TRW Insight / Bangladesh
Le Bangladesh a une loi générale sur les données personnelles depuis 2026. Sous-traitance à Dhaka, audits d'usines ou ventes en ligne : voici ce qui s'applique déjà, ce qui attend 2027 et comment articuler la loi avec le RGPD.
Protection des données au Bangladesh : ce que les entreprises francophones doivent savoir
La protection des données au Bangladesh repose désormais sur une loi générale : le Personal Data Protection Act 2026 (loi n° 63 de 2026), qui a remplacé l'ordonnance de 2025. Pour un groupe français qui sous-traite un service client à Dhaka, une marque belge qui audite ses usines de confection, un éditeur suisse qui y fait développer ses logiciels ou une plateforme canadienne qui vend à des clients bangladais, la question n'est plus de savoir s'il existe des règles, mais lesquelles s'appliquent déjà et lesquelles attendent encore un décret.
Ce guide, à jour au 24 octobre 2026, distingue ce qui est en vigueur de ce qui est différé, explique les bases légales, les droits des personnes, les transferts internationaux, la notification des violations et l'articulation avec le RGPD et la loi suisse.
Résumé : Le Personal Data Protection Act 2026 est réputé en vigueur depuis le 6 novembre 2025, à l'exception du délégué à la protection des données (article 23) et du régime des plaintes, amendes et indemnisations (articles 31 à 35), qui ne peuvent entrer en vigueur avant 2027. La loi a une portée extraterritoriale, repose sur le consentement et une liste fermée d'autres bases légales, encadre les transferts à l'étranger et confie le contrôle à la National Data Management Authority.
Point clé : Le Bangladesh ne bénéficie d'aucune décision d'adéquation de la Commission européenne et ne figure pas sur la liste suisse des États offrant un niveau de protection adéquat. Tout transfert de données personnelles depuis l'Union européenne ou la Suisse vers Dhaka exige donc des garanties appropriées, en pratique des clauses contractuelles types.
En bref
La loi
Personal Data Protection Act 2026, loi n° 63 de 2026, publiée le 10 avril 2026 et réputée en vigueur depuis le 6 novembre 2025.
Dispositions différées
Délégué à la protection des données, plaintes, amendes et indemnisations : pas avant 2027, sur notification du gouvernement.
Portée extraterritoriale
La loi vise aussi le traitement à l'étranger lié à l'offre de biens ou de services, ou au suivi, de personnes situées au Bangladesh.
Transferts
L'article 29 encadre les transferts à l'étranger et impose de notifier les transferts massifs d'identifiants et de données biométriques.
Autorité
La National Data Management Authority, créée par la loi n° 80 de 2026, contrôle l'application.
Sommaire
Protection des données au Bangladesh : le statut de la loi en 2026
Le Personal Data Protection Act 2026 porte la date du 10 avril 2026 et a été publié au Journal officiel extraordinaire ce jour-là.[1] [2] Son article 44 abroge l'ordonnance de 2025 sur la protection des données personnelles (n° 61 de 2025) et l'ordonnance modificative de février 2026 (n° 23 de 2026), tout en maintenant les actes accomplis sous leur empire.[1] [7] Toute référence à l'ordonnance doit donc être remplacée par la loi.
Une entrée en vigueur en deux temps
Selon l'article 1(3), la loi est réputée en vigueur depuis le 6 novembre 2025, sauf l'article 23 sur le délégué à la protection des données et les articles 31 à 35 sur les plaintes, les amendes administratives et l'indemnisation.[1] Elles attendent une notification, après un délai de dix-huit mois qui mène au plus tôt à mai ou à octobre 2027 selon le point de départ retenu ; aucune notification n'a été publiée.[1] Les amendes ne sont donc pas applicables aujourd'hui.
Qui est visé
La loi s'applique au traitement réalisé au Bangladesh, hors simple transit, et aux données de personnes de nationalité bangladaise ou qui y résident, y travaillent ou y séjournent.[1] Elle vise aussi le traitement réalisé à l'étranger lorsqu'il est lié à l'offre de biens ou de services à des personnes situées au Bangladesh, ou à leur suivi et à leur profilage.[1] Une plateforme française de commerce en ligne qui livre à Dhaka, ou un outil RH canadien utilisé par une filiale bangladaise, peut donc entrer dans le champ de la loi sans aucun établissement sur place.
Protection des données au Bangladesh : responsable, sous-traitant, données sensibles
La loi emploie son propre vocabulaire. Le data fiduciary correspond au responsable du traitement : il traite seul ou conjointement des données pour une finalité déterminée, ou autorise un tiers à le faire. Le processor, ou sous-traitant, traite les données pour son compte.[1] Ce sont des qualifications fonctionnelles : c'est la réalité des décisions qui compte, pas l'étiquette du contrat.
La catégorie des données sensibles est large : données génétiques et biométriques, appartenance ethnique, opinions politiques ou philosophiques, religion, appartenance syndicale, santé, orientation sexuelle, infractions et condamnations, et géolocalisation en temps réel.[1] L'enfant est la personne de moins de dix-huit ans.[1] Le statut de significant data fiduciary, aux obligations renforcées, sera défini par règlement.[1]
L'exemple des audits sociaux dans la confection
Les donneurs d'ordre européens collectent souvent, lors des audits d'usines, des listes de salariés, des copies de cartes d'identité nationales, des registres de pointage biométriques et des données de santé et de sécurité. Ce sont des données personnelles, souvent sensibles, et leur envoi massif à l'étranger peut déclencher l'obligation de notification de l'article 29.[1] Le contrat d'audit doit préciser qui est responsable, quelles données sont réellement nécessaires et sous quelle forme, anonymisée ou non, elles quittent le Bangladesh.
Bases légales et consentement
En matière de protection des données au Bangladesh, le consentement est le point de départ posé par l'article 5. Il doit être libre, spécifique, clair et révocable, et la personne doit être informée au préalable de la finalité, de la durée de conservation, des transferts et du moyen de retirer son consentement. La preuve d'un consentement valable pèse sur le responsable.[1]
L'article 5 admet d'autres bases : exécution d'un contrat ou mesures précontractuelles, constatation ou défense d'un droit en justice, intérêts vitaux, droits du travail et de la sécurité sociale, données rendues publiques par la personne. Les intérêts légitimes de l'article 5(3) forment toutefois une liste fermée, plus étroite que la mise en balance ouverte du RGPD.[1] [3] Un programme de conformité calqué sur le RGPD est un bon point de départ, mais il ne suffit pas.
Données sensibles et données des enfants
L'article 7 ajoute, pour les données sensibles, des conditions supplémentaires : consentement spécifique, contrat, obligations d'emploi et de sécurité sociale, soins de santé, obligation légale ou données rendues publiques.[1] Pour un enfant ou une personne incapable de consentir, l'article 9 exige le consentement d'un parent ou d'un représentant légal.[1]
Transparence, sécurité, conservation et sous-traitants
L'article 15 impose d'informer la personne des catégories de données, du mode de collecte, de la finalité, des transferts, de l'exercice de ses droits et de l'identité du responsable ; les formulaires restent à fixer par règlement.[1] La sécurité suit une logique de risque : mesures techniques et organisationnelles proportionnées au volume, à la sensibilité, au préjudice possible et au coût, avec pseudonymisation, chiffrement, résilience, restauration après incident et tests réguliers.[1]
Les données ne peuvent être conservées au-delà de la durée prévue pour la finalité, et l'article 19 impose de tenir un registre des traitements pendant au moins cinq ans.[1] [3] Le traitement réalisé par un sous-traitant est réputé fait par le responsable, qui répond de ses actes.[1] Pour un donneur d'ordre étranger qui confie des données à un prestataire de Dhaka, le contrat de sous-traitance doit donc couvrir à la fois les exigences du RGPD ou de la loi suisse et celles de la loi bangladaise.
Droits des personnes concernées
La loi qualifie les droits du chapitre III d'inaliénables : aucun contrat ni aucune mention d'information ne peut les écarter.[1] La personne exerce ses droits par demande écrite. Elle dispose d'un droit d'accès et de portabilité, qui couvre notamment les destinataires, la durée de conservation, les garanties en cas de transfert et la logique des décisions automatisées.[1]
Elle peut obtenir la rectification de données inexactes ; si le responsable modifie les données, il en informe la personne et les destinataires concernés dans les trente jours, et tout refus doit être motivé par écrit.[1] Elle peut retirer son consentement et obtenir l'effacement lorsque la finalité a disparu, que le consentement est retiré ou que le traitement est illicite, sous réserve d'exceptions.[1] Les délais de réponse seront fixés par règlement : ne promettez pas un délai que la loi ne prévoit pas encore.
Transferts internationaux : Bangladesh, Union européenne et Suisse
La protection des données au Bangladesh se joue largement sur les flux transfrontaliers, dans les deux sens.
Sortir des données du Bangladesh
L'article 29 permet au gouvernement de classer les données personnelles en catégories publique, interne, confidentielle ou restreinte. Une donnée classée peut être transférée à l'étranger avec le consentement de la personne, en exécution d'un contrat auquel elle est partie, ou, avec son consentement, pour ses affaires, ses études, son départ du pays ou son immigration.[1] Le transfert n'est possible que vers un lieu disposant des technologies de stockage que fixeront les règlements.[1] Les transferts massifs de numéros d'identité nationale, de passeport ou fiscaux, ou de données biométriques, génétiques ou pénales, doivent être notifiés à l'Autorité.[1] [3]
Envoyer des données vers le Bangladesh
Dans l'autre sens, le RGPD s'applique au transfert. La Commission européenne n'a adopté aucune décision d'adéquation pour le Bangladesh, si bien qu'un exportateur établi en France, en Belgique ou au Luxembourg doit recourir aux garanties de l'article 46 du RGPD, le plus souvent les clauses contractuelles types, accompagnées d'une évaluation de l'impact du transfert.[8] [9] En Suisse, le Bangladesh ne figure pas à l'annexe 1 de l'ordonnance sur la protection des données, qui liste les États au niveau adéquat ; des garanties appropriées sont donc requises.[10]
Le cas du prestataire de Dhaka
Un centre d'appels ou une équipe de développement de Dhaka qui traite les données de clients européens réalise un traitement au Bangladesh, donc dans le champ de la loi locale.[1] Les textes publiés ne disent pas clairement si le renvoi de ces données au donneur d'ordre étranger relève des conditions de l'article 29. En attendant les règlements, le contrat doit prévoir cette hypothèse : base de transfert, localisation des copies, accès à distance, et coopération en cas de demande de l'Autorité.
Violations de données et cybersécurité au Bangladesh
Lorsqu'une violation de données est susceptible de causer un préjudice important à la personne concernée, l'article 20 oblige le responsable à la notifier à l'Autorité, selon la forme, les modalités et le délai que fixeront les règlements.[1] Aucun délai chiffré ne figure dans la loi, et les règlements n'avaient pas été pris au 24 octobre 2026.[3] Une entreprise soumise au RGPD reste tenue, de son côté, par le délai de soixante-douze heures de l'article 33 du RGPD.[9]
Le Cyber Protection Act 2026 (loi n° 81 de 2026), réputé en vigueur depuis le 21 mai 2025, reprend l'ordonnance de 2025 et confirme l'abrogation du Cyber Security Act 2023.[4] Selon la clause de l'article 9(4), tout organisme public, privé ou autonome victime d'un incident cyber doit en informer sans délai le National CERT, joignable par le portail BGD e-GOV CIRT[6] ; les infrastructures d'information critiques ont en outre des obligations d'audit et de centre opérationnel de sécurité.[4] Les dirigeants directement liés à une infraction commise par une société sont réputés responsables, sauf à prouver leur ignorance ou leurs diligences.[4]
L'Autorité et le calendrier de mise en œuvre
La National Data Management Authority, établie par le National Data Management Act 2026 (loi n° 80 de 2026), est l'autorité de contrôle désignée par la loi.[5] Elle peut adresser des injonctions, exiger des informations, procéder à des contrôles sur place et suspendre la communication de données vers l'étranger.[1] Les projets de décrets et de règlements doivent être publiés en ligne et dans la presse pour consultation avant leur adoption.[1]
Les plafonds d'amende prévus, 25 lakh de takas pour certains manquements et 50 lakh pour un significant data fiduciary, relèvent des articles différés.[1] [3] Le gouvernement peut aussi instituer, par notification, une redevance sur les profits tirés de l'exploitation des données des citoyens bangladais.[3] Cette fenêtre doit servir à mettre en place la protection des données au Bangladesh avant l'arrivée des sanctions.
Se conformer à la protection des données au Bangladesh, étape par étape
La séquence suivante permet de bâtir un dispositif défendable sans inventer d'obligations que la loi ne prévoit pas encore.
Cartographier les données
Recensez personnes, catégories, finalités, systèmes, prestataires et lieux d'accès, en signalant données sensibles et identifiants.
Qualifier les rôles
Déterminez qui fixe les finalités, qui agit sur instruction et quelle entité vise des personnes au Bangladesh.
Documenter la base légale
Rattachez chaque finalité au consentement ou à une base de l'article 5, et conservez la preuve.
Revoir les mentions d'information
Adaptez les notices au droit bangladais au lieu de reprendre telles quelles celles du RGPD.
Encadrer les transferts
Signez des clauses contractuelles types côté européen et analysez l'article 29 côté bangladais.
Préparer les incidents
Prévoyez le signalement au National CERT, la notification à l'Autorité et le délai de 72 heures du RGPD.
Suivre les textes d'application
Surveillez les règlements, les désignations et la notification qui activera amendes et plaintes.
Ce qui s'applique aujourd'hui et ce qui attend
Sur téléphone, faites défiler le tableau horizontalement.
| Obligation | Fondement | Statut |
|---|---|---|
| Bases légales, droits, sécurité, conservation | Loi n° 63 de 2026 | En vigueur depuis le 6 novembre 2025 |
| Registre des traitements conservé cinq ans | Article 19 | En vigueur |
| Notification des violations à l'Autorité | Article 20 | Forme et délai attendus par règlement |
| Notification des transferts massifs d'identifiants | Article 29 | En vigueur |
| Délégué, plaintes, amendes, indemnisation | Articles 23 et 31 à 35 | Différés, pas avant 2027 |
| Signalement d'incident au National CERT | Cyber Protection Act 2026, article 9(4) | En vigueur |
| Transfert depuis l'UE ou la Suisse | RGPD, article 46 ; droit suisse | Garanties appropriées requises |
Pour aller plus loin, consultez nos analyses en anglais sur la loi bangladaise de 2026, la conformité au RGPD au Bangladesh et la conformité cyber, ainsi que notre guide pour faire des affaires au Bangladesh.
Questions fréquentes
Quelle loi régit la protection des données au Bangladesh ?
Oui. Le Personal Data Protection Act 2026 (loi n° 63 de 2026) a remplacé l'ordonnance de 2025 et son amendement de février 2026.[1]
Depuis quand la loi s'applique-t-elle ?
Elle est réputée en vigueur depuis le 6 novembre 2025, sauf l'article 23 et les articles 31 à 35, qui attendent une notification après un délai de dix-huit mois.[1]
Une société française sans filiale au Bangladesh peut-elle être concernée ?
Oui, si elle offre des biens ou des services à des personnes situées au Bangladesh ou les suit et les profile.[1]
Le consentement est-il toujours nécessaire ?
Peut-on transférer des données de l'Union européenne vers le Bangladesh ?
Et depuis la Suisse ?
Le Bangladesh ne figure pas sur la liste suisse des États au niveau de protection adéquat ; des garanties appropriées sont nécessaires.[10]
Faut-il notifier une violation de données ?
Oui, à l'Autorité, si elle risque de causer un préjudice important ; la forme et le délai seront fixés par règlement.[1]
Faut-il nommer un délégué à la protection des données dès maintenant ?
Non. L'article 23 vise les significant data fiduciaries et fait partie des dispositions différées.[1]
Quelles amendes sont prévues ?
Qui contrôle l'application de la loi ?
La National Data Management Authority, créée par le National Data Management Act 2026.[5]
Registre des sources
Sources juridiques et réglementaires primaires
Documents vérifiés le 24 octobre 2026. Vérifiez le texte officiel en vigueur avant de vous fonder sur une disposition.
- Personal Data Protection Act 2026 (Act No. 63 of 2026) — Laws of Bangladesh
- Bangladesh Government Press — Extraordinary Gazettes, April 2026 (Act No. 63 of 2026)
- Personal Data Protection Act 2026, Act 63 of 2026 (Bangla text, Bangladesh Code mirror)
- Cyber Protection Act 2026 (Act No. 81 of 2026) — Laws of Bangladesh
- National Data Management Act 2026 (Act No. 80 of 2026) — Laws of Bangladesh
- BGD e-GOV CIRT — Report an incident
- Bangladesh Gazette (extraordinary) — Personal Data Protection Ordinance 2025
- Commission européenne — Décisions d'adéquation
- Règlement (UE) 2016/679 (RGPD) — EUR-Lex
- Office fédéral de la justice — Reconnaissance par la Suisse des États garantissant un niveau de protection adéquat
Assistance TRW
De l’information à une prochaine étape concrète
TRW accompagne les entreprises françaises, belges, suisses et canadiennes dans la cartographie de leurs traitements au Bangladesh, les contrats de sous-traitance et de transfert, la gestion des incidents et le suivi des textes d'application. Découvrez notre pratique protection des données et vie privée, réservez une consultation ou contactez nos avocats à Dhaka.