Revue bimestrielle sur la protection des données personnelles en Afrique (Juillet et Août 2026)

Introduction

Le paysage de la gouvernance de l’IA et de la protection des données en Afrique a connu des moments déterminants au cours des deux derniers mois. Plusieurs pays africains ont rejoint l’organisation d’IA dirigée par la Chine. Pendant ce temps, le Botswana, le Kenya et l’Ouganda développent leurs politiques et stratégies en matière d’IA. Les autorités de protection des données (DPA) ont publié diverses notes d'orientation et directives visant à améliorer la conformité.

Pleins feux sur les tendances : les règles de données entrent dans la couche infrastructure (contribution de Digital Policy Alert) 

Au cours des deux derniers mois, la gouvernance des données en Afrique a progressé dans sa mise en œuvre, avec des règles s'appliquant désormais aux infrastructures numériques. Au Nigeria, la politique nationale sur le cloud numérique a intégré des dispositions sur la localisation des données et les transferts de données transfrontaliers au sein de son cadre de gouvernance du cloud et a mis en place un groupe de travail pour la mise en œuvre, tandis que le Code de pratique d'Internet est entré en vigueur, introduisant des exigences relatives à la cybersécurité et au déploiement de l'IA. L'Éthiopie a adopté des obligations de cybersécurité pour les fournisseurs d'infrastructures critiques, et l'Égypte a introduit des mesures relatives à l'infrastructure d'identité numérique. Au Kenya, l'autorité de protection des données s'est concentrée sur l'orientation réglementaire, en lançant une consultation sur l'application de la loi sur la protection des données aux systèmes d'IA et autres technologies émergentes.

Protection des données

• Le 19 juillet 2026, l'Autorité de la CEDEAO a adopté l'Acte additionnel révisé relatif à la protection des données à caractère personnel, aux côtés d'instruments régionaux sur la cybersécurité, les données ouvertes et la gouvernance numérique.
• Le commissaire aux données du Kenya a annoncé que l'évaluation technique de l'adéquation de l'UE sur le Kenya était en voie d'achèvement et que la décision était en cours d'élaboration. Elle a également déclaré que la DPA publierait prochainement des orientations sur l'IA et les transferts transfrontaliers et travaillait à l'élaboration d'un cadre de protection des données EAC. 
• Le 25 août 2026, le gouvernement des Comores, en partenariat avec l'Agence de développement de l'Union africaine (AUDA-NEPAD), a validé la première Stratégie nationale de gouvernance des données du pays. La stratégie promeut une gouvernance responsable des données centrée sur le citoyen, aux côtés des infrastructures numériques, de l'interopérabilité, de la création de valeur à partir des données et des compétences. La stratégie s'aligne sur le Cadre politique de l'UA sur les données et comprend un plan de mise en œuvre pour traduire les priorités en mesures pratiques.
• Le 3 août 2026, le Parlement burkinabé a adopté un projet de loi portant création de l'Autorité de régulation des communications et de la protection des données personnelles (ARCOD), une autorité de régulation unique supervisant à la fois les communications et la protection des données personnelles, y compris les nouveaux défis de l'IA. 
• Au Nigéria, la Data Privacy Lawyers Association of Nigeria (DPLAN) a adressé une pétition à la DPA concernant le coût croissant de la conformité en matière de protection des données dans le pays. DPLAN demande à la DPA de revoir les frais légaux associés à la conformité en matière de protection des données, notant que la structure tarifaire actuelle pourrait discuter de la conformité, en particulier parmi les startups et les PME. DPLAN a également appelé à un barème officiel transparent des honoraires et à des honoraires liés en fonction de la taille de l’organisation, du chiffre d’affaires et des risques. 
• La DPA ougandaise a publié un avis public ordonnant à tous les responsables du traitement et sous-traitants de données de préparer et de soumettre leurs rapports annuels de conformité d'ici le 23 novembre 2026 via son site web.
• La DPA du Malawi a émis un avis aux créateurs de contenu selon lequel la publication de contenu intime sans fondement légal équivaut à un traitement illégal de données personnelles et entraînerait une amende pouvant aller jusqu'à 20 millions de k. 
• Le gouvernement d'Eswatini a annoncé qu'il prévoit de finaliser la politique nationale de gouvernance des données d'ici la fin de l'année. La politique vise à harmoniser et protéger les données nationales et déterminera si une loi dédiée est nécessaire ou si la législation existante doit être modifiée.
• À Maurice, la DPA a annoncé que le règlement de 2026 sur la protection des données (désignation, tâches et poste des délégués à la protection des données) entrera en vigueur le 1er janvier 2027. Par conséquent, toutes les organisations publiques et privées doivent désigner un DPD ; le non-respect de cette obligation peut entraîner une amende pouvant aller jusqu’à 100 000 roupies et une peine d’emprisonnement pouvant aller jusqu’à cinq ans. 
• La DPA tanzanienne, en partenariat avec l'Open University of Tanzania, a annoncé un programme national certifié autorisé en matière de protection des données (CDPA) pour renforcer les compétences des DPD et réduire les risques pour la vie privée. 
• La DPA du Mali a mis en garde contre la publication d'images de suspects criminels présumés sur les réseaux sociaux sans autorisation, soulignant que les images personnelles nécessitent un traitement légal et un consentement préalable en vertu de la loi sur la protection des données.
• La DPA du Kenya a publié des projets de notes d'orientation sur l'IA, les technologies émergentes et les technologies d'optimisation de la confidentialité ; le secteur des transports ; ainsi que des notes d'orientation pour la nomination des DPO à l'attention du public pour commentaires.
• La DPA de Maurice a publié un Guide de protection des données pour le secteur financier, fournissant des conseils pratiques de conformité pour les banques, les assureurs, les fintechs et d'autres institutions dans le cadre de la loi sur la protection des données.
• Le Projet de droits socio-économiques et de responsabilité (SERAP) a adressé une pétition au Sénat pour rejeter le projet de loi de modification de la loi NDP de 2026, qui rendrait obligatoires des bureaux physiques pour les entreprises de médias sociaux et permettrait de suspendre leurs opérations, qualifiant cela de restriction inconstitutionnelle de la liberté d'expression en ligne.
• Le Projet sur les droits socio-économiques et la responsabilité (SERAP) a demandé au Sénat de rejeter le projet de loi NDPA (amendement) de 2026, qui imposerait des bureaux physiques aux sociétés de médias sociaux et permettrait la fermeture des opérations, le qualifiant de restriction inconstitutionnelle à l'expression en ligne. 
• Le gouvernement fédéral nigérian a publié une circulaire de conformité ordonnant à tous les ministères, départements et agences (MDA) de se conformer à la NDPA en nommant des DPD, en engageant des DPCO agréés, en budgétisant la conformité et en déposant des audits annuels dans le cadre de la NDPA.
• L'UNESCO a publié un ensemble d'outils de gouvernance des plateformes numériques adapté à la Namibie, à l'Afrique du Sud et à la Zambie, offrant des listes de contrôle diagnostiques et des briques juridiques pour évaluer et renforcer la régulation des plateformes.
• Au Nigeria, le Code de pratique d'Internet de 2026 est entré en vigueur, incluant des dispositions sur la protection des données et la cybersécurité pour les fournisseurs d'infrastructures internet et de télécommunications. Le gouvernement fédéral a également adopté une politique nationale sur le cloud numérique prévoyant une exigence de localisation des données et une réglementation sur les transferts transfrontaliers de données, et l'Agence nationale de développement des technologies de l'information (NITDA) a inauguré un groupe de travail pour superviser l'initiative globale du cloud.

Application de la loi

• La Haute Cour a statué contre une fintech pour avoir ouvert un compte non autorisé au nom d'un client sans son consentement, notant que la fintech n'avait pas vérifié l'exactitude des données et avait enfreint la NDPA. La Haute Cour a ordonné à une autre banque de verser 15 millions de nairas à d'anciens clients pour avoir agi sans obtenir de consentement. De plus, le tribunal a également statué que l'exigence des numéros de vérification bancaire (BVN) pour l'émission de polices d'assurance viole les droits constitutionnels à la vie privée, déclarant que les numéros d'identification nationaux (NIN) sont suffisants.
• La Haute Cour fédérale du Nigeria a confirmé l'autorité de la NDPC à enregistrer les agents PoS en tant que responsables du traitement et sous-traitants de données d'importance majeure (DCPMI) dans la catégorie de niveau élevé ordinaire. Le tribunal a noté qu'il avait statué que le cadre d'enregistrement prévu par la note d'orientation et la loi NDPA de 2023 ne viole pas les droits constitutionnels à la vie privée, mais les protège plutôt par une supervision réglementaire.
• La DPA du Kenya a infligé une amende de 300 000 KES à un responsable de traitement pour l'utilisation commerciale non autorisée de données personnelles sensibles d'un mineur.
• La NDPC a ouvert une enquête sur l'UNILAG, Lotus Bank et Hackerbella Ltd suite à des accusations d'utilisation de données d'étudiants pour ouvrir des comptes bancaires non autorisés sans base légale.
• La DPA de l'Angola a infligé à deux organisations des amendes d'un montant total de 225 000 USD pour avoir traité des données sans autorisation préalable et pour ne pas avoir mis en œuvre de garanties techniques adéquates.
• La DPA du Botswana a émis un avis d'exécution contre la Direction de la gestion de la fonction publique (DPSM) via son portail ePayslip, ordonnant une suspension immédiate jusqu'à ce qu'une DPIA appropriée soit menée et que des bases de traitement légales soient établies. 

Gouvernance de l'IA

• Le 6 juillet 2026, six nations d'Afrique de l'Ouest francophone, à savoir le Bénin, le Burkina Faso, la Côte d'Ivoire, la Guinée, le Mali et le Sénégal, ont adopté un cadre de gouvernance partagé pour promouvoir une IA responsable et éthique.
• Le Kenya a publié son projet de politique 2026 en matière d’IA et de technologies émergentes pour consultation. La politique propose une loi sur la gouvernance de l’IA et des technologies émergentes, un Conseil national de l’IA et un Institut de sécurité de l’IA, ainsi que des programmes pour les missions d’IA, l’accès au calcul, une bibliothèque nationale de données, l’IA en langue africaine, la protection des travailleurs, la reconversion et l’interopérabilité. 
• Des représentants de 29 pays, dont dix États africains, ont signé l’accord créant l’Organisation mondiale de coopération en matière d’IA (WAICO). L’organisation promouvra la coopération internationale en matière de gouvernance, de normes et de principes éthiques de l’IA. Les membres fondateurs africains comprennent l’Algérie, le Cameroun, le Congo, l’Éthiopie, le Kenya, le Lesotho, le Mozambique, le Sénégal, l’Afrique du Sud et la Zambie, positionnant la Chine comme un partenaire stratégique important pour le développement de l’IA en Afrique.
• Le ministère des TIC de l'Ouganda a annoncé un projet de stratégie nationale pour l'IA et les technologies émergentes, actuellement en cours d'examen interne avant d'être soumis au Cabinet.
• Du 17 au 21 août 2026, le ministère de l'Information, des Communications, de la Science, de la Technologie et de l'Innovation du Lesotho, en collaboration avec les Nations Unies, a organisé un atelier de renforcement des capacités de cinq jours pour commencer à rédiger une stratégie nationale sur l'IA et un plan directeur pour les centres de données.
• Le Botswana progresse vers une politique nationale de l'IA pour 2026–2030 axée sur la diversification économique, l'innovation, l'entrepreneuriat et la création d'emplois. La politique fonctionnera parallèlement à la loi sur la protection des données de 2024 et à la loi sur la cybersécurité de 2025. De même, le Malawi finalise une stratégie nationale en matière d’IA et un projet de loi sur l’IA qui l’accompagne pour réglementer les déploiements des secteurs public et privé tout en améliorant la cybersécurité des services publics.
• Le 19 août 2026, le COMESA a ouvert des consultations régionales au Malawi en vue d’une stratégie régionale d’IA, d’une stratégie d’inclusion numérique, d’un plan d’action et de modèles de cadres réglementaires. Le processus aborde la préparation, les cas d’utilisation et la réglementation de l’IA, ainsi que la connectivité, les compétences, l’accessibilité, les services accessibles et la confiance et la sécurité numériques.
• Le 17 août 2026, l'Institut national des technologies de l'information et de la communication du Mozambique a présenté une proposition de stratégie nationale d'IA structurée autour de l'inclusion numérique, de la croissance économique, de l'éthique et de la gouvernance. Des instruments réglementaires complémentaires sont également en cours d’élaboration pour opérationnaliser le cadre juridique et soutenir le développement éthique et durable des technologies émergentes.
• L’Algérie a commencé à mettre en œuvre sa stratégie nationale d’IA à travers une feuille de route interministérielle axée sur l’IA dans les services publics et la souveraineté technologique. Les priorités comprennent des modèles gouvernementaux souverains open source, une capacité informatique nationale, des programmes nationaux de talents en IA, un centre de recherche, un stockage sécurisé des données nationales et un déploiement éthique, soutenu par un comité de suivi conjoint.
• Le Zimbabwe a annoncé son intention de mettre en place une politique de guichet unique industriel numérique pour renforcer les infrastructures cybernétiques, rationaliser le commerce électronique et accélérer l’adoption de l’IA dans les principaux secteurs économiques.
• Le ministre sud-africain des Technologies numériques a annoncé un prochain rapport préliminaire d'un panel indépendant chargé de reformuler la déclaration de politique nationale en matière d'IA après son retrait antérieur.
• L’Égypte a été élue présidente des groupes de travail sur la gouvernance de l’IA et sur l’informatique quantique au sein du Comité permanent arabe pour l’IA et les technologies émergentes.
• Une Coalition pour les droits et la protection des enfants à l’ère de l’IA, soutenue par l’ONU, a été lancée pour placer les droits des enfants au centre de la gouvernance de l’IA. La coalition, composée de 17 pays, dont le Kenya, partagera des preuves et des approches politiques fondées sur la Convention relative aux droits de l’enfant.
• Le Maroc a publié un livre blanc national sur l’IA dans le domaine de la santé, contenant des recommandations sur l’adoption des technologies, la gouvernance des données, la formation professionnelle, l’innovation et les futurs services de santé basés sur l’IA.

Partenariats

• Le 18 août 2026, la DPA du Bénin et la DPA du Togo ont formalisé un partenariat à la suite d'une visite de travail. Les autorités coopéreront en matière de partage d’informations et d’expertise, de formation, de sensibilisation, de contrôles, de conformité, de recherche et de technologies émergentes, y compris le traitement transfrontalier des données.
• Le 15 juillet 2026, en marge du Sommet mondial AI for Good, la Commission de l'Union africaine (CUA) et l'Union internationale des télécommunications (UIT) ont signé un protocole d'accord (MoU) pour renforcer la coopération sur la transformation numérique de l'Afrique. Le partenariat se concentre sur des domaines clés, notamment l’IA, les infrastructures publiques numériques et le développement des compétences numériques et en IA.
• Le 9 juillet 2026, le ministère kenyan de l’Information, des Communications et de l’Économie numérique a accueilli une délégation américaine à Nairobi. La réunion visait à explorer les opportunités d’approfondir la coopération en matière d’investissement technologique, de gouvernance des données et de développement responsable de l’IA. 
• Lors du Sommet mondial sur la société de l'information, le MCIT égyptien a tenu des réunions de haut niveau avec le Kenya, le Programme des Nations Unies pour le développement (PNUD) et le Groupe de la Banque mondiale pour faire progresser la coopération en matière d'IA, de transformation numérique et d'infrastructures de communication.
• L'Égypte et le Rwanda ont signé un protocole d'accord sur l'IA et la transformation numérique.

Conclusion

Dans les mois à venir, nous prévoyons davantage de coopération et de partenariats dans la région. Nous prévoyons également davantage de mesures coercitives de la part des DPA.

‍