Pourquoi héberger ses données en Côte d'Ivoire ?

La question revient dès qu'une organisation manipule des données clients : où sont-elles, physiquement ? Sur quel serveur, dans quel pays, sous quelle loi ? La réponse est rarement claire, et elle le devient de plus en plus.

Voici le cadre, ce qu'il exige réellement, et ce qui change.

Ce que dit la loi ivoirienne

La protection des données personnelles en Côte d'Ivoire est régie par la loi n° 2013-450 du 19 juin 2013. Elle encadre la collecte, le traitement, la transmission, le stockage et l'utilisation des données à caractère personnel, qu'elles soient manipulées par une entreprise privée, un particulier ou une entité publique. Le régulateur est l'ARTCI, l'Autorité de Régulation des Télécommunications/TIC de Côte d'Ivoire.

Deux choses en découlent, et il faut les distinguer, parce qu'on les confond souvent.

La déclaration est obligatoire. Dès qu'une organisation traite des données personnelles, elle doit déclarer ces traitements auprès de l'ARTCI. Ce n'est pas optionnel, et ce n'est pas symbolique : les manquements exposent à des sanctions administratives, et sont également susceptibles de sanctions au titre du code pénal ivoirien. Beaucoup d'entreprises ivoiriennes traitent des données personnelles sans avoir jamais fait cette déclaration. Elles sont en infraction sans le savoir.

Le traitement doit se faire sur le territoire national. La loi s'applique aux traitements de données réalisés sur le territoire ivoirien. C'est le point qui touche directement à la question de l'hébergement et c'est là que la situation est en train d'évoluer.

Cet article explique un cadre, il ne remplace pas un avis juridique. Chaque organisation doit vérifier sa situation propre auprès de l'ARTCI ou d'un juriste spécialisé.

Localisation : l'écart entre la loi et la pratique

Sur le papier, la direction est claire. En pratique, la domiciliation effective des données sur le sol ivoirien reste un chantier en cours.

Fin 2024, des acteurs du secteur ont publiquement appelé à une application plus stricte de la loi en matière de domiciliation locale des données, pour protéger l'économie numérique du pays. En clair : le cadre existe, mais son application sur le volet localisation physique n'est pas encore pleine et entière.

Dans le même temps, l'infrastructure se met en place. Des opérateurs de datacenters: MainOne, Orange, MTN construisent les capacités d'hébergement local nécessaires pour rendre cette domiciliation possible à grande échelle. Le mouvement est lancé, le cadre juridique se renforce, et les datacenters arrivent.

La conclusion est simple : l'obligation se durcit dans le sens de la localisation, pas l'inverse. Les organisations qui anticipent aujourd'hui prennent de l'avance sur une contrainte qui montera.

Souveraineté : au-delà de la conformité

Se conformer à la loi est une raison. Il y en a une autre, plus profonde : la souveraineté numérique.

Quand les données d'une entreprise ivoirienne ses clients, ses contrats, ses dossiers vivent sur un serveur situé dans un autre pays, elles tombent sous la juridiction de ce pays. Un changement de politique, une décision de justice étrangère, un différend commercial avec le fournisseur, et l'accès à ses propres données peut devenir incertain. Ce n'est pas une hypothèse théorique : c'est la réalité de la dépendance à une infrastructure qu'on ne contrôle pas.

Héberger localement, c'est garder la main. Les données restent sous droit ivoirien, accessibles, récupérables, à l'abri d'une décision prise ailleurs.

Ce qui doit être local, et ce qui n'a pas besoin de l'être

Voici où beaucoup se trompent, dans un sens ou dans l'autre. Tout héberger localement à tout prix n'a pas de sens. Tout héberger à l'étranger par facilité non plus. La vraie question est : quoi doit être local ?

Ce qui gagne à être local : les données personnelles réglementées, les données sensibles, les dossiers clients, tout ce qui relève de la loi n° 2013-450 et de la souveraineté. C'est là que la localisation est un argument de conformité et de contrôle.

Ce qui n'en a pas forcément besoin : l'hébergement applicatif courant, le calcul, les ressources techniques sans données personnelles sensibles. Choisir un hébergeur performant à l'étranger pour ces charges est un arbitrage rationnel, à condition de savoir ce qu'on y met et de ne pas y mettre ce qui devrait rester au pays.

Un prestataire honnête ne vend pas « tout en local ». Il aide à décider ce qui doit l'être, et il l'assume.

Ce que nous faisons chez Todou Studio

Nous opérons Todou Cloud : un serveur dédié, hébergé dans nos propres locaux à Abidjan, qui permet à nos collaborateurs de travailler à distance sur une infrastructure que nous administrons de bout en bout. Les données qui y vivent restent physiquement en Côte d'Ivoire, sous droit ivoirien.

Nous ne prétendons pas que toute notre infrastructure est locale ce serait faux, et vous auriez raison de vérifier. Une partie de nos charges applicatives tourne sur des serveurs à l'étranger, parce que c'est le bon choix technique pour ces charges-là. Ce que nous maîtrisons, c'est la décision : quelle donnée va où, et pourquoi.

C'est cette approche que nous proposons aux organisations ivoiriennes PME, structures qui manipulent des données sensibles, acteurs qui veulent anticiper le durcissement réglementaire. Pas un slogan « souverain » plaqué sur tout. Une architecture où ce qui doit rester au pays reste au pays.