Protéger les Etats, les entreprises et les citoyens de la menace cybersécuritaire passe en premier lieu par l’adoption de cadres légaux. Au niveau panafricain, la cybersécurité est régie par la Convention de Malabo, adoptée en 2014. Mais de nombreux pays du continent ne l’ont jamais signée ou ratifiée. Si certains d’entre eux ont pris la mesure de la menace et adopté des textes de lois dans ce cadre, le continent affiche un retard certain en termes de législations.
Camille Dubruelh
(CIO Mag) – “Face à l’actualité de la cybercriminalité, qui constitue une véritable menace pour la sécurité des réseaux informatiques et pour le développement de la société de l’information en Afrique, il est nécessaire de fixer les grandes orientations de la stratégie de répression de la cybercriminalité”. Convention de Malabo – 2014.
L’Afrique est entrée de plain-pied dans l’ère numérique. Le gap, qui séparait l’Afrique du reste monde, se comble d’année en année du fait d’une croissance forte et soutenue et grâce à la pénétration des marchés mobile et Internet. Les risques cybernétiques n’en constituent pas moins un fléau, qui pourrait saper ce secteur hautement stratégique. A l’heure actuelle, les pays africains sont loin d’avoir pris la mesure de la menace cybersécuritaire et accusent, pour la plupart, un retard certain en matière de lutte contre la cybercriminalité et dans la protection des données des citoyens. Notamment dans la mise en place de la conformité et des cadres légaux nécessaires pour sécuriser les échanges. Ces manquements engendrent un manque à gagner colossal… Plusieurs millions de dollars échappent ainsi chaque année aux Etats et aux entreprises.
L’Union Internationale des Télécommunications a publié l’Indice de la sécurité dans le monde pour 2017 (GCI-2017), qui permet de mesurer l’engagement des 193 Etats membres de l’UIT en faveur de la cybersécurité. Et les chiffres sont édifiants. En 2017, les pertes annuelles imputables aux cyberattaques se chiffraient par exemple à 649 millions de dollars pour le Nigeria, à 210 millions pour le Kenya ou encore à 157 millions pour l’Afrique du Sud. D’un point de vue global, en 2017, l’étude estimait les pertes pour le continent à 3,7 milliards de dollars. Ces chiffres ne tiennent pas compte de certaines attaques subies par les Etats et les grandes entreprises, qui préfèrent les passer sous silence pour éviter de s’exposer aux critiques et préserver leur image.
“Il y a quelques années, on se demandait si le continent était suffisamment doté en outils numériques. Aujourd’hui, l’Afrique est en plein dans le cyberespace, mais la question est de savoir si elle est assez protégée au plan de la cybersécurité. La menace est là et son évolution n’a pas de limite, car elle dépend de l’ingéniosité des cyber-attaquants”, analyse Elhadji Oumar Ndiaye, Docteur en Droit, spécialiste des problématiques liées à la cybersécurité et à la cybercriminalité.
Alors que faire pour protéger les économies et les populations de cette menace constante ? Pour les Etats, la priorité, pour y faire face, est de se doter des instruments juridiques adéquats.
La Convention de Malabo, un texte peu appliqué
“Sur le continent, la prise de conscience est là. Les autorités étatiques savent qu’il est nécessaire de mettre en place des stratégies et des législations. Les entreprises prennent également conscience de cette cybermenace”, estime le spécialiste. Selon lui, les acteurs du secteur ont commencé à travailler sur ces questions dès le début des années 2000. Le Burkina Faso (2004) ou encore le Sénégal (2008) ont été parmi les premiers Etats à se saisir de la question et à adopter des législations pour protéger les données de leurs citoyens.
A l’échelle de l’Union africaine, le texte de référence reste, aujourd’hui encore, la Convention de Malabo, adoptée en 2014. Sectionnée en plusieurs chapitres, elle propose un cadre légal très large pour permettre aux Etats de réguler les transactions électroniques, la protection des données personnelles et la lutte contre la cybercriminalité. Le problème, c’est qu’aujourd’hui, seuls 13 pays du continent l’ont signée (Bénin, Tchad, Comores, Congo, Ghana, Guinée-Bissau, Mauritanie, Sierra Leone, São Tomé-et-Príncipe, Zambie, Sénégal, Ile Maurice, Togo) et trois l’ont ratifiée, à savoir le Sénégal, l’Ile Maurice et plus récemment le Togo, en 2019.
“Cela ne signifie pas qu’il n’y a aucun cadre dans les autres Etats, rassure Elhadji Oumar Ndiaye. Beaucoup de pays n’ont pas ratifié le texte, mais s’en inspirent pourtant dans leurs législations nationales et transposent ces principes”, poursuit-il, citant l’exemple du Congo. Ce pays a adopté un arsenal législatif autour de ces questions, sans avoir encore ratifié la convention. “Il y a peut-être un problème de leadership, au sein de l’Union africaine, pour œuvrer à l’effectivité de cette Convention”, poursuit le Docteur en droit.
Adapter les législations aux nouvelles menaces
L’autre problématique est de savoir si la Convention de Malabo est assez moderne pour répondre à l’expansion des nouvelles technologies et aux nouvelles menaces induites. “C’est un texte qui s’inscrit dans une optique d’harmonisation à l’échelle du continent. Il a été rédigé de façon assez large pour englober le maximum de situations possibles et permettre ainsi aux Etats d’adapter les législations par rapport à l’évolution des technologies”, explique Elhadji Oumar Ndiaye. Mais, le cyberespace connaît des révolutions successives et ce, de façon exponentielle. Ainsi, “il serait utile que cette Convention soit revue, pour intégrer des problématiques comme le Big Data, les objets connectés, la 5G, la blockchain. Dès lors, il serait opportun d’envisager des études plus approfondies afin de déterminer les modalités de son adaptation au contexte actuel”.
Rédigée à l’ère de l’Internet 1.0, la Convention n’évoque en effet pas vraiment les risques de l’Internet collaboratif, que nous connaissons aujourd’hui, et encore moins ceux liés à l’expansion des nouvelles technologies, qui vont inonder le monde ces prochaines années.
“Le Big Data bouleverse le monde”, poursuit Elhadji Oumar Ndiaye. Il plaide pour une adaptation des législations de sorte que le principe de finalité en matière de protection des données personnelles soit mis au clair. “Quand une structure met en place de la récupération ou de la restitution des données, il faut que la finalité du traitement soit définie pour prendre en compte le consentement de la personne”. Heureusement, souligne-t-il, certains Etats n’ont pas attendu une mise à jour de la Convention pour revisiter leurs textes nationaux, notamment sur la protection des données à caractère personnel.
La 5G, une opportunité… à encadrer
Sur cette dernière question, les opérateurs télécoms sont en première ligne. Pour autant, cela constitue-t-il une menace pour les citoyens et les Etats ? “Je ne crois pas et c’est au législateur de définir les garde-fous, répond le spécialiste en droit. Il y a lieu de préserver la liberté d’entreprise, la circulation des données et les droits et libertés des personnes. La 5G n’est pas une menace, mais une opportunité, une aubaine, dans la mesure où les Etats mettront en place des mécanismes appropriés”.
Dans les prochaines années, les législateurs devront donc jouer aux équilibristes, afin de préserver l’intégrité des personnes, sans pour autant se priver des nouvelles technologies. Car plus celles-ci évolueront, plus les cyber-menaces se multiplieront.
Ainsi, si le support technologique change, les paradigmes, qui ont guidé à l’élaboration des législations, doivent eux-aussi être revus. “Tout l’enjeu se situe autour de la maîtrise des données. C’est la bataille à mener. Nous ne pouvons pas ériger de barrière face l’innovation”, conclut Elhadji Oumar Ndiaye.
Chiffres clés
– Treize Etats africains ont signé la Convention de Malabo de 2014
– Trois l’ont ratifié, le dernier étant le Togo en 2019
– La cybercriminalité a fait perdre 3,7 MA $ à l’Afrique en 2017
– Le Nigeria a perdu 649 M $ à lui seul en 2017
Paru dans CIO Mag N°64 Mai-Juin 2020 en téléchargement gratuit
