Chapô — Douze ans après son adoption, la Convention de Malabo sur la cybersécurité et la protection des données personnelles n’a été ratifiée que par 16 des 55 États membres de l’Union africaine. Pendant ce temps, 1 400 milliards de dollars ont transité par le mobile money en Afrique subsaharienne en 2025, soit les deux tiers du volume mondial. Le maillon faible de la confiance numérique africaine n’est plus technique : il est juridique.
Ce que dit la Convention de Malabo, et ce qu’elle ne peut pas faire
Adoptée le 27 juin 2014 dans la capitale équato-guinéenne qui lui a donné son nom, la Convention de Malabo est le seul instrument continental qui traite ensemble la cybersécurité, la cybercriminalité et la protection des données personnelles. Elle prévoit notamment l’harmonisation des incriminations pénales et des règles de preuve électronique entre États africains.
Il lui a fallu neuf ans pour entrer en vigueur : elle exigeait quinze ratifications, et n’a atteint ce seuil que le 8 juin 2023, trente jours après celle de la Mauritanie. Le Gabon est devenu le seizième État à la ratifier en 2026. Trente-neuf pays ne l’ont toujours pas fait.
La conséquence est concrète. Un texte que la majorité des États n’a pas ratifié ne crée pas d’obligation pour eux : ni de reconnaître une qualification pénale commune, ni d’accepter une preuve numérique produite chez le voisin, ni de coopérer dans des délais compatibles avec la vitesse d’une attaque. Un opérateur qui bascule son infrastructure d’un pays à l’autre change en quelques heures de régime juridique — et ce déplacement n’est pas une complaisance des États concernés, c’est une faille du dispositif continental lui-même.
La masse à protéger a changé d’échelle
Le rapport State of the Industry on Mobile Money 2026 de la GSMA, l’association mondiale des opérateurs mobiles, chiffre à 1 400 milliards de dollars les flux passés par le mobile money en Afrique subsaharienne en 2025. La région concentre 66 % de la valeur transactionnelle mondiale du secteur, qui a dépassé pour la première fois les 2 000 milliards de dollars. Il a fallu vingt ans pour franchir le premier millier de milliards, quatre ans pour le doubler.
Autrement dit, l’Afrique n’est plus un marché périphérique du paiement numérique : elle en est le centre de gravité. Ce basculement a une contrepartie, déjà visible dans les statistiques d’infractions — la monnaie électronique progresse fortement dans l’UEMOA, et les fraudes suivent la même courbe, jusqu’aux escroqueries de masse organisées sur les réseaux sociaux.
Interpol a chiffré les pertes déclarées à 484 millions de dollars pour 2025, contre 192 millions en 2024 — plus qu’un doublement en un an. L’organisation relevait par ailleurs que l’intelligence artificielle intervient désormais dans une part majoritaire des attaques recensées sur le continent, un basculement que nous avons détaillé en août.
La coopération policière avance plus vite que le droit
C’est le paradoxe du dossier. Là où la ratification piétine, l’action opérationnelle produit des résultats. L’opération Red Card 2.0, conduite par Interpol du 8 décembre 2025 au 30 janvier 2026, a mobilisé les polices de seize pays africains et abouti à 651 interpellations. Elle a permis de récupérer 4,3 millions de dollars, d’identifier 1 247 victimes, de saisir 2 341 appareils et de fermer 1 442 adresses IP, domaines et serveurs. Les escroqueries démantelées étaient liées à plus de 45 millions de dollars de pertes.
Les schémas visés disent beaucoup de la réalité africaine du risque : placements à rendement garanti, fraude au mobile money, fausses applications de prêt. En Côte d’Ivoire, les autorités ont interpellé 58 personnes et saisi plusieurs centaines de cartes SIM dans une seule affaire de crédit frauduleux.
Mais une opération ponctuelle ne remplace pas un cadre permanent. Elle repose sur une coordination exceptionnelle, financée et pilotée de l’extérieur, alors qu’un cadre ratifié fonctionnerait en continu et sans convocation.
Deux conventions, une même hésitation
L’Afrique dispose désormais d’un second instrument : la Convention des Nations unies contre la cybercriminalité, adoptée par l’Assemblée générale en 2024 et ouverte à la signature à Hanoï les 25 et 26 octobre 2025. Elle y a recueilli 72 signatures, dont celles de 21 pays africains — parmi lesquels l’Afrique du Sud, l’Algérie, la Côte d’Ivoire, l’Égypte, le Nigeria, la République démocratique du Congo et le Maroc.
Signer n’est pas ratifier, et ratifier n’est pas appliquer. Le précédent de Malabo, qui a mis neuf ans à entrer en vigueur et n’a convaincu que seize États en douze ans, invite à la prudence sur le calendrier du texte onusien.
Le constat est porté publiquement par des responsables du secteur, dont Ouanilo Medegan Fagla, directeur général du Centre national d’investigations numériques du Bénin, et Franck Kié, spécialiste ivoirien de la cybersécurité. Leur thèse : tant que le droit reste national et la criminalité continentale, la seule variable d’ajustement est la victime.
La question dépasse la seule cybersécurité : elle rejoint celle des moyens dont le continent dispose pour gouverner ses propres outils, que nous avons traitée dans notre dossier sur l’IA africaine sous contrainte.
Ce qui manque n’est ni un texte supplémentaire ni une opération de plus. C’est la ratification des textes existants — un acte souverain, gratuit, et qui ne dépend d’aucun partenaire extérieur.
