Transférer des données hors du Nigeria

Une amende qui a rendu la règle concrète

En juillet 2025, le régulateur nigérian des données, la Nigeria Data Protection Commission (NDPC), inflige une amende de 766,2 millions de nairas à MultiChoice Nigeria. Parmi les motifs : des transferts illégaux de données d'abonnés hors du pays, sans protection suffisante ni consentement. BusinessDay revient en détail sur cette amende et sur les autres sanctions du régulateur dans son bilan.

Cette décision a changé la discussion. Faire sortir des données personnelles du Nigeria n'est plus un détail juridique. C'est un risque financier, et il concerne toute entreprise dont les serveurs, les sauvegardes ou les logiciels sont hébergés hors du pays.

La règle : les données ne sortent que protégées

Le Nigeria Data Protection Act (NDPA) a été promulgué le 12 juin 2023. KPMG explique ce que la loi a créé, à commencer par son régulateur, dans une note publiée le mois même. Il s'applique à toute organisation qui traite des données de personnes situées au Nigeria, y compris aux entreprises établies à l'étranger.

Son article 41 pose le principe. Des données personnelles ne peuvent quitter le Nigeria que si le destinataire offre un niveau de protection adéquat, ou si l'une des exceptions de l'article 43 s'applique. L'entreprise doit pouvoir dire sur quelle base repose chaque transfert.

Concrètement, la question dépasse l'envoi de fichiers à l'étranger. Quand une entreprise héberge sa base clients sur un serveur hors du Nigeria, ou utilise un logiciel qui stocke ses données à l'étranger, ces données sortent du pays. Les règles de transfert tiennent en quelques pages : lisez les articles 41 à 43 dans le texte intégral de la loi.

Ce que veut dire « protection adéquate »

L'article 42 de la loi définit une protection adéquate comme une protection substantiellement équivalente à la loi nigériane. La NDPC examine plusieurs points dans le pays de destination : les personnes y ont-elles des droits qu'elles peuvent faire valoir, les autorités publiques peuvent-elles accéder aux données, existe-t-il une loi efficace et un régulateur indépendant ?

La directive d'application de la NDPC (General Application and Implementation Directive, ou GAID), publiée en mars 2025, précise la méthode. Son article 45 renvoie à une annexe (Schedule 5) qui liste les critères d'évaluation d'un pays. Le cabinet lagosien The Trusted Advisors passe chaque critère en revue, avec les zones grises qui restent pour les entreprises.

Un point compte pour les entreprises : l'absence de décision ne signifie pas qu'un pays est adéquat. En juin 2026, la NDPC n'avait pas encore publié son instrument de transfert approuvé, note le même cabinet. Les entreprises doivent donc évaluer elles-mêmes le pays de destination, et le documenter.

Sans protection adéquate : six exceptions

Quand le pays de destination n'offre pas une protection adéquate, l'article 43 n'autorise le transfert que dans six cas :

• la personne a donné son consentement, après avoir été informée des risques ;
• le transfert est nécessaire à l'exécution d'un contrat avec elle ;
• il est fait dans son seul intérêt, et son consentement est impossible à obtenir en pratique ;
• il sert un intérêt public important ;
• il est nécessaire pour faire valoir ou défendre un droit en justice ;
• il protège les intérêts vitaux d'une personne incapable de consentir.

Ce sont des exceptions, pas une base habituelle. Héberger toute une base clients à l'étranger en s'appuyant sur une case cochée à l'inscription reste fragile : la personne doit avoir été informée des risques.

Qui est le plus exposé

La loi distingue des responsables et sous-traitants « d'importance majeure », en raison du volume ou de la valeur des données qu'ils traitent. Ils doivent s'enregistrer auprès de la NDPC. En janvier 2026, 38 677 l'avaient fait, selon BusinessDay.

Pour eux, l'amende maximale est de 10 millions de nairas ou 2 % du chiffre d'affaires brut de l'année précédente, le montant le plus élevé étant retenu (article 48). Pour les autres, c'est 2 millions de nairas ou 2 % du chiffre d'affaires. La NDPC tient compte de la gravité et de la durée du manquement, du nombre de personnes touchées et de la coopération de l'entreprise.

Banques et fintechs : une règle plus stricte au 1er janvier 2027

Le secteur financier fait face à une deuxième règle, en plus du NDPA. Une circulaire de la Banque centrale du Nigeria (CBN) impose que les données de transactions de paiement générées au Nigeria soient stockées et gérées au Nigeria, rapporte BusinessDay. L'échéance est fixée au 1er janvier 2027. Découvrez qui est concerné et les autres règles imposées aux acteurs du paiement.

Elle vise les banques, les institutions de microfinance, les opérateurs de mobile money, les sociétés de switching et les prestataires de paiement. Pour eux, la question n'est plus de justifier un transfert, mais de savoir où héberger sur place.

En parallèle, l'agence nationale des technologies de l'information (NITDA) a annoncé un registre public des fournisseurs cloud certifiés, prévu pour octobre 2026. BusinessDay explique comment fonctionnera ce registre et ce qu'il pourrait changer pour les banques qui choisissent un fournisseur cloud. Au 16 octobre 2026, nous n'avons pas trouvé de confirmation de sa publication.

Ce qu'il faut vérifier dès maintenant

1. Cartographiez où vivent vos données. Serveurs principaux, sauvegardes, messagerie, CRM, logiciel comptable : notez le pays où chacun stocke les données.
2. Consignez la base légale de chaque transfert. Protection adéquate dans le pays de destination, ou l'une des six exceptions. Sans cette trace, impossible de répondre à une demande de la NDPC.
3. Relisez vos contrats d'hébergement. Vérifiez où votre fournisseur stocke vos données et s'il peut les déplacer sans votre accord.
4. Si vous traitez des paiements, planifiez l'hébergement local maintenant. Migrer une base de données en décembre est bien plus risqué que la migrer au premier trimestre.
5. Vérifiez si vous êtes « d'importance majeure ». Si oui, l'enregistrement et l'audit de conformité annuel s'appliquent.

Ce que les entreprises attendent encore

La NDPC a les moyens de sanctionner. Ce que les entreprises attendent, c'est son premier instrument de transfert approuvé. Arrivera-t-il avant l'échéance de la CBN, le 1er janvier 2027 ?