédure pour les demandes de droits et les violations de données.

FAQ

Un site vitrine sans formulaire est-il concerné ?

Souvent, oui : mesure d’audience, cookies publicitaires, vidéos intégrées et journaux du serveur traitent des données comme l’adresse IP. Plus le site est sobre, plus la conformité est simple.

Faut-il déclarer son site à l’INPDP ?

Oui, s’il traite des données personnelles : la loi exige une déclaration préalable (article 7), acceptée si l’INPDP ne s’y oppose pas sous un mois. Les transferts à l’étranger et certaines données sensibles exigent aussi une autorisation.

Faut-il un bandeau cookies si le site ne vise que la Tunisie ?

La loi de 2004 ne mentionne pas les cookies, mais elle pose le principe du consentement. Pour des visiteurs européens, un bandeau conforme aux règles européennes reste l’option la plus sûre.

Que faire en cas de fuite de données ?

Contenez l’incident et documentez-le. Si le RGPD s’applique, notifiez l’autorité de contrôle si possible sous 72 heures, et les personnes concernées en cas de risque élevé. La loi de 2004 ne prévoit pas de notification, mais prévenir les personnes touchées limite souvent le préjudice.

Un site conforme dès la conception avec Uteek

Chez Uteek, agence digitale basée aux Berges du Lac 2, à Tunis, nous intégrons ces exigences dès la conception de vos sites et applications : bandeau de consentement, formulaires sobres, HTTPS, gestion des accès, sauvegardes. Découvrez notre offre de développement web ou parlez-nous de votre projet.