Données des entreprises
Loi sur l'hébergement des données à Madagascar : qui est concerné et ce qui change
Le projet de loi n° 040/2026 sur les communications électroniques et les infrastructures numériques, déposé à l'Assemblée nationale le 28 août 2026 avec le projet n° 042/2026 sur la cybercriminalité, prévoit que les données essentielles soient hébergées sur le territoire national. Voici ce que le texte dit, à qui il s'applique, ce qu'il laisse à un décret, et ce qui s'impose déjà aujourd'hui.
Où en est le texte
À ce jour, aucun texte en vigueur n'impose aux entreprises d'héberger leurs données à Madagascar : la loi n° 2014-038 encadre les transferts de données personnelles à l'étranger, elle ne fixe pas de lieu d'hébergement. C'est le projet de loi n° 040/2026, déposé en août 2026, qui introduit cette obligation.
Le gouvernement a déposé à l'Assemblée nationale, le 28 août 2026, trois textes qui vont ensemble : le projet de loi n° 040/2026 relatif aux communications électroniques et aux infrastructures numériques, qui porte la souveraineté numérique, la souveraineté des données et le dispositif d'hébergement, à ses articles 8, 10 et 11 ; le projet de loi n° 042/2026, qui refond la loi n° 2014-006 sur la lutte contre la cybercriminalité et crée la police numérique ; et le projet de loi n° 043/2026 autorisant la ratification de la Convention des Nations unies contre la cybercriminalité. Au terme de la session extraordinaire, close le 5 septembre 2026, les députés ont renvoyé les deux premiers à une prochaine session, pour une consultation élargie des parties prenantes et un examen plus approfondi.
Trois choses en découlent pour une entreprise. Le texte n'est pas en vigueur. Ses modalités d'application sont renvoyées à un décret, qui reste à prendre. Et la liste des opérateurs de centres de données certifiés, fixée par arrêté du ministre chargé des communications électroniques, reste à publier. Ce qui suit décrit le texte dans sa version déposée, et ce qu'il faudra suivre.
Ce que le texte prévoit
Le projet de loi n° 040/2026 définit la souveraineté numérique et la souveraineté des données : toutes les données numériques générées, collectées ou traitées sur le territoire relèvent de la juridiction et de la législation de Madagascar. Son article 8 en tire le principe : ces données sont produites, collectées, traitées et stockées dans le pays, ou une copie y est conservée. Ses articles 10 et 11 en font une obligation d'hébergement, en deux volets.
Pour l'Administration (article 10.2), les données administratives, critiques ou essentielles sont hébergées sur le territoire national par un opérateur de centre de données déclaré et certifié, suivant la liste établie par arrêté.
Pour les organismes et les entreprises (article 11), les données essentielles sont hébergées sur le territoire national, « dans des infrastructures publiques ou privées dédiées, ou auprès d'opérateurs de centres de données certifiés et déclarés auprès de l'Autorité de Régulation ». Deux voies sont donc ouvertes : un centre de données certifié, ou une infrastructure propre, par exemple un serveur dans les locaux de l'entreprise.
L'article 10.1 fixe le niveau attendu d'un centre de données certifié : des infrastructures conformes aux normes ISO ou au niveau de disponibilité Tier III de l'Uptime Institute, selon des modalités de certification définies par voie réglementaire ; seuls les opérateurs ainsi certifiés peuvent héberger ces données pour des tiers.
Le texte précise enfin ce qu'il advient des copies : « le transfert de la copie intègre des données hors de Madagascar est autorisé sous réserve que les données originales soient obligatoirement hébergées sur le territoire national ». L'original reste dans le pays ; une copie de sauvegarde à l'extérieur est permise.
Qui est concerné
L'obligation s'applique « à tous les organismes et entreprises établis à Madagascar, dès lors qu'ils collectent, traitent et/ou conservent des données générées sur le territoire malagasy ».
Sont exemptés les organismes et entreprises dont l'effectif est inférieur à cinquante employés et dont le chiffre d'affaires est inférieur à un milliard d'ariary par an. Les deux conditions sont cumulatives : une entreprise de soixante personnes est concernée quel que soit son chiffre d'affaires, et une entreprise de douze personnes qui dépasse le milliard d'ariary l'est aussi.
Le texte nomme en outre des secteurs soumis à l'obligation en tant que tels : le secteur financier (banques, établissements de crédit, assurances), le secteur de la santé (établissements hospitaliers, laboratoires d'analyses, structures de soins), le Gouvernement et l'Administration publique. Il y ajoute toute personne morale manipulant des données essentielles de la population, par exemple des données personnelles sensibles.
| Situation | Ce que prévoit le texte |
|---|---|
| Moins de 50 employés et moins d'un milliard d'ariary de chiffre d'affaires | Exempté |
| 50 employés ou plus | Concerné, quel que soit le chiffre d'affaires |
| Un milliard d'ariary de chiffre d'affaires ou plus | Concerné, quel que soit l'effectif |
| Banque, établissement de crédit, assurance | Concerné, en tant que secteur |
| Établissement de santé, laboratoire, structure de soins | Concerné, en tant que secteur |
| Administration et organismes rattachés | Concerné, par un opérateur certifié de la liste |
Ce que cela change, secteur par secteur : cliniques, laboratoires et structures de soins, usines, industries et zones franches, centres d'appels et BPO, écoles, universités et centres de formation, ONG, organisations et projets.
Ce qui s'applique déjà aujourd'hui
Indépendamment de ce projet, la loi n° 2014-038 sur la protection des données à caractère personnel est en vigueur. Son article 20 encadre le transfert de données personnelles vers un État étranger : il est possible lorsque cet État assure un niveau de protection similaire à celui de la loi malgache ; à défaut, la Commission Malagasy de l'Informatique et des Libertés (CMIL) peut l'autoriser au vu des garanties offertes, et le consentement de la personne ou l'exécution d'un contrat ouvrent des dérogations.
La CMIL, créée par le décret n° 2023-1541, est opérationnelle depuis la prestation de serment de ses membres en août 2025. Elle a rejoint l'Association francophone des autorités de protection des données personnelles en novembre 2025 et a publié son manuel de procédures en décembre 2025. Les traitements de données personnelles se déclarent auprès d'elle.
Ce que les entreprises d'autres pays ont fait
Madagascar n'écrit pas cette règle en premier. La formule « original dans le pays, copie autorisée à l'étranger » est celle de la Russie depuis 2015. Le Rwanda impose depuis 2021 le stockage des données personnelles sur son territoire, sauf certificat délivré par son autorité de cybersécurité. Le Nigeria réserve l'hébergement local aux données de l'État et aux données de paiement. Le Vietnam impose le stockage local à ses entreprises nationales depuis 2022 et a renforcé son régime au 1er janvier 2026. L'Indonésie, après sept ans de règle stricte, a limité l'obligation en 2019 au secteur public et à la finance.
Deux constantes ressortent. L'obligation s'applique d'abord, et durablement, à l'État, à la banque et au paiement. Et les entreprises concernées ont procédé de deux façons : déplacer l'original de leurs données chez un opérateur local ou dans leurs propres locaux, en gardant une copie à l'extérieur pour la continuité ; ou obtenir l'autorisation de conserver leurs données à l'étranger, là où la loi en ouvre la possibilité.
Ce que cela implique pour une entreprise concernée
La première question est de savoir où vivent aujourd'hui les données de l'entreprise : la messagerie, souvent chez un fournisseur en ligne dont les serveurs sont en Europe ou aux États-Unis ; le logiciel de gestion ; les fichiers partagés ; les dossiers du personnel, qui portent des données sensibles. Pour beaucoup d'entreprises, l'original de ces données est à l'étranger, et c'est précisément ce que le texte demande de ramener.
Le texte ouvre deux voies. Un opérateur de centre de données certifié, dont la liste reste à publier. Ou une infrastructure privée dédiée : un serveur dans les locaux de l'entreprise, qui porte la messagerie, la gestion et les fichiers, avec une copie de sauvegarde conservée à l'extérieur, comme le texte l'autorise. Cette seconde voie est ouverte sans attendre l'arrêté.
C'est ce que Simafri installe et exploite pour les entreprises à Madagascar : un serveur dans vos locaux, qui vous appartient, avec votre messagerie et votre gestion dessus, surveillé, mis à jour, sauvegardé et entretenu par nos techniciens. Ce que vous pouvez héberger à Madagascar, outil par outil : messagerie, gestion, fichiers et sauvegardes.
Questions fréquentes
Le texte est-il en vigueur ?
Non. Les députés ont renvoyé le vote des deux textes à une prochaine session parlementaire, et les modalités d'application dépendront d'un décret. La loi n° 2014-038 sur les données à caractère personnel, elle, s'applique dès aujourd'hui.
Une PME de vingt personnes est-elle concernée ?
Elle est exemptée si son chiffre d'affaires reste sous un milliard d'ariary par an. Au-dessus de ce seuil, elle est concernée, quel que soit son effectif.
Faut-il renoncer à toute sauvegarde à l'étranger ?
Non. Le texte autorise le transfert d'une copie intègre des données hors de Madagascar, à condition que l'original soit hébergé sur le territoire national.
Faut-il passer par un centre de données certifié ?
Pour l'Administration, oui. Pour les entreprises, le texte admet aussi des infrastructures privées dédiées, comme un serveur installé dans leurs propres locaux.
Quelles données sont « essentielles » ?
Le texte cite les données personnelles sensibles et les données critiques pour la sécurité nationale, et nomme les secteurs financier, de la santé et de l'Administration. Le périmètre précis sera fixé par les textes d'application.
Sources
- L'Express de Madagascar, « Loi sur la cybercriminalité : une police numérique au cœur du dispositif », septembre 2026.
- L'Express de Madagascar, « Tsimbazaza : les députés ajournent le vote du projet de loi sur la cybercriminalité », septembre 2026.
- Madagascar-Tribune, « Loi sur la cybercriminalité : l'État renforce les contrôles alors que l'accès à l'information reste en suspens », septembre 2026.
- Madagascar-Tribune, « Assemblée nationale : seuls deux projets de loi sur sept adoptés », 5 septembre 2026 (les n° 040/2026 et 042/2026 parmi les cinq textes reportés).
- 2424.mg, « Adoption reportée des projets de loi sur la lutte contre la cybercriminalité et sur les communications électroniques et infrastructures numériques », septembre 2026.
- Assemblée nationale de Madagascar, projet de loi n° 040/2026 du 21 juillet 2026 sur les communications électroniques et les infrastructures numériques, dépôt officiel du 28 août 2026 (texte publié en version malgache).
- Assemblée nationale de Madagascar, projet de loi n° 042/2026 du 7 juillet 2026 relative à la lutte contre la cybercriminalité, dépôt officiel du 28 août 2026 (texte intégral en français).
- Loi n° 2014-038 sur la protection des données à caractère personnel, texte intégral (AFAPDP).
- Unité de Gouvernance Digitale, Manuel de procédures de la CMIL, 3 décembre 2025.
- DLA Piper, Data protection laws in Rwanda ; ITIF, Vietnam's data-localization regulation et Indonesia's data localization regulation, 2025 ; ITIF, How barriers to cross-border data flows are spreading globally, 2021.
Un serveur dans vos locaux, géré par Simafri
Votre messagerie, votre gestion et vos fichiers sur un serveur qui vous appartient, installé, surveillé, mis à jour et sauvegardé par nos techniciens, avec une copie conservée en dehors de vos locaux.