par La souveraineté numérique est devenue un mot que l’on entend dans les discours officiels, les stratégies nationales et les appels d’offres. Le terme est pourtant souvent employé sans contenu opérationnel. Pour un dirigeant, qu’il soit dans une administration ou dans une institution financière, la souveraineté commence par une question très concrète : où se trouvent, physiquement et juridiquement, les données dont je suis responsable ?
1. « Nos données sont chez nous » : une affirmation à vérifier
Pendant longtemps, la réponse était simple. Les serveurs étaient dans le bâtiment, l’équipe informatique avait les clés de la salle, et les sauvegardes partaient sur bande dans un coffre. Ce modèle a presque disparu, souvent sans que la direction s’en aperçoive.
Aujourd’hui, une organisation ordinaire utilise une messagerie en ligne, une suite bureautique collaborative, un outil de visioconférence, un antivirus géré depuis une console dans le cloud, une solution de sauvegarde externalisée et un ou plusieurs logiciels métier maintenus par des éditeurs étrangers. Chacun de ces services traite des données, et chacun les traite quelque part.
Dans ce type d’exercice, la cartographie révèle souvent des surprises : des pièces jointes sensibles stockées dans un service grand public, des journaux d’activité envoyés automatiquement chez un éditeur, des accès de télémaintenance ouverts en permanence.
2. Trois niveaux de souveraineté à distinguer
| Niveau | Question posée | Exemple de risque |
| Localisation | Dans quel pays sont les serveurs ? | Données soumises au droit d’un État tiers |
| Juridiction | Quel droit s’applique au fournisseur ? | Un fournisseur étranger hébergeant localement reste soumis à ses lois nationales |
| Maîtrise opérationnelle | Qui détient les clés, les accès et les compétences ? | Impossibilité de récupérer ou d’exploiter ses données sans le fournisseur |
Le deuxième niveau est le plus mal compris. Un centre de données situé à Lomé, Dakar ou Abidjan ne garantit pas, à lui seul, la souveraineté : si l’opérateur relève d’une juridiction étrangère dotée de lois à portée extraterritoriale, les données peuvent être concernées par des demandes d’accès de cette juridiction. La localisation est nécessaire, elle n’est pas suffisante.
Le troisième niveau est le plus souvent oublié. Une organisation peut héberger ses données sur son propre territoire et rester totalement dépendante : si elle ne possède ni les clés de chiffrement, ni les compétences pour exploiter la plateforme, ni une copie exploitable de ses données, sa souveraineté est théorique.
3. Ce que dit le cadre juridique
Les États d’Afrique de l’Ouest se sont progressivement dotés de lois sur la protection des données personnelles, avec des autorités chargées de les faire appliquer. Ces textes encadrent généralement le transfert de données vers des pays tiers, en exigeant un niveau de protection adéquat ou une autorisation préalable. Plusieurs États ont également ratifié la Convention de l’Union africaine sur la cybersécurité et la protection des données (Convention de Malabo), adoptée le 27 juin 2014 et entrée en vigueur le 08 juin 2023.
Pour une institution, cela signifie que la question de la localisation n’est pas seulement stratégique : elle peut aussi être réglementaire. Héberger des données d’usagers à l’étranger sans en avoir analysé les conditions juridiques expose l’organisation, et parfois ses dirigeants.
4. Souveraineté ne veut pas dire autarcie
Il serait faux d’en conclure qu’il faut tout rapatrier. Le cloud apporte de la résilience, des mises à jour de sécurité rapides et des capacités qu’aucune institution moyenne ne pourrait construire seule. Refuser tout service étranger, c’est souvent remplacer un risque de dépendance par un risque de vétusté.
L’approche que je recommande est une approche par classification :
- Données critiques ou régaliennes (données d’état civil, données fiscales, données bancaires sensibles, secrets institutionnels) : hébergement sous maîtrise nationale ou institutionnelle, clés de chiffrement détenues en interne.
- Données sensibles mais non critiques : hébergement possible chez un tiers, avec clauses contractuelles strictes sur la localisation, l’accès et la réversibilité.
- Données courantes : recours aux services du marché, en privilégiant l’efficacité.
Cette classification est la même que celle qui guide un plan de reprise d’activité. Les deux démarches gagnent à être menées ensemble : le choix d’un site de secours est aussi un choix de juridiction.
5. La réversibilité : la clause que l’on négocie trop tard
Le moment où l’on a le plus de pouvoir de négociation face à un fournisseur, c’est avant la signature. C’est pourtant à ce moment que l’on parle le moins de la sortie. Une clause de réversibilité sérieuse précise :
- le format dans lequel les données seront restituées ;
- le délai de restitution ;
- l’assistance apportée par le fournisseur pendant la migration, et son coût ;
- la destruction certifiée des données chez le fournisseur après la sortie.
Sans ces éléments, l’organisation découvre le jour du changement de prestataire que ses propres données sont, en pratique, prisonnières d’un format ou d’une plateforme.
6. Par où commencer
- Dresser l’inventaire des services numériques utilisés, y compris ceux souscrits directement par les métiers.
- Pour chacun, identifier les données traitées, le pays d’hébergement et la juridiction du fournisseur.
- Classer les données selon leur criticité.
- Vérifier la conformité avec la loi nationale sur la protection des données, notamment pour les transferts hors du pays.
- Renégocier en priorité les contrats qui portent sur des données critiques sans clause de réversibilité.
Conclusion
La souveraineté numérique ne se décrète pas dans un discours. Elle se construit contrat par contrat, donnée par donnée, compétence par compétence. Pour une administration comme pour une banque, elle commence par la capacité à répondre précisément à une question simple : si un fournisseur disparaissait demain, que perdrions-nous, et en combien de temps pourrions-nous reprendre la main ?
