Souveraineté numérique en Afrique : le point avec Léon Brandre

Aujourd'hui encore, une grande partie des données des entreprises africaines reste stockée à l'étranger, aux États-Unis, en Europe ou en Asie.

Lors de la première vague de numérisation, le choix était pragmatique : les géants du cloud apportaient des outils remarquables et immédiatement disponibles, à une époque où la souveraineté numérique n'était pas encore au cœur des débats.

Ce modèle touche pourtant ses limites. Entre l'adoption d'une législation sur la protection des données par 80 % des membres de l'Union africaine (44 pays) et la mise à jour des directives de la CEDEAO sous l'impulsion de la Convention de Malabo, la régulation impose désormais un nouveau paradigme : la souveraineté et la localisation des données sont devenues incontournables.

Plus d'une décennie après l'adoption la Loi de 2013 sur la protection des données en Côte d'Ivoire et la mise en place du régime déclaratif de l'ARTCI, quel bilan dressez-vous ?

« C'est une lourde tâche que vous m'assignez, que de me mettre à la place du régulateur, l'ARTCI. Mais je vais quand même essayer, à partir du point de départ qu'a été l'entrée en vigueur de la loi n° 2013-450 du 19 juin 2013 portant sur la protection des données à caractère personnel. Cette loi a eu le mérite historique de poser les fondations d'un cadre légal en la matière. Le travail de l'ARTCI et de tous les acteurs de l'écosystème du numérique a permis d'éveiller les consciences, notamment dans les secteurs fortement régulés comme la banque et les télécoms. Cependant, nous souffrons encore d'une approche trop formaliste : pour beaucoup d'organisations, la conformité se limite à un exercice administratif de dépôt de dossier auprès du régulateur, alors qu'elle doit être une démarche continuelle et perpétuelle.

Ce qui manque encore cruellement, c'est l'intégration de la culture "Privacy" au cœur des processus métiers (Privacy by Design). Chez de nombreux dirigeants, la protection des données est encore perçue comme un centre de coûts ou une contrainte juridique, et non comme un levier de confiance numérique et de performance commerciale. Le chantier actuel est de passer d'une conformité de papier à une conformité de culture et de pratique opérationnelle. Je fonde beaucoup d'espoirs sur l'entrée en vigueur très prochaine de l'Acte Additionnel sur la protection des données, que nous avons révisé entre 2024 et 2025 avec l'appui de la coopération allemande (GIZ), pour le compte de la Commission de la CEDEAO et de ses États membres. Sa transposition va créer une nouvelle culture de la conformité et donner aux acteurs de cet écosystème des outils résilients et opérationnels. »

Face à la multiplicité des cadres légaux, que recommandez-vous à un dirigeant ivoirien : se barricader derrière sa loi nationale, ou anticiper un standard régional harmonisé ?

« L'arbitrage que nous présentons à nos clients est pragmatique : l'étroitesse des marchés nationaux condamne les entreprises à l'ambition sous-régionale. Un dirigeant qui calque sa stratégie uniquement sur la loi nationale ivoirienne se crée des barrières pour son expansion future.

Nous leur conseillons donc de viser le "plus haut dénominateur commun". En adoptant dès aujourd'hui des standards alignés sur les meilleures pratiques régionales et internationales, comme l'Acte Additionnel révisé de la CEDEAO ou les principes du RGPD, l'entreprise ivoirienne s'achète une agilité stratégique. Elle se rend interopérable par défaut. La protection de la donnée ne doit pas être une frontière, mais un passeport pour le marché unique africain, dont la gouvernance du numérique sera la fondation. »

C'est précisément cette vision de marché unique que Hodi s'efforce de servir : un cloud panafricain présent sur une trentaine de pays et territoires, avec des services conformes aux lois nationales comme aux futurs cadres régionaux, hébergés dans des datacenters Tier III locaux.

Entre la Convention de Malabo et les initiatives de la CEDEAO, vers quelle trajectoire l'Afrique se dirige-t-elle à l'horizon 2030 ?

« Nous allons inéluctablement vers une convergence et une harmonisation en profondeur. La ratification progressive de la Convention de Malabo et le dynamisme des chantiers de la CEDEAO, auxquels notre cabinet est fier d'apporter sa contribution technique, tracent une trajectoire claire : la création d'un espace de confiance numérique unifié.

D'ici trois à cinq ans, nous verrons émerger des mécanismes de reconnaissance mutuelle entre les autorités de protection africaines, une forme de "comité africain de la protection des données", fondé sur l'Acte Additionnel révisé et sur la coopération déjà engagée entre ces autorités. Les sanctions deviendront plus homogènes et plus dissuasives. Les entreprises qui auront anticipé cette intégration régionale en feront un avantage, tandis que les retardataires subiront de plein fouet le coût d'une mise en conformité tardive et fragmentée. »

Le cloud africain 100 % souverain est-il une ambition réaliste ?

« Pour un cabinet comme le nôtre, confronté quotidiennement à la réalité de la gouvernance des données, le 100 % souverain est une illusion technique à court terme. On oublie systématiquement les couches inférieures de la chaîne de valeur. Avoir un datacenter sur le sol ivoirien est une excellente chose, mais qui fabrique les processeurs ? Qui maintient les systèmes d'exploitation ? Qui gère les câbles sous-marins ou les infrastructures de routage internationales ?

La souveraineté ne se décrète pas par une adresse IP à Abidjan. Elle se construit par la redondance des infrastructures, la maîtrise des codes sources et la contractualisation rigoureuse des dépendances technologiques. »

Hodi est une entreprise française, donc soumise au RGPD, tout en hébergeant les données de ses clients dans leur propre pays. Pour une entreprise ivoirienne dont les données ne quittent pas le territoire, qu'est-ce que cela change concrètement ?

« C'est une excellente question, car elle touche au cœur des enjeux actuels de la souveraineté numérique en Afrique de l'Ouest. Pour répondre directement : oui, cela change beaucoup de choses, et c'est globalement une excellente nouvelle pour l'entreprise ivoirienne, même si cela introduit un point de vigilance juridique précis. Il faut comprendre la situation à travers trois impacts majeurs.

D'abord, un renforcement immédiat de la sécurité et de la conformité ivoiriennes. Même si les données restent à Abidjan ou à Yamoussoukro, la loi ivoirienne de 2013 impose au responsable de traitement d'assurer la sécurité et la confidentialité des données collectées. En choisissant un opérateur soumis au RGPD, l'entreprise ivoirienne bénéficie par contrecoup de normes de cybersécurité parmi les plus strictes au monde : chiffrement, audits réguliers, isolation des données, obligation de notifier les failles. C'est un gage de sérénité qui l'aide à satisfaire aux exigences de l'ARTCI sans réinventer la roue.

Ensuite, l'absence de parcours du combattant sur le transfert de données. Puisque les serveurs physiques sont situés en Côte d'Ivoire, il n'y a pas de transfert transfrontalier. L'entreprise ivoirienne s'évite les démarches lourdes d'autorisation préalable auprès de l'ARTCI. On a donc le meilleur des deux mondes : la rigueur d'un contrat de sous-traitance européen, le Data Processing Agreement, appliqué à des données qui restent 100 % locales.

Enfin, le point d'attention, et c'est le seul bémol juridique : le risque d'extraterritorialité. L'opérateur étant une entité européenne, il reste soumis aux juridictions européennes. Si un juge européen lui ordonnait de transmettre des données, il se retrouverait pris entre le droit européen et la souveraineté ivoirienne. La précaution à prendre, lors de la signature du contrat, est d'y inscrire une clause claire : en cas de litige, l'opérateur informe le pays d'origine des données. »

Ce dernier point, Hodi l'assume complètement. Et il mérite d'être remis à sa place : ce n'est pas une faiblesse propre à notre modèle, c'est la condition de tout hébergeur relié à une juridiction, quelle qu'elle soit. Fin 2025, OVH s'est vu ordonner par une justice nord-américaine de transmettre des données pourtant stockées en Europe, au motif qu'il opérait commercialement sur le territoire de ce tribunal. OVH s'y est opposé, en s'appuyant précisément sur son droit national, qui interdit ce type de transmission hors des canaux d'entraide judiciaire. L'affaire est toujours pendante, mais elle dit l'essentiel : l'extraterritorialité concerne tout le monde, y compris les acteurs réputés les plus souverains, et c'est souvent l'ancrage juridique de l'hébergeur qui devient le rempart plutôt que la faille.

Deux maillons sont ici à distinguer : la résidence de la donnée, qui reste africaine, et la responsabilité juridique de l'opérateur, qui est européenne. Rien ne remonte en Europe, sauf le niveau d'exigence. Et la clause que suggère Léon Brandre, l'information du pays d'origine en cas de réquisition, a vocation à figurer noir sur blanc dans notre accord de traitement des données.

Pour conclure, quel est le défi prioritaire de l'Afrique : construire des datacenters, ou développer les compétences ?

« Investir dans des datacenters sans former les talents qui les exploitent et les gouvernent revient à construire des coffres-forts vides. Le véritable défi de l'Afrique n'est pas matériel, il est immatériel : c'est celui de la compétence, de l'expertise et de la culture de la donnée.

L'infrastructure est une commodité que l'on peut acheter ou louer. L'intelligence de la gouvernance, l'architecture de la donnée, la capacité à auditer la sécurité et à concevoir des politiques de confiance ne s'improvisent pas. Le Groupe DPSE milite pour que l'accent soit mis sur le capital humain de pointe. L'Afrique ne sera souveraine sur ses données que lorsqu'elle disposera d'une masse critique d'ingénieurs, de délégués à la protection des données, de juristes spécialisés et de dirigeants acculturés, capables de dicter leurs propres conditions. C'est notre cheval de bataille, et la raison même de la création du Groupe DPSE. »

C'est un postulat que l'équipe panafricaine de Hodi partage pleinement. À ce titre, Hodi accompagne les incubateurs et les startups early stage du continent à travers le programme Hodipulse, et travaille activement à la constitution d'un réseau d'experts cloud africains, avec un dispositif de badges et d'attestations, dans chacun des pays où l'entreprise opère.

On vous en dit plus bientôt.