Convention de Malabo : où en est le texte de l'Union africaine ?

Adoptée en 2014, longtemps restée lettre morte, la Convention de l'Union africaine sur la cybersécurité et la protection des données à caractère personnel, dite Convention de Malabo, est désormais en vigueur. Que contient-elle, quels États l'ont ratifiée et que change-t-elle pour les établissements de santé qui manipulent chaque jour des données de patients ? Point d'étape.

Cet article présente une information générale à la date de sa rédaction (octobre 2026) et ne constitue pas un conseil juridique. L'état des ratifications évolue : consultez la page officielle de l'Union africaine pour la situation à jour.

Un texte adopté en 2014, en vigueur depuis 2023

La Convention a été adoptée le 27 juin 2014 à Malabo (Guinée équatoriale), lors du sommet de l'Union africaine. Son entrée en vigueur était subordonnée, selon son article 36, au dépôt de quinze instruments de ratification, le texte prenant effet trente jours après le quinzième.

Ce seuil a été atteint avec le dépôt de la ratification de la Mauritanie le 9 mai 2023. La Convention est donc entrée en vigueur le 8 juin 2023, près de neuf ans après son adoption. Les analystes expliquent cette lenteur par des ambiguïtés de mise en œuvre et une harmonisation insuffisante entre États.

Quels États l'ont ratifiée ?

Au moment de l'entrée en vigueur, les quinze États ayant ratifié recensés par les sources spécialisées étaient : l'Angola, le Cap-Vert, la Côte d'Ivoire, le Ghana, la Guinée, Maurice, la Mauritanie, le Mozambique, la Namibie, le Niger, la République démocratique du Congo, le Rwanda, le Sénégal, le Togo et la Zambie.

D'autres États ont suivi ou engagé la procédure depuis :

• le Bénin a ratifié la Convention par décret en février 2024 ;
• à Madagascar, une loi n° 2024-004 autorisant la ratification a été adoptée en 2024.

Les pays du Maghreb (Maroc, Algérie, Tunisie) ne figurent pas parmi les États ratifiants recensés dans les sources consultées. Pour eux, la protection des données de santé repose sur leurs législations nationales, comme la loi 09-08 au Maroc.

Que contient la Convention ?

Le texte couvre trois domaines :

1. Les transactions électroniques : règles de base du commerce électronique et de la publicité en ligne.
2. La protection des données à caractère personnel : principes encadrant le traitement des données, droits des personnes concernées et mise en place d'institutions nationales de contrôle.
3. La cybersécurité et la lutte contre la cybercriminalité : stratégies nationales, infractions pénales, coopération.

La Convention est un instrument d'harmonisation : elle oblige les États parties à se doter de lois et d'institutions conformes à ses principes, mais elle ne remplace pas les lois nationales et ne crée pas de régulateur continental chargé de sanctionner les entreprises.

Quel impact pour les établissements de santé ?

Pour un médecin ou une clinique, la Convention n'est généralement pas le texte invoqué au quotidien : c'est la loi nationale et l'autorité nationale de protection des données qui s'appliquent directement. Son intérêt est ailleurs :

• elle fixe un socle commun de principes, utile pour les groupes de santé, laboratoires et éditeurs de logiciels présents dans plusieurs pays africains ;
• elle encourage les États parties à moderniser leurs lois et à renforcer leurs autorités de contrôle ;
• elle place la cybersécurité au même niveau que la protection des données, un enjeu sensible pour des hôpitaux de plus en plus numérisés.

Pour les projets transfrontaliers (téléexpertise entre pays, centralisation de dossiers, recherche multicentrique), la Convention ne dispense pas d'une analyse pays par pays des règles de transfert et des autorisations nécessaires.

Les limites actuelles

Malgré son entrée en vigueur, la Convention reste ratifiée par une partie seulement des États membres de l'Union africaine. Comme l'ont souligné des analystes, sa mise en œuvre a longtemps souffert d'ambiguïtés et d'une harmonisation insuffisante ; son effet concret dépend largement de la transposition dans chaque État.

En pratique

• Identifiez la loi nationale de protection des données applicable dans chaque pays où vous traitez des données de patients : c'est elle qui fixe vos obligations concrètes.
• Si vous opérez dans un État partie à la Convention, attendez-vous à des évolutions législatives alignées sur ses principes.
• Pour un projet transfrontalier, vérifiez les règles de transfert de chaque pays concerné.
• Intégrez la cybersécurité (sauvegardes, contrôle des accès, gestion des incidents) à votre politique de protection des données.

Questions fréquentes

Quand la Convention de Malabo est-elle entrée en vigueur ?

Le 8 juin 2023, trente jours après le dépôt de la quinzième ratification, celle de la Mauritanie, le 9 mai 2023.

Le Maroc a-t-il ratifié la Convention de Malabo ?

Il ne figure pas parmi les États ratifiants recensés dans les sources consultées. Au Maroc, la loi 09-08 reste le texte de référence.

La Convention s'applique-t-elle directement à une clinique ?

En pratique, ce sont les lois nationales qui s'appliquent aux établissements. La Convention engage les États à adopter des règles conformes à ses principes.

Sources

1. Osiris — Entrée en vigueur de la Convention de Malabo
2. Forvis Mazars Sénégal — Mission Malabo, série I
3. Osiris — Le Bénin ratifie la Convention de Malabo sur la cybersécurité
4. Assemblée nationale de Madagascar — Loi n° 2024-004 (Convention de Malabo)
5. Droit Médias Finance — La Convention de l'UA sur la cybersécurité entre enfin en vigueur

Dictez vos comptes rendus, sans que rien ne quitte votre ordinateur

Nabady Whisper transcrit votre voix hors ligne, en français, en arabe ou en anglais, avec des modèles de comptes rendus par spécialité.

Essayer gratuitement → Voir la démo

Article d'information générale, vérifié à la date de publication ; il ne remplace ni un avis médical ni un conseil juridique.