La CEDEAO révise son acte additionnel sur la protection des données : ce que le nouveau texte devrait changer

Réunie à Lungi, en Sierra Leone, le 19 juillet 2026, la soixante-neuvième session ordinaire de la Conférence des chefs d'État et de gouvernement de la CEDEAO a adopté la révision de l'acte additionnel relatif à la protection des données à caractère personnel dans l'espace communautaire, sur recommandation du Conseil des ministres. Le communiqué final de la session (paragraphe 33) mentionne également l'adoption, par le Conseil, d'une série d'instruments régionaux portant sur les données ouvertes, les communications électroniques, la gouvernance numérique, l'itinérance et la cybersécurité, ainsi que la création d'un mécanisme régional de coordination en matière de cybersécurité.

Seize ans après l'acte additionnel A/SA.1/01/10, signé à Abuja le 16 février 2010 par les quinze États membres d'alors, l'Afrique de l'Ouest se dote d'un cadre refondu — dans une Communauté qui n'en compte plus que douze depuis le retrait du Burkina Faso, du Mali et du Niger. À la date de publication de cet article, le texte adopté n'a pas encore été diffusé : sa parution au Journal officiel de la Communauté est vivement attendue, car elle conditionne à la fois son entrée en vigueur et la lecture définitive de ses dispositions. L'analyse qui suit repose donc sur le projet de révision préparé par la Commission de la CEDEAO, soumis aux consultations régionales — les arbitrages finaux pouvant s'en écarter sur certains points.

Pourquoi le texte de 2010 ne suffisait plus

L'acte additionnel de 2010 a joué un rôle fondateur : il a imposé aux États membres de se doter d'une législation et d'une autorité de protection indépendante, et il a servi de matrice à la plupart des lois nationales adoptées depuis dans la région. Mais il a été conçu avant la généralisation de la monnaie mobile, avant les plateformes d'identité biométrique, avant l'informatique en nuage et bien avant l'IA générative. Il ignorait l'analyse d'impact, le registre des traitements, la notification des violations, le délégué à la protection des données et la portabilité.

Surtout, il souffrait d'un défaut d'effectivité : des obligations sans mécanisme régional de coordination, et des autorités nationales aux moyens très inégaux. Le projet de révision annonce d'ailleurs franchement son ambition : proposer une réglementation « actualisée, renforcée, stricte et contraignante », assortie de la création d'un organe de contrôle sous-régional.

Les changements significatifs prévus par le projet

Un champ d'application qui suit la donnée, pas l'établissement

Le texte s'appliquerait aux traitements mis en œuvre par un responsable ou un sous-traitant non établi dans la Communauté, dès lors qu'ils visent des personnes situées sur le territoire de la CEDEAO — offre de biens ou de services, ou suivi de leur comportement. C'est le principe d'extraterritorialité qui a fait la force du RGPD, transposé à l'échelle ouest-africaine. Les plateformes étrangères qui ciblent les marchés de la région entreraient ainsi dans le champ du droit communautaire.

Des principes explicitement énumérés

Finalité, licéité, proportionnalité et minimisation, durée de conservation, exactitude, transparence, confidentialité et sécurité : chaque principe fait l'objet d'un article dédié. Le consentement est redéfini de manière exigeante — libre, spécifique, éclairé et univoque, distinct pour chaque finalité, aussi facile à retirer qu'à donner. Le traitement des données de mineurs dans les services en ligne exigerait le consentement du titulaire de l'autorité parentale, chaque État fixant un âge minimal.

Les droits des personnes : une nouveauté, deux consolidations

Il faut ici se garder d'un raccourci fréquent. L'acte de 2010 n'ignorait pas l'effacement : son article 41, intitulé « droit de rectification et de destruction », permettait déjà à la personne concernée d'obtenir la rectification, le complément, la mise à jour, le verrouillage ou la destruction de données inexactes, incomplètes, équivoques, périmées ou dont la collecte était interdite ; l'article 38 imposait par ailleurs d'informer la personne de la possibilité de demander sa radiation du fichier. Le droit à l'effacement n'est donc pas créé par la révision : il est restructuré et considérablement élargi.

Ce qui change tient à trois choses. D'abord, l'effacement cesse d'être adossé au seul défaut de qualité des données : il devient exigible dès lors que les données ne sont plus nécessaires, que le consentement est retiré, que l'opposition prospère ou que le traitement est illicite. Ensuite apparaît la dimension d'oubli numérique proprement dite — l'obligation, pour le responsable ayant rendu les données publiques, de prendre des mesures raisonnables pour informer les autres responsables de la demande d'effacement, y compris des liens, copies et reproductions. Enfin, des exceptions expresses sont posées : liberté d'expression et d'information, obligation légale, santé publique, archivage et recherche, défense d'un droit en justice. Le droit à la limitation du traitement suit une logique voisine : il autonomise, en le structurant, le verrouillage que connaissait déjà l'article 41.

La véritable nouveauté est ailleurs : c'est le droit à la portabilité. Recevoir ses données dans un format structuré, couramment utilisé et lisible par machine, et les faire transmettre directement d'un responsable à un autre lorsque c'est techniquement possible : rien de tel n'existait en 2010. Pour les opérateurs de télécommunications, les banques et les acteurs de la finance numérique, c'est une contrainte d'architecture autant que de conformité.

Du formalisme à la responsabilisation documentée

Le régime des formalités préalables serait recentré sur l'autorisation pour une liste de traitements sensibles : données génétiques et de santé, données d'infractions, interconnexion de fichiers, numéro d'identification national, biométrie, profilage et analyse comportementale. S'y ajoutent deux outils de conformité continue : le registre des activités de traitement et l'analyse d'impact préalable pour tout traitement susceptible d'engendrer un risque élevé — évaluation systématique fondée sur un traitement automatisé, traitement à grande échelle de données sensibles, surveillance systématique d'une zone accessible au public.

Profilage : une préoccupation ancienne, un régime nouveau

Là encore, la continuité mérite d'être soulignée. L'article 35 de l'acte de 2010 traitait déjà la question : aucune décision de justice impliquant une appréciation du comportement d'une personne ne pouvait se fonder sur un traitement automatisé destiné à évaluer certains aspects de sa personnalité, et aucune décision produisant des effets juridiques ne pouvait reposer sur le seul traitement automatisé visant à définir le profil de l'intéressé. Le profilage n'est donc pas une découverte de 2026.

Ce qui est nouveau, c'est le déplacement du curseur : de l'interdiction ponctuelle d'une décision, on passe à l'encadrement du traitement lui-même. Le profilage reçoit une définition autonome, entre dans la liste des traitements soumis à autorisation préalable et déclenche l'obligation d'analyse d'impact. S'y ajoute une disposition sans équivalent : les traitements mis en œuvre au moyen de technologies avancées et innovantes, ayant le potentiel de réaliser des traitements automatisés massifs et à grande échelle, seraient soumis à autorisation préalable de l'autorité de protection. Formulation volontairement large, qui vise sans la nommer l'exploitation de données à des fins d'entraînement ou d'inférence par des systèmes d'intelligence artificielle.

Notification des violations en 72 heures

Obligation absente du texte de 2010, la notification à l'autorité de protection interviendrait dans les meilleurs délais et, si possible, au plus tard 72 heures après la prise de connaissance, avec description de la nature et des conséquences probables de la violation, du nombre approximatif de personnes et d'enregistrements concernés, et des mesures correctrices. En cas de risque élevé, la personne concernée devrait elle-même être informée. Le sous-traitant serait tenu d'alerter le responsable dans le même délai.

Le délégué à la protection des données, consacré et protégé

Ses missions seraient définies avec précision — informer et conseiller, veiller à la conformité, sensibiliser et former le personnel, servir de point de contact pour l'autorité comme pour les personnes concernées — et assorties d'une garantie d'indépendance : il n'aurait à recevoir aucune instruction dans l'exercice de ses fonctions, devrait être associé en temps utile à toutes les questions relatives à la protection des données et bénéficier d'une actualisation régulière de ses compétences.

Des sanctions à hauteur du risque

Là où l'acte de 2010 renvoyait largement aux droits nationaux, le projet fixe un plafond communautaire : après avertissement, mise en demeure, interruption du traitement, verrouillage des données ou interdiction, l'autorité pourrait prononcer, au terme d'une procédure contradictoire, une amende pouvant atteindre 5 % du chiffre d'affaires annuel hors taxes. Neuf critères de modulation sont prévus : gravité et durée du manquement, caractère délibéré ou négligent, mesures d'atténuation, degré de coopération avec l'autorité, antécédents, catégories de données affectées, avantages financiers retirés.

Transferts : liberté à l'intérieur, encadrement à l'extérieur

Les flux transfrontaliers à l'intérieur de l'espace CEDEAO seraient libres, sous la responsabilité pleine et entière du responsable de traitement quant aux mesures de sécurité. Vers un pays tiers, le transfert supposerait que celui-ci dispose d'une loi de protection et d'une autorité de contrôle ; à défaut, le responsable devrait démontrer un niveau de protection adéquat et informer préalablement son autorité nationale. La Commission de la CEDEAO, sur proposition du réseau régional, arrêterait les règles précises : liste de pays adéquats, clauses contractuelles types, codes de conduite.

Une architecture régionale de contrôle

C'est le cœur du changement institutionnel. Le projet crée un réseau ouest-africain des autorités de protection des données (WADPAN) réunissant toutes les autorités nationales : coordination, harmonisation des politiques, élaboration de lignes directrices et de modèles de garanties pour les transferts, enquêtes et audits, rapport annuel à la Commission, réunions semestrielles, actions conjointes et délai d'un mois pour répondre aux demandes d'entraide. Une seconde structure, l'autorité ouest-africaine de protection des données, serait chargée de la protection de la vie privée au sein des institutions communautaires elles-mêmes.

« La diffusion du texte adopté est vivement attendue : elle est susceptible de modifier en profondeur la conduite de la conformité et de la protection des données dans les États membres, du niveau des sanctions encourues jusqu'à l'organisation même des contrôles. »

Le calendrier : ce qui reste à venir

Le projet prévoit une publication au Journal officiel de la Communauté dans les trente jours suivant la signature par la Conférence des chefs d'État et de gouvernement, puis une publication par chaque État membre dans son propre journal officiel trente jours après notification. L'entrée en vigueur interviendrait dès ces publications, l'acte étant annexé au Traité révisé de la CEDEAO dont il ferait partie intégrante. Chaque État disposerait ensuite de trois ans au plus pour prendre les mesures nécessaires dans son droit interne et en assurer l'application effective.

Pour chaque État membre, cela signifie une revue de sa loi nationale à l'aune du nouveau socle communautaire : périmètre des formalités préalables, introduction de la portabilité et refonte du régime de l'effacement, procédure de notification des violations, pouvoirs, indépendance et moyens de l'autorité de protection, articulation avec le futur réseau régional. Le calendrier vaut aussi pour les États qui ont quitté la Communauté : leurs opérateurs continueront de traiter des données de personnes situées dans l'espace CEDEAO et, à ce titre, entreront dans le champ du texte au même titre que n'importe quel acteur établi hors de la région.

Ce qu'une organisation peut faire dès maintenant

Sans attendre la publication, quatre chantiers sont sans regret : ils découlent déjà, sous une forme ou une autre, des législations nationales en vigueur dans la région, et constitueront demain la base du socle communautaire.

• Tenir un inventaire à jour de vos traitements : c'est le préalable du registre comme de toute analyse d'impact.
• Écrire votre procédure de violation de données et la tester : le délai de 72 heures ne se découvre pas le jour de l'incident.
• Auditer vos flux vers l'étranger : hébergement, outils SaaS, maisons mères, prestataires d'analyse — et documenter les garanties.
• Désigner et former un correspondant à la protection des données, en anticipant l'exigence d'indépendance et de compétence actualisée.