Protection des données : le tour du monde des lois

Le 6 janvier 1978, la France adopte la loi « Informatique et libertés » (France · loi n° 78-17). Elle confie son application à une autorité administrative indépendante : la Commission nationale de l’informatique et des libertés (France · CNIL). Quarante ans plus tard, le 25 mai 2018, le règlement général sur la protection des données (UE · RGPD) devient applicable dans toute l’Union. Entre-temps, le sujet a fait le tour du monde. En 1973, un seul pays avait une loi nationale, la Suède. En mars 2025, 172 pays en avaient une, selon le recensement du juriste australien Graham Greenleaf (Royaume-Uni · Privacy Laws & Business).

Avoir une loi est donc devenu la norme. Pour une entreprise ou une administration qui fait circuler des données entre continents, la question n’est plus « ce pays a-t-il une loi ? », mais « mes données peuvent-elles y aller, et en revenir ? » Ce tour du monde, arrêté au 29 octobre 2026, sert à y répondre pays par pays.

Ce qui est déjà acté

• Convention 108 (Europe · Conseil de l’Europe) : ouverte à la signature le 28 janvier 1981, c’est le premier traité international contraignant sur les données personnelles, et il est ouvert aux États non européens. Sa version modernisée, dite « 108+ », comptait 34 ratifications sur les 38 nécessaires à son entrée en vigueur en septembre 2026.
• Décisions d’adéquation (UE · Commission européenne) : au 29 octobre 2026, elles couvrent 17 destinations, soit 16 pays ou territoires et une organisation internationale, l’Organisation européenne des brevets (international · OEB, juillet 2025). Les décisions pour le Royaume-Uni ont été renouvelées le 19 décembre 2025 ; le Brésil a été reconnu le 26 janvier 2026, par décisions mutuelles.
• Convention de Malabo (Afrique · Union africaine) : adoptée le 27 juin 2014, elle couvre la cybersécurité et les données personnelles. Elle est entrée en vigueur le 8 juin 2023, après la quinzième ratification.
• PIPL (Chine · Assemblée populaire nationale) : la loi sur la protection des informations personnelles, adoptée le 20 août 2021, s’applique depuis le 1er novembre 2021, sous la coordination du régulateur du cyberespace (Chine · CAC).
• DPDP Act (Inde · MeitY) : promulguée le 11 août 2023, la loi entre en application par étapes. Son autorité, le Data Protection Board, est instituée depuis le 13 novembre 2025 ; l’essentiel des obligations s’appliquera le 13 mai 2027.
• Accélération (Royaume-Uni · Privacy Laws & Business) : depuis 1973, 3,3 pays en moyenne adoptent chaque année leur première loi ; depuis 2020, le rythme est passé à 5,4 nouvelles lois par an.

Notre base, vérifiée pays par pays au 29 octobre 2026, compte 199 pays et territoires. Elle ne retient comme « en vigueur » que les lois générales effectivement applicables : c’est pourquoi elle donne moins de pays que le recensement international, qui inclut aussi les lois adoptées mais pas encore applicables. Les tableaux sont téléchargeables en CSV.

Les pays dotés d’une loi

Le tableau ci-dessous recense les pays dotés d’une loi générale de protection des données en vigueur, avec leur autorité de contrôle et la date du texte. Les modèles varient : autorité indépendante sur le modèle de la CNIL, ou administration rattachée au gouvernement, comme en Chine.

Pays	Continent	Loi (texte officiel)	Régulateur	Mise en place
Afrique du Sud	Afrique	Protection of Personal Information Act 4 of 2013 (POPIA)L'essentiel de la POPIA s'applique depuis le 1er juillet 2020 ; l'Information Regulator prononce des amendes administratives.	Information Regulator	1 juil. 2020
Algérie	Afrique	Loi n° 18-07 du 10 juin 2018 relative à la protection des personnes physiques dans le traitement des données à caractère personnelModifiée par la loi n° 25-11 du 24 juillet 2025 (DPO et registre des traitements obligatoires) ; l'ANPDP est opérationnelle depuis août 2023.	ANPDP	10 juin 2018
Angola	Afrique	Lei n.º 22/11, de 17 de Junho — Lei da Protecção de Dados PessoaisUn projet de révision de la loi a été soumis à consultation publique en mars-avril 2025, sans adoption à ce jour.	APD	17 juin 2011
Bénin	Afrique	Loi n° 2017-20 du 20 avril 2018 portant code du numérique en République du BéninProtection des données régie par le livre V du code du numérique ; la loi n° 2020-35 du 6 janvier 2021 a revu la composition de l'APDP.	APDP	20 avr. 2018
Botswana(à vérifier)	Afrique	Data Protection Act, 2024 (Act No. 18 of 2024)La loi de 2024 abroge celle de 2018 et maintient l'IDPC, dirigée par un commissaire depuis 2022 ; elle est en vigueur depuis le 14 janvier 2025.	IDPC	14 janv. 2025
Burkina Faso(à vérifier)	Afrique	Loi n° 037-2026/ALP relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnelNouvelle loi adoptée le 3 août 2026 en remplacement de la loi n° 001-2021/AN ; la CIL doit fusionner avec le CSC dans l'ARCOD (loi organique n° 038-2026/ALP), pas encore installée.	CIL	2026
Cap-Vert	Afrique	Lei n.º 133/V/2001, de 22 de janeiro (regime jurídico geral de proteção de dados pessoais das pessoas singulares)Loi modifiée en 2013 et 2021 (DPO, analyse d'impact, notification des violations sous 72 h) ; le pays est partie à la Convention 108 du Conseil de l'Europe depuis 2018.	CNPD	2001
Congo(à vérifier)	Afrique	Loi n° 29-2019 du 10 octobre 2019 portant protection des données à caractère personnelLa CNPD, créée par la loi n° 5-2025, a vu ses membres nommés le 31 décembre 2025 mais n'a pas encore d'activité publique visible.	CNPD	7 nov. 2019
Côte d'Ivoire	Afrique	Loi n° 2013-450 du 19 juin 2013 relative à la protection des données à caractère personnelL'ARTCI exerce la mission d'autorité de protection et a adopté en novembre 2025 de nouvelles normes simplifiées de déclaration.	ARTCI	19 juin 2013
Égypte	Afrique	Law No. 151 of 2020 promulgating the Personal Data Protection LawRèglement exécutif publié en novembre 2025 (décret ministériel n° 816/2025) ; le délai de mise en conformité d'un an expire début novembre 2026 et le PDPC délivre désormais licences et autorisations.	PDPC	16 oct. 2020
Eswatini	Afrique	Data Protection Act, 2022 (Act No. 5 of 2022)L'Eswatini Communications Commission est l'autorité désignée et opère sous le nom d'EDPA.	ESCCOM (EDPA)	4 mars 2022
Éthiopie	Afrique	Personal Data Protection Proclamation No. 1321/2024L'ECA est désignée autorité de protection des données ; plusieurs directives d'application restent en préparation.	ECA	24 juil. 2024
Gabon	Afrique	Loi n° 025/2023 du 12 juillet 2023 portant modification de la loi n° 001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnelLa loi de 2023 (221 articles) refond celle de 2011 et remplace la CNPDCP par l'APDPVP.	APDPVP	15 juil. 2023
Gambie(à vérifier)	Afrique	Personal Data Protection and Privacy Act, 2025 (Act No. 11 of 2025)Première loi générale, votée le 29 septembre 2025 et sanctionnée le 7 novembre 2025 ; l'Information Commission, créée en 2021 pour l'accès à l'information, en est l'autorité de contrôle.	Information Commission	13 nov. 2025
Ghana	Afrique	Data Protection Act, 2012 (Act 843)Un Data Protection Bill 2025, mis en consultation par la DPC, abrogerait l'Act 843 et créerait une Data Protection Authority ; il n'est pas adopté.	DPC	16 oct. 2012
Kenya	Afrique	Data Protection Act, 2019 (No. 24 of 2019)L'ODPC peut infliger jusqu'à 5 millions de shillings ou 1 % du chiffre d'affaires ; le mandat de la première commissaire s'achève fin 2026.	ODPC	25 nov. 2019
Madagascar(à vérifier)	Afrique	Loi n° 2014-038 du 9 janvier 2015 sur la protection des données à caractère personnelLa CMIL, créée par décret en décembre 2023, a vu ses membres prêter serment en août 2025 ; elle n'a pas encore de site web.	CMIL	9 juin 2015
Malawi	Afrique	Data Protection Act, 2024 (Act No. 3 of 2024)La MACRA est l'autorité désignée ; les règlements d'application restaient à l'état de projet en 2025-2026.	MACRA	3 juin 2024
Mali	Afrique	Loi n° 2013-015 du 21 mai 2013 portant protection des données à caractère personnel en République du MaliL'APDP, opérationnelle depuis 2015, applique la loi de 2013 modifiée.	APDP	21 mai 2013
Maroc	Afrique	Loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnelLoi complétée par le décret n° 2-09-165 du 21 mai 2009 ; la refonte annoncée par la CNDP depuis 2019 n'est toujours pas adoptée.	CNDP	23 févr. 2009
Maurice	Afrique	Data Protection Act 2017 (Act No. 20 of 2017)Loi alignée sur le RGPD (UE) et remplaçant celle de 2004 ; un règlement sur les DPO s'appliquera au 1er janvier 2027.	DPO	15 janv. 2018
Mauritanie	Afrique	Loi n° 2017-020 du 22 juillet 2017 sur la protection des données à caractère personnelL'APD, créée par décret en 2022, est active : délibérations de 2025 sur les transferts hors du pays et le recours au cloud étranger.	APD	2017
Nigeria	Afrique	Nigeria Data Protection Act, 2023 (Act No. 37)La directive GAID de la NDPC, applicable depuis le 19 septembre 2025, précise la loi et remplace la NDPR de 2019.	NDPC	12 juin 2023
Ouganda	Afrique	Data Protection and Privacy Act, 2019 (Act 9 of 2019, now Cap. 97)Règlement d'application de 2021 ; le PDPO, rattaché à la NITA-U, a obtenu une première condamnation pénale en juillet 2025.	PDPO	3 mai 2019
Rwanda	Afrique	Law Nº 058/2021 of 13/10/2021 relating to the protection of personal data and privacyLa NCSA tient le registre obligatoire des responsables de traitement et autorise le stockage de données hors du pays ; la période transitoire s'est close en octobre 2023.	NCSA	15 oct. 2021
Sao Tomé-et-Principe	Afrique	Lei n.º 03/2016 — Protecção de Dados PessoaisLoi publiée au Diário da República le 10 mai 2016 ; l'ANPDP est membre du RAPDP et du réseau lusophone de protection des données (2024).	ANPDP	2016
Sénégal	Afrique	Loi n° 2008-12 du 25 janvier 2008 portant sur la protection des données à caractère personnelL'une des premières lois du continent ; le projet de refonte engagé en 2017 n'est toujours pas adopté en octobre 2026.	CDP	25 janv. 2008
Seychelles	Afrique	Data Protection Act, 2023 (Act 24 of 2023)La loi de 2023 remplace celle de 2003, jamais appliquée ; sa période transitoire de 18 mois s'est close en juin 2025.	InfoCom	22 déc. 2023
Somalie	Afrique	Data Protection Act (Law No. 005 of 2023)La DPA, lancée en février 2024, a fait approuver son règlement d'application en janvier 2026.	DPA	2023
Tanzanie	Afrique	Personal Data Protection Act, 2022 (Act No. 11 of 2022, Cap. 44)La PDPC, opérationnelle depuis 2024, applique pleinement la loi depuis avril 2026 et mène des inspections depuis le 31 août 2026.	PDPC	1 mai 2023
Tchad	Afrique	Loi n° 007/PR/2015 du 10 février 2015 portant protection des données à caractère personnelLe contrôle est confié à l'ANSICE, agence de cybersécurité, et non à une autorité indépendante dédiée (décret d'application n° 075/PR/2019).	ANSICE	2015
Togo	Afrique	Loi n° 2019-014 du 29 octobre 2019 relative à la protection des données à caractère personnelL'IPDCP, organisée par décret en décembre 2020, n'a lancé ses activités que le 28 mars 2025.	IPDCP	29 oct. 2019
Tunisie(à vérifier)	Afrique	Loi organique n° 2004-63 du 27 juillet 2004 portant sur la protection des données à caractère personnelLe projet de loi organique aligné sur le RGPD, déposé au Parlement en 2018, n'est toujours pas adopté ; le site de l'INPDP était inaccessible en octobre 2026.	INPDP	2004
Zambie	Afrique	Data Protection Act No. 3 of 2021L'ODPC, opérationnel depuis 2025, impose l'enregistrement des responsables de traitement et des sous-traitants.	ODPC	1 avr. 2021
Zimbabwe	Afrique	Cyber and Data Protection Act [Chapter 12:07] (Act No. 5 of 2021)Le règlement SI 155 de 2024 impose une licence aux responsables de traitement ; la POTRAZ annonce des inspections à partir de septembre 2026.	POTRAZ	3 déc. 2021
Antigua-et-Barbuda(à vérifier)	Amériques	Data Protection Act, 2013 (No. 10 of 2013)Loi couvrant secteurs public et privé, publiée au Journal officiel le 7 novembre 2013 ; son application relève du commissaire à l'information (loi de 2004 sur l'accès à l'information), sans site dédié et à l'activité peu documentée.	Information Commissioner	7 nov. 2013
Argentine	Amériques	Ley 25.326 de Protección de los Datos PersonalesPays reconnu adéquat par la Commission européenne (UE) depuis 2003 et partie à la Convention 108 du Conseil de l'Europe ; la loi de 2000 attend toujours sa refonte.	AAIP	2 nov. 2000
Bahamas(à vérifier)	Amériques	Data Protection (Privacy of Personal Information) Act, 2003 (Ch. 324A)Le Data Protection Act 2025 (n° 74 de 2025, sanctionné le 9 décembre 2025), inspiré du RGPD, abrogera la loi de 2003 à une date que le ministre doit encore fixer.	ODPC	2 avr. 2007
Barbade	Amériques	Data Protection Act, 2019 (2019-29)Loi d'inspiration RGPD en vigueur depuis le 31 mars 2021 ; une commissaire à la protection des données est en poste depuis juillet 2021, mais les sanctions publiques restent rares.	DPC	31 mars 2021
Brésil	Amériques	Lei Geral de Proteção de Dados (LGPD), loi n° 13.709/2018Reconnu adéquat par la Commission européenne (UE) le 26 janvier 2026, en miroir d'une décision de l'ANPD reconnaissant l'UE ; l'ANPD est désormais une agence de régulation.	ANPD	18 sept. 2020
Canada	Amériques	Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE / PIPEDA), L.C. 2000, ch. 5Adéquation partielle (secteur privé) reconnue par la Commission européenne (UE) ; le projet de loi C-36, déposé le 15 juin 2026, remplacerait la partie 1 de la LPRPDE et confierait le contrôle à une nouvelle commission de la sécurité numérique et de la protection des données, mais n'a franchi que la première lecture.	CPVP (OPC)	1 janv. 2001
Chili	Amériques	Ley 19.628 sobre protección de la vida privada (réformée par la Ley 21.719)La loi 21.719 (publiée le 13 décembre 2024), d'inspiration RGPD, doit s'appliquer au 1er décembre 2026 et créer une Agence de protection des données dont le conseil n'est pas nommé ; un projet de report à décembre 2027 est examiné au Sénat.	—	28 août 1999
Colombie	Amériques	Ley Estatutaria 1581 de 2012La SIC, également autorité de concurrence et de consommation, contrôle les données personnelles et prononce régulièrement des sanctions.	SIC	18 oct. 2012
Costa Rica	Amériques	Ley 8968 de Protección de la Persona frente al Tratamiento de sus Datos PersonalesLoi de 2011 contrôlée par la PRODHAB ; un projet de refonte inspiré du RGPD a été déposé à l'Assemblée législative.	PRODHAB	5 sept. 2011
Cuba	Amériques	Ley 149/2022 de Protección de Datos PersonalesLoi en vigueur 180 jours après sa publication (25 août 2022) ; le contrôle est confié au ministère de la Justice, sans autorité indépendante.	MINJUS	21 févr. 2023
Équateur	Amériques	Ley Orgánica de Protección de Datos Personales (LOPDP)Loi d'inspiration RGPD, sanctions applicables depuis mai 2023 ; la Superintendance publie depuis 2025 ses règlements (transferts, délégué à la protection des données, intérêt légitime).	SPDP	26 mai 2021
Jamaïque	Amériques	Data Protection Act, 2020Loi d'inspiration RGPD pleinement applicable depuis le 1er décembre 2023 ; l'enregistrement des responsables de traitement est encadré par des règlements de 2024.	OIC	1 déc. 2023
Mexique	Amériques	Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP 2025)La loi de 2025 remplace celle de 2010 ; l'INAI, autorité autonome, a été supprimé et le contrôle du secteur privé transféré au SABG, un ministère du gouvernement fédéral.	SABG	21 mars 2025
Nicaragua	Amériques	Ley 787 de Protección de Datos PersonalesLoi en vigueur depuis sa publication en 2012, mais la Direction de protection des données prévue au ministère des Finances n'a jamais été créée, ce qui la laisse largement inappliquée.	—	29 mars 2012
Panama	Amériques	Ley 81 de 2019 sobre Protección de Datos PersonalesLoi entrée en vigueur deux ans après sa promulgation ; l'ANTAI, autorité de transparence, en assure le contrôle.	ANTAI	29 mars 2021
Pérou	Amériques	Ley N° 29733, Ley de Protección de Datos PersonalesUn nouveau règlement d'application (décret suprême 016-2024-JUS), en vigueur depuis le 30 mars 2025, rapproche le régime du RGPD (délégué à la protection des données, notification des violations).	ANPD	4 juil. 2011
République dominicaine	Amériques	Ley 172-13 sobre Protección de Datos de Carácter PersonalAucune autorité générale de contrôle (la Superintendencia de Bancos supervise les bureaux de crédit) ; une réforme créant une autorité nationale est débattue au Congrès.	—	13 déc. 2013
Sainte-Lucie	Amériques	Data Protection Act (No. 11 of 2011)Entrée en vigueur partielle le 31 janvier 2023 (principes et obligations des responsables de traitement) ; les dispositions créant le commissaire à la protection des données ne sont pas en vigueur.	—	31 janv. 2023
Salvador	Amériques	Ley para la Protección de Datos Personales (Decreto Legislativo N° 144)Loi adoptée le 12 novembre 2024, en vigueur huit jours après sa publication (15 novembre) ; le contrôle revient à l'Agence de cybersécurité de l'État, dont le directeur est nommé par le président.	ACE	23 nov. 2024
Uruguay	Amériques	Ley 18.331 de Protección de Datos Personales y Acción de Habeas DataReconnu adéquat par la Commission européenne (UE) depuis 2012 ; premier État non européen à adhérer à la Convention 108 du Conseil de l'Europe (2013).	URCDP	18 août 2008
Arabie saoudite	Asie	Loi sur la protection des données personnelles (PDPL, décret royal M/19 de 1443 H)PDPL modifiée en mars 2023, en vigueur le 14 septembre 2023, avec un an de mise en conformité jusqu’au 14 septembre 2024 ; règlements d’application et de transferts adoptés ; contrôle par la SDAIA.	SDAIA	14 sept. 2023
Arménie	Asie	Loi sur la protection des données personnelles (HO-49-N)Supervision par l’Agence de protection des données personnelles du ministère de la Justice ; loi modifiée en décembre 2025 et en mai 2026 ; liste des États à protection adéquate fixée par l’Agence en 2024.	PDPA	1 juil. 2015
Azerbaïdjan(à vérifier)	Asie	Loi n° 998-IIIQ sur les données personnellesLoi du 11 mai 2010 ; pas d’autorité indépendante : la supervision relève surtout du ministère du Développement numérique et des Transports, qui délivre aussi les licences de ressources de données personnelles.	MDDT	6 juin 2010
Bahreïn	Asie	Loi n° 30 de 2018 sur la protection des données personnelles (PDPL)Dix arrêtés d’application adoptés en 2022 ; les fonctions de l’Autorité sont exercées à titre transitoire par le ministère de la Justice, des Affaires islamiques et des Waqfs (décret n° 78 de 2019).	PDPA	1 août 2019
Bangladesh(à vérifier)	Asie	Loi de 2026 sur la protection des données personnelles (loi n° 63 de 2026)Loi du 10 avril 2026 qui remplace l’ordonnance de 2025 et s’applique rétroactivement au 6 novembre 2025 ; plaintes, amendes et réparation (art. 31 à 35) s’appliqueront par décret, au plus tôt 18 mois après.	National Data Management Authority	6 nov. 2025
Brunei	Asie	Ordonnance de 2025 sur la protection des données personnelles (PDPO)Ordonnance promulguée le 8 janvier 2025, obligations de fond applicables depuis le 1er janvier 2026 ; vise le secteur privé, pas les administrations ; l’AITI administre et fait appliquer le texte.	AITI	1 janv. 2026
Chine	Asie	Loi sur la protection des informations personnelles (PIPL)La PIPL s’articule avec la loi sur la cybersécurité (modifiée au 1er janvier 2026) et la loi sur la sécurité des données ; certification des transferts depuis 2026. Elle ne s’applique ni à Hong Kong ni à Macao.	CAC	1 nov. 2021
Corée du Sud	Asie	Loi sur la protection des informations personnelles (PIPA)Décision d’adéquation de l’UE · Commission européenne du 17 décembre 2021 ; réforme de mars 2026, en vigueur le 11 septembre 2026 : amende maximale portée à 10 % du chiffre d’affaires dans certains cas.	PIPC	30 sept. 2011
Émirats arabes unis	Asie	Décret-loi fédéral n° 45 de 2021 sur la protection des données personnelles (PDPL)Règlement d’exécution toujours attendu fin 2025 ; zones franches à régime propre : DIFC (loi n° 5 de 2020), ADGM (règlement de 2021) et DHCC, chacune avec son autorité.	UAE Data Office	2 janv. 2022
Géorgie	Asie	Loi du 14 juin 2023 sur la protection des données personnellesLoi inspirée du RGPD ; depuis le 2 mars 2026, la supervision revient au Bureau d’audit de l’État, qui remplace le Service de protection des données personnelles (loi n° 1289 du 17 décembre 2025).	SAO	1 mars 2024
Hong Kong	Asie	Ordonnance sur les données personnelles (vie privée) (PDPO, Cap. 486)Régime propre à la région administrative spéciale, distinct de la Chine continentale ; infraction de « doxxing » ajoutée en 2021 ; la réforme annoncée (notification des violations, amendes) n’est pas adoptée.	PCPD	20 déc. 1996
Indonésie	Asie	Loi n° 27 de 2022 sur la protection des données personnelles (UU PDP)Pleinement applicable depuis le 17 octobre 2024 ; règlement d’application n° 33/2026 signé le 16 juillet 2026, applicable mi-janvier 2027 ; l’agence de contrôle prévue n’existe pas encore, Komdigi assure l’intérim.	Komdigi	17 oct. 2022
Israël(à vérifier)	Asie	Loi sur la protection de la vie privée 5741-1981Amendement n° 13 en vigueur le 14 août 2025 (pouvoirs de sanction de l’autorité renforcés) ; décision d’adéquation de l’UE · Commission européenne de 2011, confirmée en janvier 2024.	PPA	1981
Japon	Asie	Loi sur la protection des informations personnelles (APPI, loi n° 57 de 2003)Adéquation mutuelle avec l’UE · Commission européenne depuis 2019 ; réforme issue de la révision triennale adoptée le 10 juillet 2026 et promulguée le 17 juillet, dates d’application à fixer.	PPC	1 avr. 2005
Jordanie(à vérifier)	Asie	Loi n° 24 de 2023 sur la protection des données personnellesLoi entrée en vigueur six mois après sa publication au Journal officiel (septembre 2023) ; un Conseil de protection des données et une direction du ministère de l’Économie numérique en assurent le contrôle.	MoDEE	17 mars 2024
Kazakhstan(à vérifier)	Asie	Loi n° 94-V sur les données personnelles et leur protectionLoi n° 326-VIII du 24 juin 2026 : notification des violations, registres, encadrement des décisions automatisées, amendes accrues, en vigueur pour l’essentiel le 25 août 2026 ; le Code numérique de 2026 ne remplace pas la loi.	Information Security Committee	26 nov. 2013
Kirghizistan	Asie	Code numérique de la République kirghize (n° 178)Le Code numérique (n° 178 du 31 juillet 2025) a remplacé le 5 février 2026 la loi n° 58 de 2008 sur l’information personnelle ; amendes prévues par le Code des infractions depuis novembre 2025.	State Agency for Personal Data Protection	5 févr. 2026
Laos(à vérifier)	Asie	Loi n° 25/NA sur la protection des données électroniquesLoi de 2017 limitée aux données sous forme électronique, complétée par une instruction d’application de 2018 ; contrôle par le ministère de la Technologie et des Communications.	MTC	2017
Liban(à vérifier)	Asie	Loi n° 81 du 10 octobre 2018 sur les transactions électroniques et les données à caractère personnelPas d’autorité indépendante : le ministère de l’Économie et du Commerce reçoit déclarations et demandes d’autorisation ; les recours passent par les tribunaux.	MoET	janvier 2019
Macao	Asie	Loi n° 8/2005 sur la protection des données personnellesRégime propre à la région administrative spéciale, distinct de la Chine continentale, inspiré de la loi portugaise de 1998 ; l’autorité est devenue une direction de services en 2023 (règlement administratif n° 42/2023).	DSPDP	février 2006
Malaisie	Asie	Loi de 2010 sur la protection des données personnelles (PDPA, Act 709)Loi d’amendement de 2024 appliquée en trois étapes en 2025 : délégué à la protection des données, notification des violations, portabilité, transferts révisés ; vise les traitements commerciaux du secteur privé.	JPDP	15 nov. 2013
Mongolie	Asie	Loi sur la protection des données personnelles (2021)Loi du 17 décembre 2021 ; contrôle confié à la Commission nationale des droits de l’homme et au ministère du numérique ; en 2026, l’ONU · Rapporteuse spéciale sur la vie privée a recommandé une autorité indépendante.	NHRCM	1 mai 2022
Népal(à vérifier)	Asie	Loi de 2075 (2018) sur la vie privée individuelle (Individual Privacy Act)Loi de 2018 complétée par un règlement de 2020 ; pas d’autorité de contrôle dédiée ; des directives de 2025 sur les centres de données et l’informatique en nuage s’y ajoutent.	—	18 sept. 2018
Oman	Asie	Loi sur la protection des données personnelles (décret royal n° 6/2022)Décret publié le 13 février 2022, applicable un an plus tard ; règlement d’exécution adopté en 2024 ; contrôle par le ministère des Transports, des Communications et des Technologies de l’information.	MTCIT	13 févr. 2023
Ouzbékistan	Asie	Loi n° ZRU-547 sur les données personnellesLoi ZRU-1125 du 26 mars 2026 : localisation limitée aux données biométriques, génétiques et des abonnés télécoms ; liste de 49 pays à protection adéquate (résolution n° 415 du 29 juillet 2026).	Migration and Personalization Department	1 oct. 2019
Philippines	Asie	Loi de 2012 sur la confidentialité des données (Data Privacy Act, RA 10173)La Commission nationale de la vie privée, créée en 2016 avec le règlement d’application, contrôle et sanctionne ; plusieurs propositions d’amendement sont pendantes au Congrès.	NPC	8 sept. 2012
Qatar(à vérifier)	Asie	Loi n° 13 de 2016 sur la protection de la vie privée et des données personnellesPremière loi générale du Golfe, complétée par des lignes directrices de l’Agence nationale de cybersécurité ; le Centre financier du Qatar (QFC) a son propre règlement et son autorité.	NCSA	2016
Singapour	Asie	Loi de 2012 sur la protection des données personnelles (PDPA)Obligations en vigueur depuis le 2 juillet 2014 ; réforme de 2020 : notification des violations, amendes jusqu’à 10 % du chiffre d’affaires local ; le secteur public relève de règles distinctes.	PDPC	2 juil. 2014
Tadjikistan(à vérifier)	Asie	Loi n° 1537 sur la protection des données personnellesLoi n° 1537 du 3 août 2018 ; pas d’autorité indépendante : la supervision relève d’un organe gouvernemental, le Service des communications auprès du gouvernement.	Communications Service	2018
Taïwan	Asie	Loi sur la protection des données personnelles (PDPA)Régime propre, distinct de la Chine continentale ; réforme promulguée le 11 novembre 2025, pas encore en vigueur, qui fera de la Commission (en préparation) l’autorité unique ; d’ici là, les ministères sectoriels contrôlent.	PDPC	1 oct. 2012
Thaïlande(à vérifier)	Asie	Loi B.E. 2562 (2019) sur la protection des données personnelles (PDPA)Adoptée le 28 mai 2019, application reportée deux fois puis complète le 1er juin 2022 ; le Comité, rattaché au ministère de l’Économie numérique et de la Société, inflige des amendes depuis 2024.	PDPC	1 juin 2022
Turkménistan(à vérifier)	Asie	Loi n° 519-V sur l’information relative à la vie privée et sa protectionLoi n° 519-V du 20 mars 2017 ; aucune autorité dédiée : le contrôle général relève du Bureau du procureur général, et les personnes concernées peuvent saisir directement les tribunaux.	—	1 juil. 2017
Turquie	Asie	Loi n° 6698 sur la protection des données personnelles (KVKK)Loi n° 7499 de mars 2024 : transferts internationaux sur le modèle du RGPD (adéquation, clauses types, BCR), en vigueur depuis le 1er juin 2024 ; pas de décision d’adéquation de l’UE · Commission européenne.	KVKK	7 avr. 2016
Vietnam(à vérifier)	Asie	Loi n° 91/2025/QH15 sur la protection des données personnellesLoi adoptée le 26 juin 2025, qui remplace le décret n° 13/2023 (en vigueur depuis le 1er juillet 2023) ; décret d’application n° 356/2025 ; contrôle par le ministère de la Sécurité publique (A05).	A05	1 janv. 2026
Albanie	Europe	Loi n° 124/2024 sur la protection des données personnelles (Ligji nr. 124/2024 « Për mbrojtjen e të dhënave personale »)Nouvelle loi alignée sur le RGPD, en vigueur depuis février 2025 (certaines obligations au 17 janvier 2027) ; remplace la loi de 2008.	IDP	1 févr. 2025
Allemagne	Europe	RGPD et Bundesdatenschutzgesetz (BDSG) du 30 juin 2017Pionnière : la Hesse adopte en 1970 la première loi de protection des données au monde ; contrôle partagé entre le BfDI et les autorités des Länder.	BfDI	25 mai 2018
Andorre	Europe	Llei 29/2021, du 28 octobre, qualificada de protecció de dades personals (LQPD)Loi alignée sur le RGPD remplaçant celle de 2003 ; décision d’adéquation de la Commission européenne depuis 2010.	APDA	17 mai 2022
Autriche	Europe	RGPD et Datenschutzgesetz (DSG), modifiée par le Datenschutz-Anpassungsgesetz 2018Première loi en 1978 ; la protection des données y est un droit fondamental de rang constitutionnel (§ 1 DSG).	DSB	25 mai 2018
Belgique	Europe	RGPD et loi du 30 juillet 2018 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnelPremière loi en 1992 ; depuis 2018, l’APD remplace l’ancienne Commission de la protection de la vie privée.	APD / GBA	5 sept. 2018
Biélorussie	Europe	Loi n° 99-Z du 7 mai 2021 « Sur la protection des données personnelles »Première loi générale, en vigueur depuis le 15 novembre 2021 ; le pays n’est pas membre du Conseil de l’Europe.	NPDPC	15 nov. 2021
Bosnie-Herzégovine(à vérifier)	Europe	Loi sur la protection des données personnelles (Zakon o zaštiti ličnih podataka, Službeni glasnik BiH n° 12/25)Nouvelle loi alignée sur le RGPD, applicable depuis octobre 2025 (210 jours après son entrée en vigueur) ; remplace la loi de 2006.	AZLP	4 oct. 2025
Bulgarie	Europe	RGPD et loi sur la protection des données personnelles (Закон за защита на личните данни), modifiée en 2019Première loi en 2002 ; modifiée en 2019 pour mettre en œuvre le RGPD.	CPDP	2 mars 2019
Chypre	Europe	RGPD et loi 125(I)/2018 sur la protection des personnes physiques à l’égard du traitement des données à caractère personnelPremière loi en 2001 ; la loi 125(I)/2018 met en œuvre le RGPD.	Commissioner	31 juil. 2018
Croatie	Europe	RGPD et Zakon o provedbi Opće uredbe o zaštiti podataka (NN 42/2018)Première loi en 2003 ; loi de mise en œuvre du RGPD applicable depuis le 25 mai 2018.	AZOP	25 mai 2018
Danemark	Europe	RGPD et Databeskyttelsesloven (lov nr. 502 du 23 mai 2018)Parmi les premières lois d’Europe (1978) ; la Databeskyttelsesloven complète le RGPD depuis 2018.	Datatilsynet	25 mai 2018
Espagne	Europe	RGPD et Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD)Première loi en 1992 (LORTAD) ; la LOPDGDD de 2018 ajoute des « droits numériques ».	AEPD	7 déc. 2018
Estonie	Europe	RGPD et Isikuandmete kaitse seadus (loi de 2018 sur la protection des données personnelles)Première loi en 1996 ; la loi de 2018 complète le RGPD depuis janvier 2019.	AKI	15 janv. 2019
Finlande	Europe	RGPD et Tietosuojalaki (1050/2018)Première loi en 1987 ; la Tietosuojalaki complète le RGPD depuis le 1er janvier 2019.	Tietosuojavaltuutettu	1 janv. 2019
France	Europe	RGPD (règlement (UE) 2016/679) et loi n° 78-17 du 6 janvier 1978 « Informatique et libertés »Loi nationale depuis 1978 ; RGPD applicable depuis 2018.	CNIL	25 mai 2018
Grèce	Europe	RGPD et loi 4624/2019Première loi en 1997 ; la loi 4624/2019 met en œuvre le RGPD.	HDPA	29 août 2019
Hongrie	Europe	RGPD et loi CXII de 2011 sur l’autodétermination informationnelle et la liberté de l’information (Infotv.)Première loi en 1992 ; l’Infotv. de 2011, adaptée au RGPD en 2018, couvre aussi la liberté d’information.	NAIH	26 juil. 2018
Irlande	Europe	RGPD et Data Protection Act 2018Première loi en 1988 ; la DPC est l’autorité chef de file pour de nombreuses grandes plateformes numériques.	DPC	25 mai 2018
Islande	Europe	RGPD (via l’accord EEE) et loi n° 90/2018 sur la protection des données (Lög um persónuvernd og vinnslu persónuupplýsinga)Membre de l’EEE : le RGPD s’y applique via l’accord EEE, mis en œuvre par la loi 90/2018.	Persónuvernd	15 juil. 2018
Italie	Europe	RGPD et Codice in materia di protezione dei dati personali (D.Lgs. 196/2003), modifié par le D.Lgs. 101/2018Première loi en 1996 ; le Code de 2003 a été adapté au RGPD en 2018.	Garante	19 sept. 2018
Kosovo	Europe	Loi n° 06/L-082 sur la protection des données personnellesLoi de 2019 inspirée du RGPD, remplaçant celle de 2010 ; l’AIP contrôle aussi l’accès aux documents publics.	AIP	12 mars 2019
Lettonie	Europe	RGPD et Fizisko personu datu apstrādes likums (loi de 2018 sur le traitement des données personnelles)Première loi en 2000 ; la loi de 2018 complète le RGPD.	DVI	5 juil. 2018
Liechtenstein	Europe	RGPD (via l’accord EEE) et Datenschutzgesetz (DSG) du 4 octobre 2018Membre de l’EEE : le RGPD s’y applique via l’accord EEE, complété par la DSG de 2018.	DSS	1 janv. 2019
Lituanie	Europe	RGPD et Asmens duomenų teisinės apsaugos įstatymas (loi sur la protection juridique des données personnelles, refondue en 2018)Première loi en 1996 ; refondue en 2018 pour mettre en œuvre le RGPD.	VDAI	16 juil. 2018
Luxembourg	Europe	RGPD et loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des donnéesPremière loi en 1979 ; la loi de 2018 réorganise la CNPD et met en œuvre le RGPD.	CNPD	20 août 2018
Macédoine du Nord	Europe	Loi sur la protection des données personnelles (Journal officiel n° 42/2020, modifiée)Loi alignée sur le RGPD adoptée en 2020, pleinement applicable depuis août 2021 ; première loi en 2005.	AZLP	24 août 2021
Malte	Europe	RGPD et Data Protection Act (Cap. 586)Première loi en 2001 ; le Data Protection Act (Cap. 586) met en œuvre le RGPD.	IDPC	28 mai 2018
Moldavie(à vérifier)	Europe	Loi n° 195/2024 sur la protection des données à caractère personnel (Legea nr. 195/2024 privind protecția datelor cu caracter personal)Nouvelle loi alignée sur le RGPD, applicable depuis le 23 août 2026 ; remplace la loi n° 133/2011.	CNPDCP	23 août 2026
Monaco	Europe	Loi n° 1.565 du 3 décembre 2024 relative à la protection des données personnellesNouvelle loi alignée sur le RGPD remplaçant la loi de 1993 ; l’APDP succède à la CCIN.	APDP	14 déc. 2024
Monténégro	Europe	Loi sur la protection des données personnelles de 2008 (Zakon o zaštiti podataka o ličnosti, Službeni list CG n° 79/08, modifiée)Loi de 2008 encore applicable ; une nouvelle loi alignée sur le RGPD (Službeni list CG n° 133/26) s’appliquera le 19 mars 2027.	AZLP	31 déc. 2008
Norvège	Europe	RGPD (via l’accord EEE) et Personopplysningsloven (LOV-2018-06-15-38)Première loi en 1978 ; membre de l’EEE, le RGPD s’y applique via la loi de 2018.	Datatilsynet	20 juil. 2018
Pays-Bas	Europe	RGPD et Uitvoeringswet Algemene verordening gegevensbescherming (UAVG)Première loi en 1988 ; l’UAVG met en œuvre le RGPD depuis le 25 mai 2018.	AP	25 mai 2018
Pologne	Europe	RGPD et Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowychPremière loi en 1997 ; la loi de 2018 met en œuvre le RGPD et crée l’UODO.	UODO	25 mai 2018
Portugal	Europe	RGPD et Lei n.º 58/2019, de 8 de agostoLa Constitution de 1976 protège déjà les données (art. 35) ; première loi en 1991.	CNPD	9 août 2019
Roumanie	Europe	RGPD et Legea nr. 190/2018Première loi en 2001 ; la loi 190/2018 met en œuvre le RGPD.	ANSPDCP	31 juil. 2018
Royaume-Uni	Europe	UK GDPR et Data Protection Act 2018, modifiés par le Data (Use and Access) Act 2025Première loi en 1984 ; l’ICO est devenu l’Information Commission le 30 septembre 2026 ; adéquation UE renouvelée jusqu’en 2031.	ICO	25 mai 2018
Russie	Europe	Loi fédérale n° 152-FZ du 27 juillet 2006 « Sur les données personnelles »Loi de 2006 maintes fois durcie, avec localisation obligatoire des données des citoyens russes depuis 2015.	Roskomnadzor	26 janv. 2007
Saint-Marin(à vérifier)	Europe	Legge 21 dicembre 2018 n. 171 sur la protection des personnes physiques à l’égard du traitement des données personnellesLoi de 2018 alignée sur le RGPD, remplaçant celle de 1995 ; ratification de la Convention 108+ approuvée en 2023.	Garante	5 janv. 2019
Serbie	Europe	Zakon o zaštiti podataka o ličnosti (Službeni glasnik RS n° 87/2018)Loi alignée sur le RGPD applicable depuis août 2019 ; un projet de nouvelle loi a été mis en consultation en 2026.	Poverenik	21 août 2019
Slovaquie	Europe	RGPD et Zákon č. 18/2018 Z. z. o ochrane osobných údajovPremière loi en 1998 ; la loi 18/2018 complète le RGPD.	ÚOOÚ SR	25 mai 2018
Slovénie	Europe	RGPD et Zakon o varstvu osebnih podatkov (ZVOP-2)La ZVOP-2, en vigueur depuis 2023, complète enfin le RGPD et remplace la ZVOP-1 de 2004.	IP	26 janv. 2023
Suède	Europe	RGPD et Dataskyddslagen (SFS 2018:218)Première loi nationale au monde (Datalag, 1973) ; la Dataskyddslagen complète le RGPD depuis 2018.	IMY	25 mai 2018
Suisse	Europe	Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)Loi révisée en vigueur depuis le 1er septembre 2023 (première loi fédérale en 1992) ; décision d’adéquation de la Commission européenne depuis 2000.	PFPDT	1 sept. 2023
Tchéquie	Europe	RGPD et Zákon č. 110/2019 Sb., o zpracování osobních údajůLa loi 110/2019 complète le RGPD et remplace la loi 101/2000.	ÚOOÚ	24 avr. 2019
Ukraine	Europe	Loi n° 2297-VI du 1er juin 2010 « Sur la protection des données personnelles »Loi de 2010 en vigueur ; un projet de loi aligné sur le RGPD (n° 8153), adopté en première lecture en 2024, attend sa deuxième lecture.	Ombudsman	1 janv. 2011
Australie	Océanie	Privacy Act 1988 (Cth)Une première réforme (Privacy and Other Legislation Amendment Act 2024) a créé un délit civil d'atteinte grave à la vie privée et prévu un code pour les enfants ; une seconde tranche reste attendue.	OAIC	1 janv. 1989
Nouvelle-Zélande	Océanie	Privacy Act 2020Reconnue adéquate par la Commission européenne (UE) depuis 2012 ; depuis le 1er mai 2026, le Privacy Amendment Act 2025 impose d'informer les personnes dont les données sont collectées indirectement.	OPC	1 déc. 2020
Vanuatu(à vérifier)	Océanie	Data Protection and Privacy Act No. 13 of 2024Loi en vigueur depuis le 2 janvier 2025 ; le contrôle revient à un commissaire adjoint de la Digital Safety Authority (loi n° 15 de 2024), autorité pas encore opérationnelle.	—	2 janv. 2025

Les pays où une loi est en préparation

Dans ces pays, un projet de loi est déposé, voté sans être promulgué, ou en attente de ses textes d’application. Pour une entreprise, c’est la catégorie à surveiller : un contrat signé aujourd’hui y sera exécuté demain sous une loi qui n’existe pas encore.

Pays	Continent	Loi (texte officiel)	Régulateur	Mise en place
Burundi	Afrique	Loi n° 1/03 du 10 mars 2026 portant protection des données à caractère personnelPremière loi générale, en vigueur depuis sa promulgation le 10 mars 2026, mais l'Agence de protection des données attend son décret de création.	—	10 mars 2026
Cameroun	Afrique	Loi n° 2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel au CamerounLoi du 23 décembre 2024 applicable depuis le 23 juin 2026 (fin de la période transitoire de 18 mois), mais l'APDP attend toujours son décret d'organisation.	—	23 juin 2026
Comores(à vérifier)	Afrique	Loi n° 14-029/AU du 26 juin 2014 portant protection des données à caractère personnelLoi adoptée le 26 juin 2014 dont la promulgation n'est pas attestée, et la commission de contrôle prévue n'a jamais été constituée.	—	26 juin 2014
Djibouti(à vérifier)	Afrique	Loi n° 019/AN/23/9ème L portant Code numérique (Livre premier : protection des données à caractère personnel)Code du numérique promulgué le 6 juillet 2025 et publié au Journal officiel le 18 septembre 2025 ; la CNDP qu'il crée n'est pas encore installée.	—	18 sept. 2025
Guinée	Afrique	Loi L/2016/037/AN relative à la cybersécurité et la protection des données à caractère personnel en République de GuinéeLoi en vigueur depuis 2016, mais l'autorité de protection qu'elle prévoit n'a jamais été installée.	—	28 juil. 2016
Guinée équatoriale(à vérifier)	Afrique	Ley Núm. 1/2016, de 22 de julio, de Protección de Datos PersonalesLoi de 2016, mais l'organe de contrôle (Órgano Rector) qu'elle prévoit n'a jamais été constitué.	—	2016
Lesotho	Afrique	Data Protection Act, 2011 (Act No. 5 of 2012)Loi en vigueur depuis 2012, mais la Data Protection Commission qu'elle prévoit n'a jamais été installée (confirmé par le ministère en avril 2026).	—	22 févr. 2012
Liberia(à vérifier)	Afrique	Data Protection Act (2026)Signature du Data Protection Act annoncée le 19 août 2026 par le ministre des Postes et Télécommunications, mais texte non publié, entrée en vigueur inconnue et aucune autorité installée.	—	19 août 2026
Mozambique	Afrique	Proposta de Lei de Protecção de Dados PessoaisPas de loi générale : le projet approuvé en Conseil des ministres le 3 mars 2026 est à l'ordre du jour de l'Assemblée de la République et confierait le contrôle au régulateur des TIC (INTIC).	—	3 mars 2026
Namibie	Afrique	—Pas de loi générale : le Data Protection Bill, consultations closes, attend son examen en Cabinet et n'est pas déposé au Parlement.	—	27 janv. 2026
Niger	Afrique	Loi n° 2022-59 du 16 décembre 2022 relative à la protection des données à caractère personnelLa loi de 2022 (qui abroge celle de 2017) reste en vigueur, mais la HAPDP a été dissoute le 8 juin 2026 (décret n° 2026-310/PRN/PM) et ses missions confiées aux ministères de la Justice et de l'Intérieur.	—	8 juin 2026
République centrafricaine	Afrique	Loi n° 24.001 du 25 janvier 2024 portant protection des données à caractère personnelLoi en vigueur dès sa promulgation, mais l'agence de protection prévue n'est pas créée ; le ministère de l'Économie numérique assure l'intérim.	—	25 janv. 2024
République démocratique du Congo	Afrique	Ordonnance-loi n° 23/010 du 13 mars 2023 portant Code du numériqueCode du numérique en vigueur depuis le 13 mars 2023, mais l'APD n'est pas créée ; l'ARPTC exerce ses missions à titre transitoire (décision du 11 septembre 2025).	—	11 sept. 2025
Sierra Leone	Afrique	Data Protection and Right to Access Information Bill, 2025Pas de loi générale : le Conseil des ministres a approuvé le 21 avril 2026 une politique nationale et un projet de loi qui confierait la protection des données à la RAIC.	—	21 avr. 2026
Belize(à vérifier)	Amériques	Data Protection Act, 2021 (Act No. 45 of 2021)Loi d'inspiration RGPD publiée le 30 novembre 2021 mais jamais mise en vigueur : ni arrêté ministériel d'entrée en vigueur, ni commissaire à la protection des données à ce jour.	—	30 nov. 2021
Bolivie(à vérifier)	Amériques	Proyecto de Ley de Protección de Datos Personales (PL 538/2025-2026)Pas de loi générale, seule l'action constitutionnelle de protection de la vie privée s'applique ; un projet de loi (PL 538/2025-2026) est en cours d'examen à la Chambre des députés.	—	2026
Grenade(à vérifier)	Amériques	Data Protection Act, 2023 (No. 1 of 2023)Loi sanctionnée en mai 2023, mais son entrée en vigueur dépend d'un arrêté du Premier ministre introuvable à ce jour ; la Commission de l'information prévue n'est pas installée.	—	10 mai 2023
Guatemala	Amériques	Iniciativa 6464 (protección de datos personales y derechos digitales)Pas de loi générale (seule la loi de 2008 sur l'accès à l'information protège les données détenues par l'État) ; l'initiative 6464 est examinée en commission au Congrès.	—	16 juil. 2026
Guyana(à vérifier)	Amériques	Data Protection Act 2023 (Act No. 18 of 2023)Loi sanctionnée le 16 août 2023 ; un commissaire à la protection des données a été nommé début 2026, mais l'arrêté d'entrée en vigueur n'a pas encore été pris.	—	2026
Honduras(à vérifier)	Amériques	Anteproyecto de Ley de Protección de Datos Personales (IAIP)Pas de loi générale, seul l'habeas data constitutionnel s'applique ; l'Institut d'accès à l'information publique (IAIP) a présenté un avant-projet aux députés en 2024, toujours sans vote.	—	25 sept. 2024
Paraguay	Amériques	Ley N° 7593/2025 de Protección de Datos PersonalesPremière loi générale, promulguée le 27 novembre 2025 et applicable 24 mois après sa publication (fin novembre 2027) ; elle crée une Agence nationale de protection des données rattachée au MITIC.	—	27 nov. 2025
Saint-Kitts-et-Nevis(à vérifier)	Amériques	Data Protection Act, 2018 (No. 5 of 2018)Loi publiée en juin 2018 mais jamais mise en vigueur, faute d'arrêté ministériel ; le contrôle reviendrait au commissaire à l'information.	—	7 juin 2018
Suriname(à vérifier)	Amériques	Ontwerp Wet Bescherming Privacy en PersoonsgegevensPas de loi générale ; un projet de loi inspiré du RGPD, créant un commissaire indépendant, figure depuis 2020 sur le site de l'Assemblée nationale, sans adoption connue.	—	2020
Trinité-et-Tobago(à vérifier)	Amériques	Data Protection Act, 2011 (Chap. 22:04)Loi seulement partiellement proclamée (2012, 2021) : les obligations des responsables de traitement et les sanctions ne sont pas en vigueur et aucun commissaire à l'information n'est nommé.	—	23 août 2021
Cambodge(à vérifier)	Asie	Projet de loi sur la protection des données personnellesProjet du ministère des Postes et Télécommunications, dernière consultation en juillet 2025, non adopté début 2026 ; seul un sous-décret de 2021 encadre les données d’identification du ministère de l’Intérieur.	—	juillet 2025
Inde(à vérifier)	Asie	Loi de 2023 sur la protection des données personnelles numériques (DPDP Act)Loi du 11 août 2023 ; règles notifiées le 13 novembre 2025 : Data Protection Board créé aussitôt (membres en cours de nomination en 2026), gestionnaires de consentement au 13 novembre 2026, obligations de fond au 13 mai 2027.	DPBI	13 nov. 2025
Pakistan(à vérifier)	Asie	Projet de loi sur la protection des données personnelles (2023)Projet du ministère des Technologies de l’information, toujours non adopté début 2026 ; la loi de 2016 sur la cybercriminalité (PECA), modifiée en 2025, sanctionne certains abus.	—	2023
Sri Lanka	Asie	Loi n° 9 de 2022 sur la protection des données personnelles, modifiée par la loi n° 22 de 2025 (PDPA)Seules les dispositions sur l’Autorité sont en vigueur ; la loi d’amendement d’octobre 2025 a supprimé le calendrier : les obligations de fond attendent un arrêté ministériel, non publié début 2026.	DPA	31 oct. 2025
Kiribati(à vérifier)	Océanie	Data Protection Act 2025Loi adoptée en 2025, la première du genre dans le pays ; elle entre en vigueur à une date fixée par le ministre, non confirmée, et confie le contrôle au Digital Transformation Office.	—	2025
Papouasie-Nouvelle-Guinée	Océanie	Data Governance and Data Protection Bill 2026 (projet)Pas de loi générale ; un projet de loi sur la gouvernance et la protection des données, issu de la politique nationale de 2024, est soumis à consultation publique en 2026.	—	2026
Tonga(à vérifier)	Océanie	Privacy Act 2025 (Act 34 of 2025)Loi adoptée le 6 août 2025 et sanctionnée le 16 décembre 2025 ; elle entrera en vigueur à une date proclamée par le Cabinet et créera une Commission de la vie privée, pas encore établie.	—	16 déc. 2025

Les pays sans loi générale

Ces pays n’ont pas de loi générale sur les données personnelles, même si des règles sectorielles (santé, banque, télécoms) peuvent s’y appliquer. Le cas le plus connu est celui des États-Unis : aucune loi fédérale générale, mais vingt-trois États dotés de leur propre loi générale, dont dix-neuf en vigueur, selon le recensement de l’IAPP de septembre 2026 (international · IAPP).

Pays	Continent	Loi (texte officiel)	Régulateur	Mise en place
Érythrée	Afrique	—Ni loi ni autorité de protection des données.	—	—
Guinée-Bissau	Afrique	—Ni loi générale ni autorité ; un projet de loi créant une agence de protection des données est en préparation.	—	—
Libye	Afrique	—Ni loi générale ni autorité ; seule la loi n° 6 de 2022 sur les transactions électroniques encadre partiellement les données personnelles.	—	—
Soudan	Afrique	—Ni loi générale ni autorité ; seuls des textes sectoriels (transactions électroniques de 2007, cybercriminalité) touchent aux données personnelles.	—	—
Soudan du Sud	Afrique	—Ni loi générale ni autorité ; un premier projet de loi a été annoncé en décembre 2025 pour 2026.	—	—
Dominique	Amériques	—Pas de loi générale de protection des données ; un cadre harmonisé est étudié au sein de l'Organisation des États de la Caraïbe orientale (OECO).	—	—
États-Unis	Amériques	—Pas de loi fédérale générale : selon l'IAPP (8 septembre 2026), 23 États ont adopté une loi générale, dont 19 en vigueur au 29 octobre 2026, et le niveau fédéral reste sectoriel (HIPAA pour la santé, COPPA pour les enfants, GLBA pour la finance). La FTC n'est pas une autorité de protection des données : elle sanctionne les pratiques déloyales ou trompeuses et applique COPPA ; les transferts depuis l'UE reposent sur le Data Privacy Framework (adéquation du 10 juillet 2023).	FTC	—
Haïti(à vérifier)	Amériques	—Pas de loi générale ni d'autorité : un arrêté de 2018 fixe des règles sur les données personnelles et le Code pénal de 2020, dont l'entrée en vigueur reste incertaine, réprime certaines atteintes.	—	—
Saint-Vincent-et-les-Grenadines(à vérifier)	Amériques	—Pas de loi générale : le Privacy Act 2003, limité aux autorités publiques, n'a jamais été mis en vigueur faute d'arrêté ministériel.	—	—
Venezuela	Amériques	—Pas de loi générale ni d'autorité : la Constitution de 1999 consacre l'habeas data et quelques lois sectorielles (délits informatiques, télécommunications) protègent certaines données.	—	—
Afghanistan	Asie	—Aucune loi générale de protection des données ni autorité de contrôle identifiée.	—	—
Bhoutan	Asie	—Pas de loi générale ; quelques dispositions sur la vie privée et les données dans la loi de 2018 sur l’information, les communications et les médias et dans la loi de 2023 sur l’identité numérique nationale.	—	—
Birmanie	Asie	—Pas de loi générale ni d’autorité ; protections éparses dans la loi de 2017 sur la vie privée et la sécurité des citoyens, la loi sur les télécommunications et la loi sur la cybersécurité de 2025.	—	—
Corée du Nord	Asie	—Aucune loi générale de protection des données ni autorité de contrôle ; la Constitution garantit seulement l’inviolabilité du domicile et le secret de la correspondance.	—	—
Irak	Asie	—Pas de loi générale de protection des données ni d’autorité dédiée ; la Constitution de 2005 protège la vie privée et des règles sectorielles s’appliquent.	—	—
Iran	Asie	—Pas de loi générale ; un projet de loi sur la protection des données (2018) n’a pas abouti ; dispositions éparses (commerce électronique, cybercriminalité).	—	—
Koweït	Asie	—Pas de loi générale ; le règlement de la CITRA sur la protection de la vie privée (décision n° 26 de 2024) s’impose aux prestataires télécoms et numériques.	—	—
Maldives(à vérifier)	Asie	—Pas de loi générale de protection des données ni d’autorité dédiée selon la carte de la CNIL (France, février 2026) ; la vie privée relève de la Constitution et de textes sectoriels.	—	—
Palestine	Asie	—Pas de loi générale de protection des données ni d’autorité ; le décret-loi n° 10 de 2018 sur la cybercriminalité contient des dispositions sur la vie privée.	—	—
Syrie(à vérifier)	Asie	—Pas de loi générale ni d’autorité dédiée identifiées ; la carte de la CNIL (France) classe pourtant le pays parmi ceux dotés d’une loi : point à confirmer.	—	—
Timor-Leste	Asie	—Pas de loi générale de protection des données ni d’autorité dédiée ; le pays est devenu membre de l’ASEAN en octobre 2025.	—	—
Yémen	Asie	—Aucune loi générale de protection des données ni autorité de contrôle identifiée.	—	—
Saint-Siège(à vérifier)	Europe	—Pas de loi générale : un règlement de 2024 (« ad experimentum » pour trois ans) ne couvre que les traitements du Gouvernorat, sans autorité de contrôle indépendante.	—	—
Fidji	Océanie	—Pas de loi générale ; une politique nationale de protection des données adoptée en 2025 doit déboucher sur une loi, préparée avec l'appui du Conseil de l'Europe.	—	—
Îles Marshall	Océanie	—Pas de loi générale de protection des données ni d'autorité de contrôle ; seules des dispositions sectorielles éparses s'appliquent.	—	—
Îles Salomon	Océanie	—Pas de loi générale de protection des données ni d'autorité de contrôle ; seules des dispositions sectorielles éparses s'appliquent.	—	—
Micronésie (États fédérés de)	Océanie	—Pas de loi générale de protection des données ni d'autorité de contrôle ; seules des dispositions sectorielles éparses s'appliquent.	—	—
Nauru	Océanie	—Pas de loi générale de protection des données ni d'autorité de contrôle ; seules des dispositions sectorielles éparses s'appliquent.	—	—
Palaos	Océanie	—Pas de loi générale de protection des données ni d'autorité de contrôle ; seules des dispositions sectorielles éparses s'appliquent.	—	—
Samoa	Océanie	—Pas de loi générale de protection des données ni d'autorité de contrôle ; seules des dispositions sectorielles éparses s'appliquent.	—	—
Tuvalu	Océanie	—Pas de loi générale de protection des données ni d'autorité de contrôle ; seules des dispositions sectorielles éparses s'appliquent.	—	—

Le vrai enjeu : la circulation des données, pas le texte

Les lois adoptées depuis 2018 reprennent souvent les mêmes briques que le RGPD : des bases légales pour chaque traitement, des droits pour les personnes, une autorité de contrôle, un encadrement des transferts. La convergence des textes est réelle. Elle ne crée pas, pour autant, la libre circulation.

Pour l’Union européenne, seule une décision d’adéquation permet de transférer des données vers un pays tiers sans autorisation ni garantie supplémentaire. Or, sur les quelque 140 pays dotés d’une loi hors de l’Espace économique européen, 16 pays ou territoires seulement sont reconnus adéquats, dont deux partiellement (le Canada et les États-Unis). Autrement dit, hors d’Europe, à peine plus d’un pays doté d’une loi sur dix offre un passage direct. Partout ailleurs, il faut des clauses contractuelles types, des règles d’entreprise contraignantes ou une dérogation, avec une analyse du droit du pays de destination.

Le mouvement est désormais réciproque. Le Brésil a reconnu l’Union adéquate le jour même où la Commission reconnaissait le Brésil (Brésil · ANPD). La Chine encadre la sortie des données par les voies prévues par la PIPL : évaluation de sécurité par le régulateur, certification ou contrat type. L’adéquation devient un accord à double sens, et chaque pays fixe ses propres conditions de sortie.

Trois points de vigilance

1. Une loi n’est pas un régulateur. Un texte peut exister sans autorité installée, sans moyens ou sans décret d’application. Avant de considérer un pays comme « couvert », vérifiez qu’une autorité est nommée, qu’elle publie des décisions et qu’elle sanctionne.

2. Les calendriers sont progressifs. En Inde, l’essentiel des obligations ne s’appliquera que le 13 mai 2027. La Convention 108+ attend encore quatre ratifications. Une loi « en vigueur » peut n’être qu’en partie applicable : notez la date de chaque obligation, pas seulement celle du texte.

3. Une adéquation peut tomber. Les décisions sont réexaminées : celle du Royaume-Uni a dû être renouvelée en 2025, celle de la Corée du Sud a passé son premier réexamen en juillet 2026. Pour les États-Unis, les deux cadres précédents ont été invalidés par la Cour de justice (UE · CJUE), en 2015 puis en 2020. Un flux fondé sur l’adéquation doit garder une solution de repli prête.

Ce que votre cartographie des transferts doit contenir

Pour chaque flux de données personnelles qui quitte un pays, une ligne de tableau suffit, à condition de remplir sept colonnes :

1. Les pays concernés, y compris ceux des sous-traitants ultérieurs et des accès à distance (support, maintenance), pas seulement les lieux d’hébergement.
2. Le statut de chaque pays : loi en vigueur, loi en préparation ou absence de loi, avec la date de la vérification.
3. L’autorité compétente de chaque pays, pour savoir qui notifier en cas de violation de données.
4. La base du transfert : adéquation, clauses contractuelles types, règles d’entreprise contraignantes ou dérogation, avec la référence du document signé.
5. Les règles de sortie du pays d’origine : évaluation, autorisation ou déclaration préalable exigée par la loi locale, en Chine ou en Côte d’Ivoire par exemple.
6. Les échéances des vingt-quatre prochains mois : entrée en application, fin de période transitoire, réexamen d’une adéquation.
7. Un plan de repli pour chaque flux critique : clauses de secours, hébergement alternatif et délai de bascule.

Avoir une loi ne suffit plus : ce qui compte, c’est où vos données ont le droit d’aller.

La question à poser lundi matin

À votre délégué à la protection des données et à votre DSI : « Pour chaque pays où nos données sont hébergées ou consultées, savons-nous quelle loi s’applique, quelle autorité est compétente, et sur quelle base nous y transférons ? »