Protection des données : les déclarations d'une plateforme immobilière dans 54 pays d'Afrique

Une plateforme immobilière qui reçoit des demandes d'acheteurs au Kenya, au Ghana ou en Côte d'Ivoire traite des données personnelles dans chacun de ces pays, même si son éditeur et ses serveurs sont ailleurs. Sur les 54 pays africains, une vingtaine ont une autorité de protection des données active qui attend un dépôt (enregistrement, déclaration ou autorisation), une quinzaine ont une loi sans autorité opérationnelle, et une dizaine n'ont pas encore de loi générale. Cet article décrit la méthode que nous suivons chez imonga pour cartographier ces obligations pays par pays, les classer par priorité et préparer les dossiers, avec les sources officielles de chaque point. Il ne remplace pas l'avis d'un avocat dans chaque pays.

Pourquoi une plateforme étrangère est concernée

Beaucoup d'éditeurs pensent qu'une loi africaine sur les données ne s'applique qu'aux entreprises établies dans le pays. C'est vrai pour certaines lois, et faux pour d'autres. Tout se joue dans l'article qui fixe le « champ territorial ». On en rencontre trois familles :

• Le critère de l'offre de services. La loi s'applique dès que vous proposez un service aux habitants du pays, même gratuitement. Le Code du numérique du Bénin (loi 2017-20, art. 381) vise ainsi le responsable « qui n'est pas établi en République du Bénin » lorsque le traitement est lié à l'offre de biens ou de services, « qu'un paiement soit exigé ou non ». Le Niger (loi 2022-59, art. 4) et l'Ouganda (Data Protection and Privacy Act) suivent la même logique.
• Le critère de l'origine des données. Le Ghana (Data Protection Act 2012, Act 843, s.45) applique sa loi à toute information qui « provient en tout ou en partie » du pays. Une demande d'achat envoyée depuis Accra suffit.
• Le critère des moyens de traitement. Le Sénégal (loi 2008-12, art. 2), le Gabon ou l'Algérie visent le responsable qui « recourt à des moyens de traitement situés sur le territoire ». Une plateforme hébergée en Europe n'en utilise pas, sauf à considérer le téléphone de l'utilisateur comme un moyen de traitement, lecture que certaines autorités défendent.

Avant de chercher un formulaire, il faut donc lire cet article pour chaque pays. C'est lui qui dit si vous devez déposer quelque chose, et c'est la première colonne de notre tableau.

Ce que traite réellement une plateforme immobilière

Une déclaration décrit des traitements. Il faut donc les lister avant de remplir quoi que ce soit. Pour imonga, ce sont :

• les comptes des utilisateurs (nom, e-mail, téléphone facultatif) ;
• les demandes d'information et d'achat, transmises par e-mail au promoteur ou à l'agence concernés ;
• les annonces publiées par des particuliers et des professionnels ;
• l'annuaire des promoteurs et des agences, construit à partir d'informations publiques ;
• la prospection commerciale vers ces professionnels, par e-mail et par messagerie ;
• l'hébergement et les prestataires techniques : serveur, envoi d'e-mails, protection contre les attaques.

Chacun de ces traitements entraîne des obligations distinctes. La transmission d'une demande à un promoteur est une communication à un tiers. L'hébergement hors du pays est un transfert international. La prospection relève des règles sur le marketing direct, souvent plus strictes que le reste de la loi.

Les quatre types de démarches à prévoir

Pour chaque pays, nous cherchons quatre choses, dans cet ordre :

1. L'enregistrement ou la déclaration auprès de l'autorité de protection des données. C'est la démarche la plus répandue. Selon le pays, il s'agit d'un enregistrement payant (Kenya, Ghana, Ouganda), d'une déclaration préalable avec récépissé (Maroc, Sénégal, Bénin) ou d'une autorisation, exigée par exemple dès qu'un fichier contient des numéros de téléphone en Côte d'Ivoire.
2. L'autorisation de transfert hors du pays. Plusieurs lois interdisent d'envoyer des données vers un pays qui n'offre pas une protection « suffisante », sauf autorisation. Le Maroc demande un formulaire distinct (F118) après la déclaration, le Bénin une autorisation de l'APDP, le Rwanda une autorisation de stocker hors du territoire.
3. Les règles de prospection. Ici, pas de dépôt, mais des règles qui déterminent ce que vous avez le droit d'envoyer. La Côte d'Ivoire punit pénalement la prospection sans consentement (loi 2013-450, art. 22). Le Cameroun exige le consentement même vers une société. Le Bénin l'autorise vers une adresse impersonnelle de société (art. 333). L'Afrique du Sud n'autorise qu'une seule demande de consentement.
4. Les obligations propres à l'immobilier et à la fiscalité. Certaines lois immobilières visent les sites d'annonces : l'article 462 du Code ivoirien de la construction (loi 2019-576) impose un agrément aux exploitants de sites qui publient des locations, sous peine de blocage. Le Ghana (Real Estate Agency Act 2020) exige une licence de courtier dès que les annonces sont rémunérées. Côté fiscal, la TVA des non-résidents sur les services numériques ne s'applique qu'à partir de la première vente.

La méthode : un tableau, une source par ligne

Nous avons découpé le continent en trois zones de recherche (Ouest et Centre, Est et Afrique australe, Nord). Pour chacun des 54 pays, nous avons rempli le même tableau :

Colonne	Ce qu'on y met
Démarche	Enregistrement, déclaration, autorisation de transfert, licence, TVA
Autorité	Son nom exact et son portail de dépôt
Base légale	La loi et l'article, lus dans le texte officiel quand c'était possible
Applicable	Oui, non ou incertain, avec la raison (champ territorial)
Coût et délai	Frais officiels, délai de réponse, effet du silence de l'autorité
Priorité	Haute, moyenne ou basse
Source	Le lien vers le texte ou la page de l'autorité

Deux règles ont évité beaucoup d'erreurs. D'abord, une affirmation sans source est marquée « non vérifié », jamais présentée comme acquise. Les sites des autorités africaines sont souvent incomplets, déplacés ou hors ligne. Les synthèses de cabinets d'avocats sont utiles mais parfois datées. Ensuite, on distingue le texte lu d'une source secondaire. Une analyse publiée par un cabinet est utile pour s'orienter, mais elle ne vaut pas le journal officiel.

Comment nous fixons la priorité

Une obligation n'a pas le même poids partout. Une loi sans autorité en fonctionnement ne produit ni contrôle ni sanction. Une autorité qui publie la liste des retardataires, si. Nous classons donc chaque démarche selon deux questions : la loi s'applique-t-elle vraiment à une plateforme étrangère, et l'autorité est-elle active ?

• Haute : la loi s'applique et l'autorité contrôle, sanctionne ou publie des décisions. Au Ghana, la Data Protection Commission annonçait en octobre 2026 avoir enregistré 2 575 responsables de traitement et poursuivre 250 retardataires. En Ouganda, l'autorité a appliqué sa loi à Google en 2025.
• Moyenne : l'autorité est active, mais l'application à un éditeur étranger reste incertaine (Sénégal, Burkina Faso, Gabon, Mauritanie), ou la démarche ne naîtra qu'avec une activité payante.
• Basse : pas de loi générale sur les données (Guinée-Bissau, Liberia, Sierra Leone, Mozambique, Érythrée, Soudan du Sud, Libye, Soudan), ou une loi dont l'autorité n'existe pas encore (Congo, Centrafrique, Guinée équatoriale, Cameroun, RDC).

Ce classement est daté. Une autorité peut ouvrir son portail le mois prochain. Nous le relisons chaque trimestre.

Ce que montre la cartographie : les pays à traiter en premier

Pays	Démarche	Autorité et portail	Coût indicatif
Kenya	Enregistrement comme responsable de traitement	ODPC, dataportal.odpc.go.ke	4 000 KES
Ghana	Enregistrement comme « external company », puis à la DPC, renouvelé tous les deux ans	Data Protection Commission, app.dpc.gov.gh	156 à 2 340 GHS selon la taille
Nigeria	Enregistrement et délégué à la protection des données	NDPC, ndpc.gov.ng	Selon le volume traité
Bénin	Déclaration et autorisation de transfert	APDP, service.apdp.bj	Non publié ; le silence de l'APDP pendant 60 jours vaut accord
Côte d'Ivoire	Autorisation de traitement et autorisation de transfert	ARTCI, certinumapdp.ci	200 000 FCFA par autorisation ; le silence vaut rejet
Ouganda	Enregistrement	PDPO, pdpo.go.ug/register	Environ 100 000 UGX par an (source secondaire)
Rwanda	Certificat de responsable de traitement et autorisation de stocker hors du pays	NCSA, dpo.gov.rw	Non publié
Eswatini	Enregistrement des responsables établis hors du pays (décision du 1er mars 2024)	ESCCOM	500 E, une fois
Afrique du Sud	Enregistrement de l'Information Officer, inscription au registre national d'opposition	Information Regulator, NCC	Gratuit
Maroc	Déclaration (formulaire F211), puis demande de transfert (F118)	CNDP, cndp.ma	Pas de frais affichés ; récépissé sous 24 h
Égypte	Licences de traitement, de transfert et de marketing	PDPC	Non publié ; dépôt réservé à un représentant égyptien

L'obstacle le plus fréquent : la présence locale

La cartographie fait apparaître un obstacle récurrent : plusieurs autorités n'acceptent un dépôt que d'une personne ou d'une société du pays.

• En Côte d'Ivoire, le décret 2015-79 réserve le dépôt à un résident ou à une société de droit ivoirien.
• En Égypte, le portail de l'autorité demande une identité numérique égyptienne.
• En Afrique du Sud, l'Information Officer doit être une personne présente dans le pays.
• En Tunisie, la loi 2004-63 (art. 22) réserve le rôle de responsable de traitement à un Tunisien résident.
• Au Ghana, l'enregistrement auprès de la Commission suppose d'abord celui de la société comme « external company ».

Pour une jeune plateforme, la réponse n'est pas de créer une filiale dans chaque pays. Un mandataire local, un cabinet ou un partenaire déjà implanté (une agence immobilière, par exemple) peut porter le dépôt. Il faut le prévoir dans le budget et dans le calendrier, car ces démarches prennent des semaines.

Les transferts : le point que tout le monde oublie

Une plateforme hébergée en Europe ou en Amérique du Nord transfère, par construction, les données de ses utilisateurs africains hors de leur pays. Plusieurs lois demandent une autorisation spécifique pour cela, distincte de la déclaration :

• le Maroc n'examine la demande de transfert qu'une fois la déclaration acceptée (formulaire F118, avis sous deux mois) ;
• le Bénin soumet à autorisation tout transfert vers un État hors CEDEAO (art. 407-6) ;
• le Rwanda distingue l'autorisation de stocker et celle de transférer hors du pays ;
• la Zambie va plus loin et impose un stockage local pour certaines données (Data Protection Act 2021, s.70), ce qui demande l'avis d'un avocat avant d'ouvrir le pays.

Le transfert ne concerne pas que l'hébergeur. Quand une demande d'achat part d'Abidjan vers un promoteur établi dans un autre pays, c'est aussi un transfert. Il faut donc recenser tous les destinataires : hébergeur, service d'envoi d'e-mails, outils d'analyse, et les professionnels à qui les demandes sont transmises.

Le pays de l'éditeur compte aussi

imonga est éditée par une société québécoise. La loi du Québec sur la protection des renseignements personnels (dite « Loi 25 ») suit l'entreprise partout. Elle ne demande aucun dépôt auprès de la Commission d'accès à l'information. Elle impose en revanche une évaluation des facteurs relatifs à la vie privée avant toute communication de renseignements hors du Québec, une entente écrite avec chaque destinataire et un registre des incidents. La loi canadienne anti-pourriel s'applique aussi aux messages commerciaux envoyés depuis le Canada, avec une exemption pour les pays de sa liste dont on respecte la loi locale.

La leçon vaut pour tout éditeur : ajoutez votre propre pays au tableau, même si vous n'y avez aucun client.

Les outils que nous utilisons

Ce travail a été mené avec un agent d'intelligence artificielle (Claude Code d'Anthropic), chargé de lire les textes, de remplir le tableau et de signaler ce qu'il ne pouvait pas confirmer. Trois choix ont rendu le résultat exploitable :

• Des recherches parallèles par zone, chacune avec la même consigne et le même format de tableau. Le résultat est comparable d'un pays à l'autre.
• Des modules spécialisés (« skills ») pour les tâches répétitives : registre des traitements, analyse d'impact, accord de sous-traitance, analyse d'impact des transferts. Nous utilisons une sélection du dépôt open source Privacy & Data Protection Skills (licence Apache 2.0), qui couvre notamment le Nigeria, l'Afrique du Sud et le Canada. Ces modules partent du modèle européen (RGPD). Il faut les adapter à chaque loi africaine, qui a ses propres seuils et ses propres délais, et ne pas les appliquer tels quels.
• Des références africaines tenues à jour pour contrôler le résultat : Data Protection Africa (fiches des 55 États), le suivi des lois et des décisions de Law Lab Africa, et AfricanLII pour les textes.

Un agent accélère la recherche, mais il se trompe parfois avec assurance. D'où la règle de la source par ligne et du « non vérifié ». Le dernier mot reste à un juriste du pays.

Notre calendrier

Au moment où nous écrivons, la cartographie est terminée et les dossiers sont en préparation, dans cet ordre :

1. les pays où la loi s'applique, l'autorité est active et le dépôt peut se faire en ligne sans représentant : Kenya, Ghana (après l'enregistrement de la société), Bénin, Ouganda, Rwanda, Eswatini ;
2. les documents internes exigés par le pays de l'éditeur : registre des traitements, évaluation des transferts, ententes avec les prestataires ;
3. les pays qui demandent un représentant local : Côte d'Ivoire, Égypte, Afrique du Sud ;
4. les pays en priorité moyenne, au fil des vérifications ;
5. la TVA des non-résidents, avant la première vente.

Nous mettrons cet article à jour au fil des dépôts, y compris avec les difficultés rencontrées sur les portails des autorités.

Si vous faites le même travail : la liste de contrôle

1. Listez vos traitements réels : comptes, demandes, annonces, annuaire, prospection, prestataires.
2. Pour chaque pays, lisez l'article sur le champ territorial avant de chercher un formulaire.
3. Vérifiez que l'autorité existe et fonctionne : un portail en ligne, des décisions publiées, des contrôles.
4. Séparez la déclaration de l'autorisation de transfert : ce sont souvent deux dossiers.
5. Lisez les règles de prospection de chaque pays avant d'écrire à un professionnel.
6. Repérez les lois immobilières qui visent les sites d'annonces.
7. Identifiez les pays qui exigent une présence locale et budgétez un mandataire.
8. Ajoutez le pays de votre société au tableau.
9. Notez la source de chaque ligne et marquez « non vérifié » ce que vous n'avez pas lu.
10. Faites valider les points à priorité haute par un avocat du pays avant de déposer.

Ce guide décrit une méthode et l'état des textes que nous avons consultés en octobre 2026. Les lois et les procédures changent vite sur le continent : vérifiez chaque point auprès de l'autorité concernée avant d'agir.