Les États d'Afrique francophone numérisent à un rythme soutenu. État civil, administration fiscale, santé, marchés publics, identification des personnes : la plupart des grands registres de l'État sont en cours de dématérialisation. Ce mouvement est nécessaire. Il améliore la qualité du service, la traçabilité des opérations et la capacité de pilotage de l'action publique.
Une question accompagne chacun de ces projets et reçoit souvent une réponse tardive : où ces données sont-elles hébergées, sous quel droit, et qui en contrôle l'accès ? Elle est généralement traitée dans les spécifications techniques d'un marché, au moment du choix d'un prestataire. Ses implications dépassent pourtant largement le périmètre de la direction informatique.
Une décision souvent prise par défaut
Dans la pratique, le lieu d'hébergement des données publiques est fréquemment déterminé par l'offre du prestataire retenu, par les conditions générales d'un fournisseur de services en nuage ou par les contraintes d'un financement extérieur. La décision existe, mais personne ne l'a prise explicitement au niveau où elle aurait dû l'être.
Cette situation expose l'institution à plusieurs risques. Le premier est juridique : des données hébergées par un prestataire étranger peuvent relever de législations extraterritoriales, comme le CLOUD Act américain de 2018, qui permet aux autorités des États-Unis d'exiger l'accès à des données détenues par des entreprises soumises à leur juridiction, y compris lorsqu'elles sont stockées hors de leur territoire. Le deuxième tient à la réversibilité : sans clauses précises, récupérer ses données ou changer de prestataire peut se révéler long et coûteux. Le troisième concerne la continuité : en cas de litige commercial ou de tension entre États, l'accès à des registres essentiels peut être fragilisé.
Ce que dit déjà le cadre juridique
Les pays de la région ne partent pas de rien. Plusieurs se sont dotés de lois de protection des données personnelles et d'autorités de contrôle : le Sénégal dès 2008 avec la loi n° 2008-12, la Côte d'Ivoire avec la loi n° 2013-450. À l'échelle continentale, la Convention de l'Union africaine sur la cybersécurité et la protection des données à caractère personnel, adoptée à Malabo en 2014, est entrée en vigueur en 2023.
Ces textes protègent les données des personnes. Ils traitent plus rarement de la question propre à l'État : la classification des données publiques selon leur caractère stratégique, et les règles d'hébergement qui en découlent. Certains pays ont investi dans des infrastructures nationales, à l'image du centre de données national de Diamniadio au Sénégal, mis en service en 2021. L'infrastructure ne suffit pas pour autant : sans règle qui oriente les données vers l'hébergement adapté, chaque projet continue de trancher seul.
Les questions qu'un cadre institutionnel doit trancher
Un cadre de gouvernance des données publiques répond à cinq questions :
→ la classification : quelles données sont critiques pour la continuité de l'État, lesquelles sont sensibles, lesquelles peuvent être ouvertes ;
→ les règles d'hébergement associées à chaque catégorie : territoire, statut juridique de l'hébergeur, niveau de sécurité exigé ;
→ les clauses contractuelles minimales : droit applicable, réversibilité, localisation des sauvegardes, conditions d'accès des tiers ;→ l'instance responsable : qui fixe les règles, qui accorde les dérogations, qui contrôle leur application ;
→ les compétences internes : la capacité de l'administration à rédiger, négocier et contrôler les contrats avec les prestataires.
La dernière question est souvent sous-estimée. Un cadre ambitieux reste inopérant si l'administration ne dispose pas des profils capables de l'appliquer face à des fournisseurs internationaux expérimentés.
Allouer chaque donnée au bon hébergement
Le débat est parfois présenté comme un choix entre l'informatique en nuage des grands fournisseurs internationaux et les centres de données nationaux. Cette présentation est trompeuse. Les deux options ont leur utilité, et la plupart des États qui ont structuré leur politique combinent les deux.
Les grands fournisseurs offrent une résilience, une capacité et des services difficiles à reproduire localement. Les infrastructures nationales offrent la maîtrise juridique et la continuité. L'enjeu consiste à orienter chaque catégorie de données vers l'hébergement adapté à son niveau de criticité, selon des règles connues à l'avance plutôt que négociées projet par projet.
Construire le cadre avant la contrainte
De nombreuses institutions découvrent la nécessité d'un tel cadre au moment d'un incident de sécurité, d'une renégociation contractuelle ou d'une demande d'accès inattendue. C'est le moment le moins favorable : les marges de négociation sont réduites et les données sont déjà en place.
Le bon moment se situe en amont des grands projets de numérisation, lorsque les choix d'architecture restent ouverts. Un cadre établi à ce stade coûte peu. Il évite à l'État d'avoir à reprendre plus tard, sous contrainte, des décisions qu'il n'a jamais formellement prises.
Une question pour les décideurs publics
Pour les registres les plus sensibles de votre institution, sauriez-vous dire aujourd'hui où les données sont hébergées, sous quel droit, et selon quelle procédure vous pourriez les récupérer ? Si la réponse figure seulement dans un contrat de prestataire, le cadre de gouvernance reste à construire.
Sources
République du Sénégal, Loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel.
République de Côte d'Ivoire, Loi n° 2013-450 du 19 juin 2013 relative à la protection des données à caractère personnel.
Union africaine, Convention sur la cybersécurité et la protection des données à caractère personnel, Malabo, 2014.
États-Unis, Clarifying Lawful Overseas Use of Data Act (CLOUD Act), 2018.
