Aucun pays africain n’a l’adéquation RGPD : ce que la Convention 108+ ne remplace pas

La réponse arrive presque toujours dans les mêmes termes. « Notre loi est alignée sur le RGPD, vous êtes couverts. » Elle est souvent sincère, parfois exacte sur le fond, et sans portée juridique.

Un transfert de données vers l’Afrique reste soumis au chapitre V du RGPD, qui ne connaît que trois voies : une décision d’adéquation, des garanties appropriées, ou une dérogation ponctuelle. Aucun pays africain n’occupe la première case aujourd’hui. Le donneur d’ordre reste responsable de son dossier, quel que soit le niveau de la législation locale.

Cet article compare sept destinations d’externalisation sur des critères vérifiables, explique pourquoi une convention internationale ratifiée ne remplace pas une décision européenne, et liste ce qu’il faut produire quel que soit le pays retenu. Il prolonge notre analyse des obligations d’un transfert hors Union européenne, qui pose le cadre général.

Ce que promettent les prestataires africains, et ce que cela vaut

L’argument commercial n’est pas mensonger. Le Data Protection Act mauricien de 2017 et la loi kényane de 2019 reprennent la structure du RGPD : bases légales, droits des personnes, analyse d’impact, notification des violations. Un juriste européen y retrouve son vocabulaire.

Le problème ne tient pas à la qualité du texte. Il tient à celui qui décide. Une décision d’adéquation est un acte de la Commission européenne, pris au titre de l’article 45 du RGPD, après avis du Comité européen de la protection des données et vote des États membres. Un État tiers ne peut pas se la délivrer lui-même, même en recopiant le règlement mot pour mot.

Le considérant 105 du RGPD précise que l’adhésion à la Convention 108 est prise en compte dans cette évaluation. Prise en compte, pas déterminante.

Ce qui bloque, en pratique, relève rarement du droit privé. La Commission examine l’indépendance réelle de l’autorité de contrôle, les recours ouverts aux personnes, et surtout l’accès des services de l’État aux données. C’est ce dernier point qui a fait tomber deux accords transatlantiques successifs.

Adéquation, Convention 108+, clauses types : trois choses différentes

Trois mécanismes circulent dans les argumentaires commerciaux, souvent mélangés. Ils n’ont ni la même nature, ni le même effet.

La décision d’adéquation est unilatérale et européenne. Elle supprime la formalité : le transfert devient possible sans garantie supplémentaire. La dernière a été adoptée le 26 janvier 2026 en faveur du Brésil, première à jouer dans les deux sens. Elle porte à dix-sept le nombre de décisions en vigueur, et aucune ne vise un pays africain.

La Convention 108+ est un traité du Conseil de l’Europe, ouvert à tout État du monde. Son entrée en vigueur suppose trente-huit ratifications. Au 15 mai 2026, la Moldavie est devenue le trente-quatrième État à la ratifier. Le compte n’y est pas, huit ans après l’ouverture à la signature.

Cinq États africains sont parties à la Convention 108 d’origine : le Cap-Vert, le Maroc, Maurice, le Sénégal et la Tunisie. Un seul, Maurice, a ratifié la version modernisée. Les quatre autres figuraient encore, en 2025, parmi les États qui ne l’avaient pas fait.

Les clauses contractuelles types sont un modèle de contrat adopté par la Commission le 4 juin 2021. Elles ne suppriment aucune formalité, elles la structurent. Le jeu annoncé pour les importateurs déjà soumis au RGPD par son article 3(2) n’était toujours pas adopté à la mi-2026.

Pourquoi la ratification d’une convention ne vaut pas décision d’adéquation

Une convention crée un engagement de l’État envers les autres États parties. Une décision de la Commission modifie le régime juridique d’un transfert précis, entre deux organismes précis. Le premier acte se discute entre diplomates, le second se contrôle sur pièces.

La conséquence tombe sur votre dossier de conformité. Un prestataire qui invoque la Convention 108+ décrit la politique de son pays, pas la conformité de votre traitement. En cas de contrôle, la CNIL demandera vos clauses, votre analyse et vos mesures. Elle ne demandera pas le texte du traité.

Sept pays comparés : loi locale, Convention 108+ et statut d’adéquation

Le tableau croise trois informations vérifiables au 9 septembre 2026 : la loi applicable et son autorité, la position de l’État vis-à-vis de la Convention 108+, et le statut d’adéquation. La dernière colonne indique ce que cela change dans le contrat.

Une colonne ne varie jamais. Aucun de ces sept pays ne bénéficie d’une décision d’adéquation, ce qui aligne le socle documentaire. Les écarts se logent ailleurs : dans les formalités locales et dans l’ancienneté de la pratique de contrôle.

Madagascar illustre la distance entre le texte et la pratique. La loi date de 2014, mais la Commission malgache de l’informatique et des libertés n’a prêté serment qu’en 2025 et instruit ses premiers dossiers depuis. Nous avons documenté le cas malgache et ses garanties de traçabilité dans une analyse dédiée.

Le Kenya vise septembre 2026, et cela ne réglerait pas tout

Le dialogue d’adéquation entre l’Union et le Kenya a été ouvert le 7 mai 2024, le premier du continent. En juin 2026 à Bruxelles, les deux parties ont annoncé la phase finale, et le président kényan a cité septembre 2026 comme échéance.

Une adéquation ne fonctionne que dans un seul sens. Elle autoriserait les flux de l’Union vers le Kenya sans garantie supplémentaire, sans toucher aux règles kényanes de sortie ni à l’obligation de conserver une copie de certaines données sur un serveur local. Un contrat signé avant la décision se relit, il ne se déchire pas.

Les trois documents à produire dans tous les cas

Le dossier tient en trois pièces. Elles se préparent avant la signature, pas au moment du contrôle.

• Clauses contractuelles types, modèle de 2021, module 2 ou 3 selon que le prestataire agit en sous-traitant ou en responsable conjoint. Le travail réel se trouve dans les annexes, celles que presque personne ne remplit.
• Analyse d’impact du transfert, qui évalue le droit local, en particulier les pouvoirs d’accès des autorités publiques, et ce que les clauses compensent réellement.
• Mesures supplémentaires, c’est-à-dire chiffrement, pseudonymisation, cloisonnement des accès et procédure documentée en cas de réquisition.

L’ordre compte. L’amende de 1,2 milliard d’euros infligée à Meta en mai 2023 ne sanctionnait pas l’absence de clauses, qui étaient signées. Elle sanctionnait le fait que ces clauses ne compensaient pas ce que la loi américaine autorisait.

La répartition des rôles est simple, et rarement écrite. L’exportateur, c’est-à-dire vous, rédige et conserve. Le prestataire fournit la matière : localisation des serveurs, sous-traitants ultérieurs, procédure interne en cas de demande d’une autorité.

En cas de contrôle, c’est vous qui présentez. Le contrat doit donc fixer un délai de réponse du prestataire et un droit d’audit, en cohérence avec le droit applicable et la juridiction compétente d’un contrat offshore et avec les clauses cyber imposées à la chaîne de sous-traitance.

Le flux inverse : ce que la loi locale exige à la sortie

Le RGPD encadre ce qui quitte l’Union. Les lois locales encadrent ce qui quitte leur pays. Ce second étage manque presque toujours dans les comparatifs de coût.

Au Maroc, un transfert vers un pays absent de la liste établie par la CNDP suppose une autorisation préalable, et le traitement concerné doit déjà avoir été déclaré. En Tunisie, l’Instance nationale reste seule compétente pour autoriser, même vers un pays qu’elle juge protecteur.

L’Égypte va plus loin. Le règlement d’application publié le 1er novembre 2025 impose une licence du Centre de protection des données avant tout traitement, avec une mise en conformité attendue pour le 1er novembre 2026. Un prestataire égyptien non licencié est un fournisseur en infraction chez lui.

La conséquence contractuelle est concrète. Une clause de réversibilité qui promet la restitution des données en trente jours ne vaut rien si l’autorité locale met quatre-vingt-dix jours à autoriser la sortie. Demandez qui obtient l’autorisation, sous quel délai, et ce qui se passe en cas de refus.

Transfert de données vers l’Afrique : ce qui change selon le pays choisi

Le socle ne bouge pas. Ce qui bouge, c’est la solidité de l’interlocuteur en face et le nombre de guichets à franchir.

Maurice offre le dossier le plus facile à défendre : loi de 2017 calquée sur le RGPD, autorité en place, et la seule ratification africaine de la Convention 108+. Le Kenya s’appuie sur une pratique de sanction réelle, avec un nombre de décisions qui a doublé en 2025, et sur un dialogue d’adéquation en phase finale.

Le Maroc et la Tunisie disposent d’autorités installées depuis plus de quinze ans, mais de lois antérieures au RGPD et d’une étape d’autorisation à la sortie. L’Égypte impose le régime le plus lourd, avec un calendrier daté.

Madagascar et le Sénégal posent une autre question. Le texte tient, la pratique de contrôle est jeune ou peu dotée, et vous n’aurez pas d’antériorité à opposer en cas de litige. Ce classement porte sur le dossier documentaire, pas sur la qualité de la prestation : il ne dispense pas de comparer des prestataires francophones sur des critères vérifiables.

La phrase de votre prestataire qui ne vous protège de rien

Une loi locale bien écrite protège les citoyens du pays concerné. Elle ne protège pas votre entreprise devant une autorité européenne. Les deux sujets n’ont pas de lien.

La question à poser en appel d’offres ne porte donc pas sur la législation. Elle porte sur trois documents et sur un nom : qui, chez le prestataire, répond en quarante-huit heures quand une autorité européenne pose une question ?

Reprenez vos trois derniers contrats offshore. Vérifiez si l’analyse d’impact du transfert existe ailleurs que dans un échange de courriels. Si elle n’existe nulle part, vous tenez votre premier chantier.

Sources et références

Cet article s’appuie notamment sur la décision d’exécution d’adéquation adoptée en faveur du Brésil le 26 janvier 2026, sur l’état des signatures et ratifications du protocole d’amendement à la Convention 108 publié par le Bureau des traités du Conseil de l’Europe, et sur l’annonce de la trente-quatrième ratification par la Moldavie. Le régime contractuel des transferts est repris de la présentation des clauses contractuelles types par la CNIL. Le calendrier kényan provient de l’ouverture du premier dialogue d’adéquation sur le continent africain annoncée par le Service européen pour l’action extérieure. L’état des parties africaines à la Convention 108 est repris de l’analyse de Graham Greenleaf sur la Convention 108+ publiée en 2026, et le calendrier égyptien de la mise en application du règlement égyptien de protection des données. Le décompte des décisions d’adéquation en vigueur suit le relevé publié par l’IAPP lors de la décision brésilienne.