Données au Nigeria : ce que les règles exigent, et ce qu'elles n'exigent pas

Deux textes nigérians distincts sont presque toujours évoqués comme s'il n'y en avait qu'un. Ils ne disent pas la même chose, et les confondre conduit soit à surinvestir, soit à manquer une échéance.

Le premier est la loi nigériane de 2023 sur la protection des données (Nigeria Data Protection Act, NDPA), le texte général du pays. Le second est une directive de la Banque centrale du Nigeria portant sur les données de transactions de paiement, applicable au 1er janvier 2027. L'un encadre la sortie des données personnelles du territoire. L'autre impose à une catégorie précise de données d'y rester.

Les deux textes, côte à côte

Ce qui a remplacé le NDPR

Beaucoup de recherches portent encore sur le NDPR. Le règlement de 2019 était le premier instrument sérieux du pays en matière de protection des données. Il a été remplacé par la loi de 2023, qui a institué une Commission nigériane de protection des données comme autorité indépendante.

Si votre dispositif a été bâti sur le NDPR et n'a pas été revu depuis l'entrée en vigueur de la loi, c'est par là qu'il faut commencer.

Ce que dit la loi sur les transferts vers l'étranger

C'est le point décisif pour une décision d'hébergement, et le plus souvent mal compris :

La loi n'impose pas que les données personnelles soient stockées physiquement au Nigeria. Elle ne contient aucune obligation générale de localisation. Ce qu'elle encadre, c'est le transfert transfrontalier, autorisé lorsque des conditions définies sont réunies, la Commission appréciant si la destination offre un niveau de protection adéquat.

En pratique : héberger hors du Nigeria des données personnelles nigérianes n'est pas illicite en soi. C'est conditionnel, et la condition doit être remplie et documentée.

Nous sommes un fournisseur d'infrastructure, pas votre conseil juridique. Nous ne résumerons donc pas ces conditions ici. À consulter à la source :

• Commission nigériane de protection des données, l'autorité de régulation
• Directive générale d'application et de mise en œuvre (PDF), publiée par la Commission
• Foire aux questions de la Commission

Si vos transferts sont significatifs pour l'activité, la réponse utile viendra d'un avocat nigérian spécialisé, qui examinera vos traitements réels. Pas d'un article.

La directive sur les données de paiement est un autre texte

La directive de la Banque centrale est plus étroite et plus stricte. Elle impose que les données de transactions de paiement générées au Nigeria soient stockées et gérées au Nigeria, à compter du 1er janvier 2027. D'après les informations parues sur la circulaire, elle vise les banques, les banques de microfinance, les opérateurs de mobile money, les sociétés de switching et de traitement, les fournisseurs de terminaux et de solutions de paiement, ainsi que les super agents.

Là, il s'agit bien d'une obligation de résidence, ce que la loi générale n'est pas. Si vous touchez à des données de paiement nigérianes, c'est ce texte qui porte une date.

Ce que coûte la confusion

Les deux erreurs vont en sens inverse, et coûtent cher toutes les deux.

Croire que la loi impose la localisation pousse à tout rapatrier, y compris des traitements qui ne sont soumis à aucune obligation de résidence : beaucoup de travail et de perturbation, pour aucun bénéfice réglementaire.

Croire que la directive est aussi souple que la loi est l'erreur la plus dangereuse. Un transfert au titre du texte général se discute et se justifie. Une obligation de stocker et de gérer au Nigeria, à partir d'une date fixe, ne se discute pas.

Les deux textes ne portent pas non plus sur les mêmes données. Données personnelles et données de paiement se recoupent sans se confondre, et une obligation attachée aux unes ne s'étend pas automatiquement aux autres.

Le pays a-t-il la capacité ?

La première question posée face à toute obligation de résidence est celle de la capacité d'accueil. Sur les centres de données, la réponse est oui.

Le Nigeria dispose de 50 à 56 mégawatts de capacité commerciale en exploitation. En comptant l'installé en attente de mise en service, on approche les 124 mégawatts, avec des projections de 210 à 300 mégawatts à l'horizon 2030. C'est le deuxième marché du continent après l'Afrique du Sud, soit environ quinze pour cent de la capacité installée africaine.

Les bâtiments et l'énergie existent donc. Ce n'est pas là que se situe la contrainte.

Des mètres carrés ne font pas une plateforme

Un mégawatt, c'est de la surface, de l'énergie et du refroidissement. Ce n'est pas de la capacité de calcul que l'on provisionne. La vraie question, face à une obligation de résidence, n'est pas de savoir si le Nigeria a des centres de données, mais s'il s'y trouve des plateformes cloud sur lesquelles vous pouvez réellement déployer : une instance disponible en quelques minutes, du stockage qui suit la charge, et des sauvegardes qui restent dans la même juridiction que la production.

Ce sont deux choses différentes, et c'est dans cet écart que les projets de migration s'enlisent. Les commentaires du secteur pointent toujours les mêmes contraintes de fond : fiabilité de l'alimentation électrique, refroidissement, et disponibilité d'ingénieurs ayant exploité de l'infrastructure à cette échelle.

L'exercice utile

Si vous pensez être concerné, la première étape n'est pas de chercher un centre de données. C'est de cartographier vos données.

• Quels systèmes produisent des données de paiement nigérianes, par opposition à ceux qui ne font que les manipuler.
• Où elles reposent. La base de production, bien sûr, mais aussi les caches, les files de messages et les espaces de fichiers.
• Où elles sont recopiées. Chaînes analytiques, agrégation de journaux, suivi d'erreurs, sauvegardes. C'est sur les sauvegardes que la plupart de ces projets découvrent leur véritable problème : une production conforme avec une sauvegarde à l'étranger ne règle rien.
• Qui peut y accéder. La résidence est une question de géographie, mais un régulateur qui s'intéresse aux données personnelles demandera aussi qui, chez vous, peut les lire, et comment cela est contrôlé.

Cet exercice réduit en général nettement le périmètre des travaux, et il vous dit ce que vous achetez avant de l'acheter.

La résidence est nécessaire, pas suffisante

Placer un serveur dans le bon pays satisfait une exigence de localisation. Cela ne répond pas aux questions qu'une autorité de protection des données posera plus volontiers : qui accède aux données, comment cet accès est contrôlé, et ce qui se passe quand une personne demande la restitution ou l'effacement des siennes.

Ce sont des questions de plateforme, à poser à tout hébergeur cloud que vous mettez en concurrence, pas seulement au nôtre :

• Un contrôle d'accès réellement appliqué. Des comptes d'équipe avec rôles, pour qu'un analyste et un responsable facturation ne partagent pas un identifiant.
• Des clés d'API restreintes par périmètre et par adresse IP, pour qu'un identifiant d'automatisation ne devienne pas une clé maîtresse.
• Une double authentification par application avec codes de secours, plus un suivi des sessions et des appareils que vous pouvez révoquer. Regardez si le SMS est proposé comme second facteur, et considérez-le comme une faiblesse plutôt qu'une fonctionnalité.
• Une isolation réseau. Un pare-feu appliqué au niveau de la plateforme, sous le système d'exploitation invité, qu'un serveur compromis ne peut donc pas désactiver, et un réseau privé entre vos propres machines.
• Un export et une suppression des données en autonomie, sans ouvrir de ticket ni attendre. Les demandes d'accès et d'effacement sont difficiles à honorer quand le fournisseur est le goulot d'étranglement.

AFRICLOUD fournit chacun de ces éléments, et vous devriez les attendre comme un socle, pas comme un argument de différenciation.

Où AFRICLOUD se situe

Nous exploitons un PoP à Lagos, notre troisième région avec Lisbonne et Johannesburg. Cela fait trois juridictions où placer vos données : le Nigeria, l'Afrique du Sud et le Portugal, dans l'Union européenne. Pour une charge de travail nigériane, le calcul et le stockage restent en territoire nigérian.

Sauvegardes comprises, et c'est le point le plus souvent oublié. Soyons précis sur ce que cela recouvre : les instantanés à la demande, jusqu'à cinq par serveur avec restauration en un clic, sont inclus. Les sauvegardes quotidiennes automatisées, qui conservent trois points de restauration glissants avec restauration en autonomie, sont une option payante. Les deux restent dans la région du serveur qu'elles protègent. Si votre obligation de résidence couvre les copies autant que la production, ce qui est presque toujours le cas, c'est la distinction à vérifier chez n'importe quel fournisseur.

Mesuré depuis le pays, Lagos est à 0,2 ms, Abuja à 9,9 ms et Kano à 18,9 ms. C'est la même plateforme qu'en Europe et en Afrique australe : processeurs AMD EPYC, stockage 100 % NVMe, provisionnement entièrement automatisé, annonce de vos propres adresses IP en BGP jusqu'à votre machine sans frais, et une API REST publique, documentée et consultable librement. Un VPS à Lagos utilise la même image et le même outillage qu'à Lisbonne, ce qui compte si vous répartissez une application entre plusieurs juridictions plutôt que de tout déplacer.

La facturation se fait dans votre devise, naira compris, par carte, PayPal, mobile money ou cryptomonnaie, à l'heure ou au mois selon la ressource. L'assistance est joignable 24h/24 et 7j/7 par chat et par e-mail.

Le détail de l'hébergement en territoire nigérian se trouve sur notre page Nigeria, et la région elle-même est décrite sur la page du centre de données de Lagos.

Ce qu'il faut en retenir

La loi nigériane de 2023 encadre la sortie des données personnelles du pays, sous conditions, la Commission appréciant le niveau de protection de la destination. Ce n'est pas une obligation de localisation. La directive de la Banque centrale sur les données de paiement est, elle, une obligation de résidence, avec une date, le 1er janvier 2027, et une liste d'établissements visés.

Déterminez lequel des deux s'applique à chacun de vos systèmes avant de déplacer quoi que ce soit. Et quelle que soit votre décision, prenez-la tôt : les institutions qui s'y mettent maintenant trouveront l'exercice gérable.

Cet article décrit des exigences réglementaires publiquement rapportées et ne constitue pas un conseil juridique. Toute conformité particulière requiert une évaluation juridique individuelle.