Rapatrier ses données à Madagascar et déclarer ses traitements à la CMIL : par où commencer

Les six étapes, en résumé

1. Cartographier : où vivent vos donnéesPour chaque outil (messagerie, gestion, fichiers, paie, site web, applications métier, sauvegardes) : chez qui il est hébergé, dans quel pays, qui y accède, et où est sa copie.
2. Qualifier : ce qui est personnel, sensible, essentielDistinguer les données personnelles, les données sensibles (santé, origine, opinions, biométrie) et ce que le projet de loi n° 040/2026 appelle les données essentielles, secteur par secteur.
3. Décider où va l'original, et où va la copieChoisir entre un serveur dans vos locaux, un opérateur de centre de données certifié ou un cloud dans le pays pour l'original, et garder une copie de secours à l'extérieur.
4. Migrer dans l'ordre, sans arrêter le travailLa messagerie d'abord, puis la gestion, puis les fichiers, puis les sauvegardes, chaque outil copié en parallèle de l'ancien jusqu'à la bascule.
5. Déclarer vos traitements à la CMILDéposer la déclaration prévue par la loi n° 2014-038, dont l'article 49 fixe le contenu, ou une déclaration simplifiée quand une norme de simplification s'applique.
6. Tenir dans le tempsUn registre des traitements à jour, des accès revus à chaque arrivée et chaque départ, une copie de secours testée, et des durées de conservation respectées.

1. Cartographier : où vivent vos données

Tout part d'une liste, un outil par ligne : la messagerie, le logiciel de gestion et de facturation, les fichiers partagés, la paie et les dossiers du personnel, le site web et ses formulaires, les applications métier, les sauvegardes. Pour chacun, quatre réponses : chez qui il est hébergé, dans quel pays sont ses serveurs, qui y accède, et où est sa copie. Dans la plupart des entreprises, la messagerie et les fichiers partagés portent l'essentiel, et leur original est à l'étranger, chez un fournisseur en ligne.

2. Qualifier : ce qui est personnel, sensible, essentiel

La loi n° 2014-038 protège les données à caractère personnel, toute information relative à une personne identifiée ou identifiable, et traite à part les données sensibles : origine, opinions, appartenance syndicale, santé, vie sexuelle, biométrie. Le projet de loi n° 040/2026 ajoute la notion de données essentielles, celles dont dépendent la sécurité, l'économie ou la continuité des services, et nomme des secteurs en tant que tels : la finance, la santé, l'Administration. Cette qualification décide de ce qui doit rester dans le pays et de ce qui se déclare.

3. Décider où va l'original, et où va la copie

Trois lieux possibles pour l'original : un serveur dans vos locaux, un opérateur de centre de données certifié quand la liste existera, ou un cloud dans le pays. Nous les comparons critère par critère dans un guide dédié. Dans tous les cas, la copie de secours peut rester à l'extérieur, le texte l'autorise dès lors que l'original est dans le pays.

4. Migrer dans l'ordre, sans arrêter le travail

La messagerie d'abord : elle porte l'essentiel des échanges, et elle se copie en parallèle de l'ancienne jusqu'à la bascule des adresses, sans que personne ne s'arrête. Puis la gestion, avec son historique de devis et de factures. Puis les fichiers partagés, avec leurs droits d'accès. Puis les sauvegardes, en dernier, puisqu'elles suivent ce qui précède. À chaque étape, l'ancien outil reste en service jusqu'à ce que le nouveau soit vérifié.

5. Déclarer vos traitements à la CMIL

La Commission Malagasy de l'Informatique et des Libertés est opérationnelle depuis la prestation de serment de ses membres en août 2025 ; elle a publié son manuel de procédures en décembre 2025 et annonce un portail de déclaration en ligne. La loi n° 2014-038 prévoit une déclaration des traitements de données à caractère personnel, dont l'article 49 fixe le contenu :

1. l'identité et l'adresse du responsable du traitement, et la dénomination du traitement ;
2. la ou les finalités ;
3. les interconnexions ou rapprochements avec d'autres traitements, le cas échéant ;
4. les données enregistrées, leur origine, les catégories de personnes concernées et la durée de conservation ;
5. les services chargés du traitement et les personnes habilitées à accéder aux données ;
6. le service auprès duquel s'exerce le droit d'accès ;
7. les transferts de données vers d'autres États, le cas échéant ;
8. les mesures de sécurité ;
9. la garantie des secrets protégés par la loi ;
10. le recours à un sous-traitant, le cas échéant.

Pour les traitements qui répondent à une norme de simplification, une déclaration simplifiée suffit (article 47) ; les traitements présentant des risques particuliers relèvent d'une autorisation (article 46). Le récépissé de déclaration est délivré sans délai, sauf décision particulière, et le traitement peut commencer dès sa réception. Les points 7, 8 et 10 sont ceux où le lieu d'hébergement, la copie de secours et le prestataire qui exploite le serveur entrent dans la déclaration.

6. Tenir dans le temps

Un registre des traitements que l'on met à jour quand un outil change, des accès revus à chaque arrivée et chaque départ, une copie de secours que l'on restaure au moins une fois pour savoir qu'elle fonctionne, et des durées de conservation respectées : la loi punit la conservation au-delà de la durée déclarée. C'est cette tenue dans le temps, plus que la migration elle-même, qui fait qu'une entreprise sait toujours où sont ses données.

Ce que Simafri prend en charge

La cartographie se fait avec vous lors du dimensionnement de votre serveur ; l'installation, la migration outil par outil, l'exploitation, la copie de secours et les accès de vos utilisateurs sont l'objet de l'infogérance du serveur en entreprise. Pour votre déclaration, nous vous fournissons les éléments techniques qu'elle demande : le lieu d'hébergement, les mesures de sécurité, le sous-traitant. Ce que vous pouvez héberger chez vous, outil par outil, est décrit sur la page de l'hébergement des données.

Questions fréquentes

Sources

• Loi n° 2014-038 sur la protection des données à caractère personnel, articles 20, 46 à 49 (AFAPDP, texte intégral).
• Unité de Gouvernance Digitale, Manuel de procédures de la CMIL, 3 décembre 2025.
• Assemblée nationale de Madagascar, projet de loi n° 040/2026 du 21 juillet 2026 sur les communications électroniques et les infrastructures numériques, dépôt officiel du 28 août 2026.
• Simafri, Loi sur l'hébergement des données à Madagascar : qui est concerné et ce qui change, 5 septembre 2026.