Protection des données en Tunisie : le guide des fintechs

La protection des données en Tunisie repose encore sur une loi de 2004, antérieure aux smartphones, au cloud et à l'onboarding par reconnaissance faciale. Pour les fintechs, la situation est paradoxale : des règles strictes sur le papier, une autorité de contrôle quasi à l'arrêt ces dernières années, et une proposition de loi de 132 articles à l'étude au Parlement depuis 2025. Voici ce qui s'applique aujourd'hui et ce qui pourrait changer.

La loi de 2004 reste la référence

Le texte central est la loi organique n° 2004-63 du 27 juillet 2004 portant sur la protection des données à caractère personnel. Deux décrets du 27 novembre 2007 la complètent : le n° 2007-3003 sur le fonctionnement de l'instance nationale, et le n° 2007-3004 sur les procédures de déclaration et d'autorisation. La Constitution protège également les données personnelles, et la Tunisie a ratifié la Convention 108 du Conseil de l'Europe en 2017.

Le régulateur est l'Instance nationale de protection des données à caractère personnel (INPDP). Dans le modèle de 2004, la plupart des traitements doivent lui être déclarés au préalable, et certains exigent une autorisation.

Les obligations clés pour une fintech aujourd'hui

La loi n'a pas été pensée pour la finance numérique, mais plusieurs de ses règles touchent directement les modèles des fintechs.

La déclaration préalable

Traiter des données personnelles sans déclaration préalable est une infraction. Selon un guide pratique publié en 2024 par le cabinet Boussayen Knani & Associés, l'INPDP a transmis une trentaine de dossiers au parquet en juillet 2023 pour des traitements non déclarés.

Les transferts à l'étranger

C'est la règle la plus sensible pour les startups qui hébergent leurs données dans un cloud étranger ou les partagent avec des partenaires hors de Tunisie :

• Tout transfert de données personnelles à l'étranger exige une autorisation de l'INPDP (article 52), qui doit statuer dans un délai d'un mois.
• Le transfert n'est permis que vers des pays assurant un niveau de protection adéquat (article 51).
• Il est interdit s'il peut porter atteinte à la sécurité publique ou aux intérêts vitaux de la Tunisie (article 50).
• Un transfert non autorisé est passible d'un an d'emprisonnement et de 5 000 dinars d'amende (article 90).

Le consentement et les tiers

Les données ne peuvent être communiquées à des tiers sans le consentement exprès et écrit de la personne concernée (article 47), et l'obligation de confidentialité perdure après la fin du traitement.

Les règles sectorielles s'y ajoutent

Les régulateurs financiers renvoient désormais explicitement à la protection des données. Pour être agréée, une plateforme de crowdfunding en capital doit produire une autorisation de l'instance de protection des données. La circulaire de la BCT de septembre 2026 sur les établissements de paiement exige un consentement explicite au traitement des données lors de l'entrée en relation à distance (voir notre article sur l'e-KYC et la LBA/FT).

Une instance à l'arrêt

Le maillon faible, c'est l'application. Lors d'une audition parlementaire rapportée en février 2026 par Webdo, d'après l'agence TAP, le ministère de la Santé a indiqué que l'instance de protection des données ne fonctionnait plus depuis 2024, ce qui risquait de retarder les projets de recherche soumis à son autorisation. Les porteurs de la réforme décrivent une INPDP sans rôle effectif et un « vide » institutionnel.

Pour une fintech, le problème est concret : certaines obligations, comme l'autorisation de transfert à l'étranger, dépendent d'une autorité qui n'est peut-être pas en mesure de traiter les demandes. Mieux vaut documenter chaque démarche et conserver la preuve de sa bonne foi.

La proposition de loi : ce qu'elle prévoit

En juillet 2025, 17 députés ont déposé une proposition de loi organique sur la protection des données personnelles. Le texte compte 132 articles répartis en six chapitres et remplacerait entièrement la loi de 2004. Selon APA, allAfrica et Tunisie Numérique, il prévoit notamment :

• une nouvelle autorité indépendante, dotée de la personnalité juridique et de l'autonomie financière, dont les membres sont nommés pour un mandat unique de cinq ans ;
• des sanctions financières pouvant atteindre 200 000 dinars pour les violations graves, en plus de peines de prison ;
• un délégué à la protection des données (dans les organismes publics, selon APA) ;
• des analyses d'impact pour les traitements à haut risque et le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé ;
• quatre articles consacrés à l'intelligence artificielle, dans l'attente d'une loi spécifique ;
• une refonte des règles sur les transferts à l'étranger, un cadre pour les données de santé et la fin de l'autorisation préalable pour la plupart des caméras de surveillance.

Ses auteurs affirment s'aligner sur les standards internationaux, dont la réglementation européenne.

Où en est le texte ?

La commission des droits et libertés de l'ARP a tenu des auditions en février 2026, notamment avec les initiateurs du texte et le ministère de la Santé. Le 20 mai 2026, elle a discuté de l'élargissement de la liste des experts et associations à entendre. Nous n'avons trouvé aucune trace d'un vote en commission ou en plénière à la date d'octobre 2026 : le texte final pourrait donc différer du projet.

Ce que les fondateurs devraient faire dès maintenant

Attendre la nouvelle loi n'est pas une stratégie. Le plus sûr est de se conformer à la loi de 2004 tout en se préparant à un régime proche du RGPD :

• Cartographier ses données : ce qui est collecté, pourquoi, où c'est stocké, avec qui c'est partagé.
• Déposer les déclarations auprès de l'INPDP et en garder la preuve.
• Vérifier l'hébergement : si les données quittent la Tunisie, la loi actuelle exige une autorisation.
• Traiter la biométrie et le scoring de crédit comme des usages à haut risque : documenter la logique des décisions automatisées et prévoir une revue humaine. C'est central pour l'IA dans la banque et le crédit.
• Sécuriser les systèmes : dans les règles de la BCT, protection des données et cybersécurité se recoupent de plus en plus.

Les partenaires et investisseurs européens attendront de toute façon des pratiques proches du RGPD. Faire le travail maintenant facilitera la transition une fois la réforme adoptée.