Souveraineté des données dans le cloud : comment les lois algériennes de localisation

L’Algérie a considérablement renforcé ses règles de localisation et de souveraineté des données, contraignant les services cloud et IT opérant dans le pays à s’adapter. En l’absence de région AWS, Azure ou Google Cloud sur le sol algérien, la question de l’hébergement des données — et de la juridiction dont elles relèvent — revêt ici un poids pratique bien supérieur à celui des marchés desservis par des infrastructures hyperscale. Ces réglementations génèrent à la fois des défis de conformité et une opportunité de marché protégé pour les fournisseurs cloud implantés localement.

Ce que la loi exige concrètement

Le régime algérien de souveraineté des données repose sur plusieurs instruments juridiques qui se recoupent et se sont accumulés par couches depuis 2018.

Law 18-07 (Protection des données personnelles). Promulguée en juin 2018, la première loi algérienne de protection des données n’est pleinement entrée en vigueur que le 10 août 2023. Elle encadre strictement les transferts transfrontaliers de données personnelles : tout transfert à l’étranger requiert l’autorisation préalable de l’autorité nationale (ANPDP) et ne peut viser que des pays offrant un niveau de protection « adéquat ». En l’absence de décision d’adéquation, les transferts ne sont autorisés que dans des cas limités — consentement explicite de la personne concernée, nécessité légale ou intérêts vitaux. Point essentiel : les données commerciales, la propriété intellectuelle et les données d’entreprise non personnelles ne sont pas soumises à ces restrictions. Seules les données permettant d’identifier des individus déclenchent les règles de transfert. La loi a été renforcée par la Law 11-25, un amendement de 2025 ayant mis à jour les mécanismes d’application et aligné certaines dispositions sur les normes internationales de protection des données en évolution.

Executive Decree 22-39 (Licence cloud). Publié le 10 janvier 2022, ce décret impose à toute entité proposant des services de cloud computing en Algérie d’obtenir une autorisation du régulateur des télécommunications (ARPCE) et d’exploiter son infrastructure conformément aux normes nationales. Les réglementations de l’ARPCE exigent en outre que les opérateurs de cloud public implantent leur infrastructure sur le territoire algérien et hébergent les données localement. Cela signifie qu’un fournisseur cloud ne peut pas simplement servir des clients algériens depuis un centre de données européen — il doit disposer d’une infrastructure physique dans le pays.

Presidential Decree 25-320 (Cadre de gouvernance des données). Signé fin 2025, ce décret majeur établit un cadre national de gouvernance des données pour le secteur public — imposant un catalogue national de données, un registre de classification et des standards d’interopérabilité sécurisés. Le décret clarifie les rôles du Haut-Commissariat à la numérisation (stratégie), du CNSSI (sécurité) et de l’ANPDP (conformité vie privée). Les données publiques classées aux niveaux de sensibilité les plus élevés doivent rester sur des serveurs algériens. En complément, le Decree 26-07 et le Decree 25-321 établissent la Stratégie nationale de cybersécurité 2025-2029, créant un mandat de cybersécurité complet qui recoupe les exigences de souveraineté des données.

Réglementations sectorielles. Au-delà des lois transversales, des règles sectorielles ajoutent des exigences supplémentaires. La réglementation 2025 de la Bank of Algeria sur les prestataires de services de paiement impose explicitement aux agents de paiement agréés d’héberger leurs plateformes sur le territoire national, sans serveurs offshore, et de conserver toutes les données de transaction en Algérie. L’Instruction n° 06-2025 de la Bank of Algeria restreint en outre toutes les opérations de paiement au dinar algérien, ajoutant une couche de contrôle des devises au cadre réglementaire. La loi algérienne sur le e-commerce exige que les entreprises de vente en ligne hébergent leurs sites dans le pays. Les dossiers médicaux des patients sont classés comme données personnelles sensibles au titre de Law 18-07, nécessitant des garanties renforcées pour tout transfert international.

L’impact concret : trois scénarios d’entreprise

Une multinationale implantée en Algérie. Une entreprise utilisant Azure ou AWS hébergé en Europe pour les données de ses employés et clients algériens peut continuer à le faire — à condition que le pays d’hébergement bénéficie d’une décision d’adéquation de l’ANPDP. La France (en tant que membre de l’UE/RGPD) remplit ce critère. L’entreprise doit disposer d’accords de traitement des données en bonne et due forme, d’une information claire aux personnes concernées et de registres de traitement documentés. Ce scénario exige de la documentation, pas de changement d’infrastructure. Toutefois, l’entreprise devrait surveiller attentivement les décisions d’adéquation de l’ANPDP — la liste des pays approuvés n’est pas figée et pourrait changer.

Une fintech algérienne. Une société de portefeuille numérique agréée au titre de la réglementation PSP 2025 de la Bank of Algeria ne peut pas s’appuyer sur un cloud public étranger pour ses fonctions bancaires de base — toutes les données de transactions de paiement doivent rester sur le territoire national. Les options possibles : utiliser Algérie Télécom Cloud pour le niveau de données réglementées tout en exploitant un cloud international pour les charges non réglementées (développement, analyses anonymisées), ou construire une architecture hybride avec une infrastructure locale pour les données réglementées et des services internationaux flexibles pour le reste. L’écosystème fintech en pleine croissance — notamment des plateformes comme Slick Pay et MAYSTRO Pay — navigue ces exigences en temps réel.

Un prestataire IT du secteur public. Au titre du Decree 25-320, toute application développée pour un ministère algérien doit présumer que les données publiques sont classifiées et nécessitent un hébergement national. Algérie Télécom a développé son empreinte de centres de données à cette fin — en 2023, l’opérateur a inauguré un nouveau data center à Constantine, doté d’une plateforme cloud d’entreprise intégrée. Le portail gouvernemental Bawabatak héberge désormais plus de 340 services publics numérisés, et les prestataires construisant pour cet écosystème doivent opter par défaut pour une infrastructure locale. Les appels d’offres publics privilégient de plus en plus les services cloud locaux disposant des certifications de sécurité appropriées.

L’opportunité de marché

Les lois de localisation algériennes créent un marché protégé que seuls les fournisseurs implantés dans le pays peuvent desservir. Plusieurs dynamiques convergent pour rendre cette opportunité significative.

Numérisation de l’État. L’Algérie prévoit plus de 500 projets d’e-gouvernement et de numérisation en 2025-26, nécessitant quasi tous des infrastructures cloud et de centres de données conformes aux normes de souveraineté. Cela représente un marché captif pour les fournisseurs locaux conformes.

Croissance des centres de données. Le marché algérien des infrastructures de centres de données pesait environ 217,87 millions de dollars en 2025 et devrait atteindre 447,27 millions de dollars d’ici 2035, porté par la demande croissante de l’État et des entreprises en hébergement local sécurisé. Les nouvelles lois de protection des données et les politiques de cloud souverain stimulent l’investissement continu dans les installations algériennes. Le centre de données d’El Mohammedia est désormais opérationnel (achevé à 80 %), un second est en construction à Blida (achevé à 50 %), et la pose de la première pierre du Centre de supercalcul’IA d’Oran — équipé de clusters GPU pour les charges de travail d’IA — a eu lieu en mars 2025.

Expansion cloud portée par les télécoms. Les opérateurs télécoms algériens se positionnent comme fournisseurs de cloud souverain. Algérie Télécom a considérablement élargi son portefeuille cloud, et en février 2025, Djezzy a lancé sa propre offre de services cloud — ajoutant une pression concurrentielle et élargissant les options cloud disponibles dans le pays pour les entreprises. Le marché algérien du cloud public devrait atteindre 1,12 milliard de dollars d’ici 2030 selon Statista, reflétant l’effet combiné des exigences réglementaires et de la demande de transformation numérique.

Demande du secteur bancaire. L’Algérie compte 21 banques commerciales — six publiques et quinze privées — en pleine transformation numérique accélérée. Avec les exigences strictes d’hébergement des données désormais en vigueur pour les fintechs et les services de paiement, le secteur bancaire représente un marché cloud significatif et croissant pour les fournisseurs conformes. L’impulsion de la Bank of Algeria en faveur des paiements numériques (BaridiMob, cartes interbancaires CIB) génère des volumes de données transactionnelles qui nécessitent une infrastructure locale robuste.

Dynamique mondiale du cloud souverain. La région Moyen-Orient et Afrique a enregistré un taux de croissance de 89 % des dépenses en cloud souverain — le plus élevé au monde selon Gartner — alors que les gouvernements de la région mettent en œuvre des exigences de localisation des données similaires à celles de l’Algérie. Les dépenses mondiales en infrastructure de cloud souverain devraient atteindre 80 milliards de dollars en 2026. AWS a lancé son European Sovereign Cloud à Brandebourg, en Allemagne début 2026 — une instance physiquement et logiquement séparée des régions mondiales, exploitée exclusivement par du personnel résident de l’UE. Microsoft et Google ont construit des partenariats similaires de cloud souverain en Europe et au Moyen-Orient. Le cadre réglementaire algérien crée les mêmes conditions qui ont justifié les investissements en cloud souverain sur ces marchés.

Ce que les fournisseurs cloud internationaux devraient faire

Le premier hyperscaler à implanter une région algérienne ou à établir un partenariat local pleinement conforme captera une part disproportionnée de ce marché verrouillé. Les stratégies pratiques incluent le partenariat avec des opérateurs télécoms ou exploitants de centres de données algériens via des coentreprises, le déploiement d’architectures hybrides (comme AWS Outposts ou Azure Stack) maintenant les données sensibles sur une infrastructure locale tout en exploitant le cloud mondial pour les autres charges, et l’engagement actif auprès de l’ANPDP et du CNSSI pour obtenir les certifications de conformité. En l’absence de région de cloud hyperscale en Algérie — les régions AWS les plus proches se trouvent en Afrique du Sud et au Moyen-Orient — le déficit de conformité est aussi un avantage concurrentiel à saisir.

Pour les fournisseurs locaux, la fenêtre est maintenant. La concurrence internationale arrivera inévitablement — par le biais de partenariats avec des hyperscalers, de constructions locales de centres de données ou de négociations réglementaires. Les entreprises qui établissent une crédibilité cloud dans le pays, développent une expertise en conformité et verrouillent les contrats gouvernementaux et bancaires durant cette période de protection bénéficieront d’un avantage structurel qui persiste même après l’intensification de la concurrence étrangère.

Questions Fréquemment Posées

Sources et lectures complémentaires

• CMS Expert Guide — Algeria Data Protection
• Digital Policy Alert — Algeria 2025 Edition
• Algeria Data Governance Decree — We Are Tech Africa
• Algeria Fintech Regulation — Startup Researcher
• Algeria DC Market — DC Market Insights
• AWS Global Infrastructure
• AWS European Sovereign Cloud Launch
• Sovereign Cloud Trends — IT Pro
• Statista — Prévisions marché IA Algérie