Protection des données :Éthiopie
- Vérifié le 15 oct. 2026
- ECA
Texte de référence
Personal Data Protection Proclamation
Proclamation n° 1321/2024
Autorité de contrôle
ECA, Ethiopian Communications Authority
Formalités
Enregistrement obligatoire auprès de l'ECA avant tout traitement (art. 33), une entrée par finalité de traitement (art. 33(2)). Certificat valable deux ans, renouvelable (art. 35(2)). Un refus doit être motivé et notifié par écrit sous 14 jours, avec possibilité de nouvelle demande (art. 34). Les changements aux informations enregistrées doivent être signalés (art. 36) ; l'enregistrement peut être annulé pour fausse déclaration ou manquement, après une mise en demeure de 21 jours (art. 38).
Délégué à la protection des données
Un délégué à la protection des données est obligatoire (art. 40(1)) si : le traitement est effectué par un organisme public (hors juridictions agissant dans leur fonction juridictionnelle) ; l'activité principale exige un suivi régulier et systématique à grande échelle ; ou elle implique un traitement à grande échelle de données sensibles. Ses coordonnées doivent être publiées et communiquées à l'ECA (art. 40(5)).
Notification d'une violation de données
Le responsable du traitement doit notifier l'ECA dans les 72 heures suivant la découverte d'une violation (art. 43(1) ; tout retard doit être motivé, art. 43(2)) ; le sous-traitant doit avertir le responsable sans délai indu (art. 43(3)). Il doit aussi informer la personne concernée dans les 72 heures (art. 44(1)), sauf si les données étaient rendues inintelligibles (chiffrement), si le risque élevé a depuis été écarté, ou si l'effort serait disproportionné — une communication publique équivalente étant alors requise (art. 44(3)).
Transferts hors du pays
Transferts hors d'Éthiopie encadrés par la loi : conditions précises non vérifiées dans cette passe de revue.
Données sensibles
Catégories de données sensibles soumises à des conditions renforcées ; leur traitement à grande échelle déclenche l'obligation de délégué (art. 40(1)).
Sanctions
Sanctions administratives (art. 60(2)) : amende jusqu'à 4 % du chiffre d'affaires mondial de l'exercice précédent pour les manquements commis par une institution, impliquant des données sensibles ou les données d'un mineur. Sanctions pénales (art. 64) par paliers : 1 à 3 ans d'emprisonnement et 60 000 à 100 000 birr pour défaut de notification de violation ou traitement illicite (64(1)) ; 3 à 5 ans et 100 000 à 200 000 birr pour atteinte aux droits de la personne concernée (64(2)) ; 5 à 10 ans et 200 000 à 600 000 birr pour ré-identification, vente ou transfert illicite de données (64(3)) ; jusqu'à 4 % du chiffre d'affaires mondial en cas de circonstances aggravantes (64(4)).
Éthiopie : votre checklist de conformité en 3 minutes.
Indiquez vos données et votre hébergement : CodeBox génère vos obligations et suit votre avancement, pays par pays.