Chaque pays africain a sa propre loi sur la protection des données. 54 pays, 54 règles. Voici le guide de survie pour les CTOs qui déploient en Afrique.
Les lois qui comptent
Nigeria — NDPR (2019) : Les données personnelles doivent être stockées au Nigeria, sauf consentement explicite. Amendes jusqu'à 10 million NGN (~6 000€) ou 2% du chiffre d'affaires.
Afrique du Sud — POPIA (2021) : Inspirée du RGPD. Responsabilité de traitement, droits des sujets, notification de breach. Amendes jusqu'à 10 million ZAR (~500 000€) ou 1% du CA.
Kenya — Data Protection Act (2019) : Données stockées au Kenya sauf exemption. Amendes jusqu'à 5 million KES (~30 000€) ou 1% du CA.
Maroc — Loi 09-08 (2009) : Déclaration préalable à la CNDP. Données sensibles avec autorisation. Amendes jusqu'à 100 000 MAD.
Tunisie — Loi 63-2004 (2004) : Déclaration à l'INPDP. Données personnelles protégées. Amendes jusqu'à 50 000 TND.
Égypte — Personal Data Protection Law (2020) : Données stockées en Égypte. Licence requise pour le transfert transfrontalier.
Le défi de l'architecture multi-juridiction
Si vous déployez dans 10 pays africains, vous devez potentiellement 10 instances de votre base de données — une par pays. C'est coûteux et complexe. Mais c'est la loi.
La solution : une architecture multi-région avec réplication sélective. Les données personnelles restent dans le pays d'origine. Les données agrégées et anonymisées peuvent être centralisées.
L'anonymisation comme arme
Les données anonymisées ne sont plus des données personnelles — elles ne sont plus soumises aux lois de protection. Si vous pouvez anonymiser vos données avant de les centraliser, vous contournez le problème de residency.
Mais attention : l'anonymisation doit être irréversible. La pseudo-anonymisation (remplacer le nom par un ID) n'est pas de l'anonymisation — l'ID peut être réidentifié.
Le coût de la non-conformité
Au-delà des amendes, il y a le coût réputationnel. Un breach de données en Afrique peut détruire la confiance des utilisateurs — et dans des marchés émergents, la confiance est tout. Les entreprises qui respectent la residency gagnent la confiance. Les autres la perdent.
Le guide pratique
1. Cartographier les données personnelles que vous collectez. 2. Identifier le pays d'origine de chaque utilisateur. 3. Stocker les données dans le pays d'origine. 4. Anonymiser avant centralisation. 5. Documenter chaque décision. 6. Nommer un DPO par juridiction si nécessaire.
La conformité n'est pas optionnelle. Elle est le prix d'entrée du marché africain.
Et vous ?
Vous déployez en Afrique sans connaître les lois locales ? Aprilium cartographie vos obligations de residency par pays et conçoit une architecture conforme.
Cartographier mes obligations