En février 2025, le régulateur nigérian de la protection des données semblait prêt à fixer une référence en matière de sanctions technologiques à travers l'Afrique. La Nigeria Data Protection Commission (NDPC) a infligé à Meta une amende corrective de 32,8 millions de dollars accompagnée d'un ensemble complet d'injonctions d'exécution, invoquant la collecte de données personnelles d'environ 60 millions de Nigérians sans consentement valable, la mauvaise gestion des informations de mineurs et le transfert transfrontalier de données de citoyens sans autorisation.

Quelques jours plus tard, des représentants de Meta, de Google et de Microsoft s'entretenaient avec la même commission à Abuja au sujet d'une « collaboration ». En octobre 2025, l'amende était morte — anéantie dans un règlement secret qu'aucune des deux parties n'a pris la peine d'annoncer publiquement.

Un an après cet accord conclus à huis clos, et quelques semaines après qu'une enquête de septembre 2026 menée par The Continent et l'AI Network du Pulitzer Centre a documenté au moins 17 engagements contractuellement opaques entre les géants technologiques américains et les institutions étatiques nigérianes depuis 2024, ce schéma s'est durci en une véritable doctrine de gouvernance : Abuja joue la fermeté réglementaire sur scène, se retire dans des salons privés pour signer son levier d'action, puis réapparaît des mois plus tard pour annoncer des partenariats de « renforcement des capacités » avec les entreprises mêmes qu'elle était censée contrôler. Les reportages antérieurs ont établi ce schéma ; la question est désormais de savoir ce qui s'est passé depuis ce règlement et à quoi les Nigérians devraient être attentifs.

Le repli, consigné au tribunal

L'ampleur complète du repli la NDPC est restée enfouie pendant des mois dans les registres de la Federal High Court d'Abuja. L'accord a été signé le 30 octobre 2025 par Babatunde Bamigboye, chef du service juridique, de l'exécution et de la réglementation de la NDPC, et Anna Benckert, vice-présidente et avocate générale adjointe chargée des affaires juridiques internationales chez Meta. Le 3 novembre 2025, il a été entériné comme un jugement en matière consentie.

Le cabinet d'avocats spécialisé en protection des données Olumide Babalola LP a d'abord extrait la copie certifiée conforme des registres du tribunal pour un examen juridique détaillé en janvier 2026, avant que Premium Times ne révèle les détails au grand public fin avril.

Ce qui ressort de ces documents judiciaires n'était pas un compromis. Après 17 mois d'enquête financée par les contribuables ayant abouti à une ordonnance finale de 58 pages, la commission a renoncé à l'amende de 32,8 millions de dollars. Sur le papier, la seule somme que Meta a accepté de verser correspondait aux frais juridiques engagés par la NDPC pour se défendre dans la requête de contrôle judiciaire que Meta elle-même avait déposée en février 2025, à l'époque où l'entreprise menaçait de fermer Facebook et Instagram au Nigeria.

Des obligations diluées, une force exécutoire contestée

Une lecture article par article du jugement en matière consentie montre à quel point les dents du régulateur ont été méthodiquement arrachées. Là où les injonctions initiales exigeaient que Meta « cherche immédiatement un consentement exprès, spécifique et sans ambiguïté » avant de suivre les Nigérians à des fins de publicité comportementale, le règlement demandait à l'entreprise de déployer ses « meilleurs efforts » pour améliorer ses pratiques. Là où la directive initiale ordonnait à Meta d'interrompre les transferts transfrontaliers non autorisés de données et d'obtenir une approbation réglementaire avant de déplacer des données d'utilisateurs nigérians à l'étranger, le règlement s'est contenté d'une vague référence aux « garanties pour les transferts transfrontaliers ».

Comme l'a souligné l'avocate en protection des données Iliya-Ezekiel Ndatse, les promesses édulcorées qui subsistent dans le document — traitement licite, analyses d'impact et garanties de transfert — se contentent de rappeler les obligations de base déjà inscrites dans le Nigeria Data Protection Act (NDPA) de 2023.

Même ces engagements pourraient être juridiquement inapplicables. Dans son analyse de janvier 2026 du dossier judiciaire certifié, Olumide Babalola LP a mis en évidence une contradiction rédactionnelle fatale au cœur de l'accord : tandis que la clause 8 énumère de nouvelles obligations de conformité pour Meta, la clause 9.2 annule les ordonnances finales et décharge l'entreprise de « toutes réclamations, demandes, actions, causes'action, contrats, obligations, poursuites, dettes, coûts et responsabilités ».

Le cadre de l'accord court-circuite également le droit pénal. L'article 49 du NDPA fait du non-respect des ordonnances de la NDPC une infraction pénale passible d'une amende ou d'une peine d'emprisonnement pouvant aller jusqu'à un an. En réglant l'affaire en privé et en insérant une clause expresse précisant que l'accord ne constituait pas « une admission de responsabilité ou de faute », la commission a esquivé la responsabilité pénale et a privé 60 millions de Nigérians concernés d'une reconnaissance officielle d'une violation.

Concrètement, l'exigence de consentement qui régissait autrefois le suivi des Nigérians par Meta à des fins de publicité comportementale repose désormais sur une promesse d'essayer — et la question de savoir si ces « meilleurs efforts » produiront un jour un changement documenté publiquement reste ouverte.

Quand le régulé finance le régulateur

Le jugement en matière consentie n'était pas la fin de la transaction ; c'était le prélude à un rebranding.

Le 21 mai 2026, le ministère fédéral des Communications, de l'Innovation et de l'Économie numérique (FMCIDE) et le Centre national pour l'intelligence artificielle et la robotique (NCAIR) se sont tenus aux côtés de Meta pour lancer GovGuide Nigeria, un chatbot d'IA multilingue disponible sur WhatsApp et le web en anglais, haoussa, igbo et yorouba, construit sur les modèles open source Llama de Meta.

Dix-huit jours plus tard, le 8 juin 2026, la NDPC et Meta ont dévoilé la Meta-Supported Initiative for Data Protection (M-SIDP), un programme de deux ans couvrant la sensibilisation du public à la vie privée, la formation des délégués à la protection des données et la sécurité de l'écosystème.

Justifiant ce changement de cap, la porte-parole de la NDPC, Itunu Dosekun, a décrit la philosophie de la commission comme privilégiant « la remédiation plutôt que la sanction », déclarant à la presse que le régulateur existe « pour promouvoir les entreprises, non pour les nuire ». Le M-SIDP de deux ans offre désormais un critère d'évaluation à cette philosophie : les campagnes de sensibilisation, les délégués à la protection des données formés et le travail de sécurité qu'il promet constituent ce dont la « remédiation » devra faire la preuve.

Les critiques estiment que ce discours masque un cas d'école de capture réglementaire : lorsque la cible principale de la plus grande action d'exécution en matière de données d'un pays commence à financer les programmes publics du régulateur, l'équilibre des pouvoirs s'inverse. Les autorités européennes de la données attachent régulièrement des engagements de conformité à leurs actions d'exécution, mais engagements s'ajoutent à des amendes à neuf chiffres, ils ne les remplacent pas. La Data Protection Commission irlandaise, par exemple, a infligé à Meta une amende de 405 millions d'euros en 2022 concernant le traitement des données d'enfants par Instagram — la même catégorie de manquement invoquée dans l'ordonnance initiale d'Abuja.

Tracy Keshi, cheffe de projet Tech Justice and Digital Governance au Centre for Journalism Innovation and Development (CJID), a clairement diagnostiqué le précédent : effacer l'amende supprime la pression réglementaire immédiate, enseigne aux entreprises technologiques multinationales que les sanctions nigérianes se négocient en coulisses et rend la conformité dépendante de la bonne volonté volontaire de Meta.

Une échéance de souveraineté que l'État refuse d'appliquer à lui-même

Rien n'expose plus brutalement le double standard de la politique numérique d'Abuja que la comparaison entre son traitement des géants technologiques mondiaux fautifs et l'ultimatum qu'elle a adressé aux startups nigérianes une semaine après le lancement du M-SIDP.

Le 15 juin 2026, la Banque centrale du Nigeria (CBN) a publié une circulaire ordonnant à toutes les banques, prestataires de services de paiement, opérateurs de mobile money et fintechs de stocker et gérer toutes les données de transactions de paiement nationales à l'intérieur des frontières nigérianes au 1er janvier 2027.

Deux mois plus tard, en août 2026, la National Information Technology Development Agency (NITDA) a lancé sa National Sovereign Cloud Initiative et inauguré un groupe de travail chargé de certifier les fournisseurs locaux d'infrastructure cloud et d'IA.

Pour les fondateurs de fintechs locales, l'échéance de janvier 2027 fixée par la CBN est une course d'ingénierie brutale et coûteuse. La directive couvre non seulement les registres de transactions principaux, mais aussi les journaux d'audit, les sauvegardes de reprise après sinistre, les pipelines d'observabilité et les clés de chiffrement.

Elle révèle également les limites physiques de l'infrastructure cloud locale : alors qu'Amazon Web Services exploite une Zone à Lagos, ce nœud périphérique dépend de la région AWS du Cap en Afrique du Sud et n'héberge pas nativement des bases de données gérées essentielles comme Amazon RDS ni le stockage S3 standard, sans coûteuses baisses AWS Outposts sur site.

Une startup nigériane qui laisse un compartiment de sauvegarde nocturne au Cap ou une clé de chiffrement dans un service foreign de gestion de clés après le Nouvel An s'expose à des sanctions réglementaires. L'uniformité avec laquelle cette échéance sera appliquée — tant aux petites startups locales qu'aux plateformes mondiales — constituera l'un des tests les plus clairs de la présence d'un double standard dans le règlement numérique d'Abuja.

Deux poids, deux mesures

L'aven numérique du Nigeria ne peut être gouverné par deux ensembles de règles : un corpus de lois punitives pour les acteurs locaux et un cordon velours pour la Silicon Valley. Chaque fois qu'un ministère signe un pacte non divulgué ou qu'un régulateur échange une amende légale contre un atelier sponsorisé par une entreprise, l'État loue un pan de sa souveraineté pour le prix d'une miche de pain.

La souveraineté numérique de la nation ne sera pas sauvée en attendant des régulateurs complaisants ou des géants technologiques bienveillants. Si Abuja tient à serrer la main des géants de la tech dans l'obscurité, la mission de la presse nigériane et de la société civile est de forcer les portes et d'exposer chaque accord secret.

Cet article est fondé sur un reportage de TechNext24.