La CEDEAO révise son acte additionnel sur la protection des données : ce que le nouveau texte devrait changer

Réunie à Lungi, en Sierra Leone, le 19 juillet 2026, la soixante-neuvième session ordinaire de la Conférence des chefs d’État et de gouvernement de la CEDEAO a adopté la révision de l’acte additionnel relatif à la protection des données à caractère personnel dans l’espace communautaire, sur recommandation du Conseil des ministres. Le communiqué final (paragraphe 33) mentionne aussi des instruments régionaux sur les données ouvertes, les communications électroniques, la gouvernance numérique, l’itinérance et la cybersécurité, et la création d’un mécanisme régional de coordination en cybersécurité.

Seize ans après l’acte additionnel A/SA.1/01/10, signé à Abuja le 16 février 2010 par les quinze États membres d’alors, l’Afrique de l’Ouest se dote d’un cadre refondu, dans une Communauté qui n’en compte plus que douze depuis le retrait du Burkina Faso, du Mali et du Niger. À ce jour, le texte adopté n’a pas été diffusé : sa parution au Journal officiel de la Communauté est vivement attendue, car elle conditionne son entrée en vigueur et la lecture définitive de ses dispositions. L’analyse qui suit repose donc sur le projet de révision de la Commission de la CEDEAO ; les arbitrages finaux peuvent s’en écarter.

Pourquoi le texte de 2010 ne suffisait plus

L’acte de 2010 a joué un rôle fondateur : il a imposé aux États membres de se doter d’une législation et d’une autorité de protection indépendante, et il a servi de matrice à la plupart des lois nationales adoptées depuis. Mais il précède la monnaie mobile généralisée, l’identité biométrique, l’informatique en nuage et l’IA générative. Il ignore l’analyse d’impact, le registre des traitements, la notification des violations, le délégué à la protection des données et la portabilité.

Il souffrait surtout d’un défaut d’effectivité : des obligations sans coordination régionale, des autorités nationales aux moyens très inégaux. D’où l’ambition affichée du projet : une réglementation « actualisée, renforcée, stricte et contraignante », assortie d’un organe de contrôle sous-régional.

Les changements significatifs prévus par le projet

Un champ d’application qui suit la donnée, pas l’établissement

Le texte s’appliquerait aux traitements d’un responsable ou d’un sous-traitant non établi dans la Communauté, dès lors qu’ils visent des personnes situées dans l’espace CEDEAO : offre de biens ou de services, suivi du comportement. C’est l’extraterritorialité qui a fait la force du RGPD, transposée à l’échelle ouest-africaine : les plateformes étrangères qui ciblent les marchés de la région entreraient dans le champ du droit communautaire.

Des principes explicitement énumérés

Finalité, licéité, minimisation, durée de conservation, exactitude, transparence, confidentialité et sécurité : chaque principe reçoit un article dédié. Le consentement est redéfini de manière exigeante : libre, spécifique, éclairé, univoque, distinct pour chaque finalité, aussi facile à retirer qu’à donner. Dans les services en ligne, le traitement des données de mineurs exigerait le consentement du titulaire de l’autorité parentale, chaque État fixant un âge minimal.

Les droits des personnes : une nouveauté, deux consolidations

Gardons-nous d’un raccourci fréquent. L’acte de 2010 n’ignorait pas l’effacement : son article 41, « droit de rectification et de destruction », permettait déjà d’obtenir la rectification, la mise à jour, le verrouillage ou la destruction de données inexactes, incomplètes ou périmées. La révision ne crée donc pas ce droit : elle le restructure et l’élargit.

L’élargissement porte sur trois points. L’effacement devient exigible dès que les données ne sont plus nécessaires, que le consentement est retiré, que l’opposition prospère ou que le traitement est illicite. Apparaît l’oubli numérique : le responsable ayant rendu les données publiques doit informer les autres responsables, liens et copies compris. Des exceptions sont enfin posées, de la liberté d’expression à la défense d’un droit en justice. Le droit à la limitation autonomise, lui, le verrouillage de l’article 41.

La véritable nouveauté est ailleurs : le droit à la portabilité. Recevoir ses données dans un format structuré, couramment utilisé et lisible par machine, et les faire transmettre d’un responsable à un autre : rien de tel en 2010. Pour les opérateurs de télécommunications, les banques et la finance numérique, c’est une contrainte d’architecture autant que de conformité.

Du formalisme à la responsabilisation documentée

Le régime des formalités préalables serait recentré sur l’autorisation, pour une liste de traitements sensibles : données génétiques et de santé, données d’infractions, interconnexion de fichiers, numéro d’identification national, biométrie, profilage. S’y ajoutent deux outils de conformité continue : le registre des activités de traitement et l’analyse d’impact préalable dès qu’un traitement peut engendrer un risque élevé.

Profilage : une préoccupation ancienne, un régime nouveau

Là encore, la continuité s’impose. L’article 35 de l’acte de 2010 interdisait déjà qu’une décision de justice appréciant le comportement d’une personne, ou toute décision produisant des effets juridiques, repose sur le seul traitement automatisé visant à définir son profil. Ce qui change, c’est le curseur : de l’interdiction ponctuelle d’une décision, on passe à l’encadrement du traitement. Le profilage reçoit une définition autonome, entre dans la liste des traitements soumis à autorisation préalable et déclenche l’analyse d’impact. S’y ajoute une disposition sans équivalent : les technologies avancées et innovantes, capables de traitements automatisés massifs, seraient elles aussi soumises à autorisation. Formulation large, qui vise sans la nommer l’exploitation de données par des systèmes d’intelligence artificielle.

Notification des violations en 72 heures

Absente en 2010, la notification à l’autorité interviendrait dans les meilleurs délais et, si possible, au plus tard 72 heures après la prise de connaissance : nature et conséquences probables de la violation, nombre approximatif de personnes et d’enregistrements concernés, mesures correctrices. En cas de risque élevé, la personne concernée serait elle-même informée ; le sous-traitant alerterait le responsable dans le même délai.

Le délégué à la protection des données, consacré et protégé

Ses missions seraient précisément définies (informer et conseiller, veiller à la conformité, former le personnel, servir de point de contact pour l’autorité comme pour les personnes concernées) et assorties d’une garantie d’indépendance : aucune instruction dans l’exercice de ses fonctions, une association en temps utile, une actualisation régulière de ses compétences.

Des sanctions à hauteur du risque

Là où l’acte de 2010 renvoyait aux droits nationaux, le projet fixe un plafond communautaire. Après avertissement, mise en demeure, interruption, verrouillage ou interdiction, l’autorité pourrait prononcer, au terme d’une procédure contradictoire, une amende pouvant atteindre 5 % du chiffre d’affaires annuel hors taxes, modulée selon neuf critères, de la gravité du manquement au degré de coopération.

Transferts : liberté à l’intérieur, encadrement à l’extérieur

Les flux à l’intérieur de l’espace CEDEAO seraient libres, le responsable de traitement demeurant pleinement tenu des mesures de sécurité. Vers un pays tiers, le transfert supposerait que celui-ci dispose d’une loi de protection et d’une autorité de contrôle ; à défaut, le responsable devrait démontrer un niveau de protection adéquat et informer préalablement son autorité. La Commission arrêterait les règles : liste de pays adéquats, clauses contractuelles types, codes de conduite.

Une architecture régionale de contrôle

C’est le cœur du changement institutionnel. Le projet crée un réseau ouest-africain des autorités de protection des données (WADPAN) : harmonisation des politiques, lignes directrices et modèles de garanties pour les transferts, enquêtes et audits, rapport annuel à la Commission, actions conjointes, délai d’un mois pour répondre aux demandes d’entraide. Une seconde structure, l’autorité ouest-africaine de protection des données, veillerait à la vie privée au sein des institutions communautaires.

« La diffusion du texte adopté est vivement attendue : elle est susceptible de modifier en profondeur la conduite de la conformité et de la protection des données dans les États membres, du niveau des sanctions encourues jusqu’à l’organisation même des contrôles. »

Le calendrier : ce qui reste à venir

Le projet prévoit une publication au Journal officiel de la Communauté dans les trente jours suivant la signature, puis dans celui de chaque État trente jours après notification. L’entrée en vigueur suivrait ces publications, l’acte étant annexé au Traité révisé de la CEDEAO. Chaque État disposerait ensuite de trois ans au plus pour le transposer.

Pour chaque État membre, cela suppose une revue de sa loi nationale : formalités préalables, portabilité, régime de l’effacement, notification des violations, pouvoirs et moyens de l’autorité, articulation avec le futur réseau régional. Le calendrier vaut aussi pour les États sortis de la Communauté : leurs opérateurs traiteront encore des données de personnes situées dans l’espace CEDEAO et entreront à ce titre dans le champ du texte.

Ce qu’une organisation peut faire dès maintenant

Quatre chantiers sont sans regret : ils découlent déjà des législations nationales et formeront la base du socle communautaire.

• Tenir un inventaire à jour de vos traitements : c’est le préalable du registre comme de toute analyse d’impact.
• Écrire votre procédure de violation de données et la tester : le délai de 72 heures ne se découvre pas le jour de l’incident.
• Auditer vos flux vers l’étranger : hébergement, outils en ligne, maisons mères, prestataires d’analyse , et documenter les garanties.
• Désigner et former un délégué à la protection des données, en anticipant l’exigence d’indépendance et de compétence actualisée.