Réguler les données sans tarir la valeur : ce que le rapport OCDE-OMC 2025 enseigne à nos politiques numériques

Pourquoi cette contribution, et pourquoi maintenant ?

Publié en janvier 2025 par l’OCDE et l’OMC, le rapport « Economic Implications of Data Regulation : Balancing Openness and Trust » est l’une des premières tentatives de mesurer, au moyen d’un modèle d’équilibre général calculable, ce que coûtent et ce que rapportent les règles encadrant la circulation des données. Sa portée est cependant mondiale et son registre délibérément hypothétique. Il raisonne sur des scénarios généralisés à toutes les économies et agrège le Sénégal avec les autres pays subsahariens à revenu intermédiaire inférieur. Il ne dit donc rien, par construction, des arbitrages concrets qu’un État africain doit rendre entre souveraineté, attractivité et recettes publiques.

C’est l’objet de la présente contribution : traduire les enseignements de l’étude en une grille de lecture opérationnelle pour nos politiques numériques, en les confrontant à la stratégie nationale et aux données de la GSMA3 sur l’économie mobile. L’étude fournit l’évidence économique ; il revient à l’expertise juridique et régulatoire d’en tirer la norme.

Elle intervient à un moment de bascule. En dix-huit mois, le Sénégal a lancé le New Deal technologique (février 2025), institué des prélèvements de 0,5 % sur les transferts d’argent, plafonnés à 2 000 FCFA par opération, ainsi que sur les paiements marchands et certains retraits (loi n°2025-17 du 27 septembre 2025), et rétabli les droits de douane sur les téléphones, suspendus depuis 2008. Le 20 août 2026, l’Assemblée nationale a adopté l’unanimité la loi n°25/2026 sur les infrastructures d’information critiques, qui confie le stockage des données de l’État à des infrastructures situées sur le territoire national, sauf dérogation.

Lors des débats, des députés ont plaidé pour que les données personnelles des Sénégalais soient, elles aussi, hébergées et gérées dans le pays. La mise en œuvre de cette loi s’engage, et les choix arrêtés dans les prochains mois fixeront durablement le régime des données du pays. C’est maintenant que l’évidence économique doit éclairer la norme juridique.

I. Ma lecture : l’objet central et les cinq messages

Ma thèse tient en une proposition. La souveraineté numérique ne se conquiert pas en fermant les frontières des données. Elle se construit en organisant leur circulation sous conditions de confiance. De ma lecture du rapport,

croisée avec la stratégie nationale et les données de la GSMA, je tire cinq messages.

▪ La confiance est une infrastructure économique. Bien régulés, les flux de données produisent davantage de valeur que dérégulés.

▪ La localisation n’est pas la souveraineté. La copie locale coûte peu ; l’interdiction de transfert détruit de la valeur.

▪ Le New Deal a raison sur le cap, mais ses instruments, mal calibrés, peuvent produire l’effet inverse de celui recherché.

▪ Le gisement de valeur réside désormais dans l’usage, et non plus dans la seule couverture.

▪ Le régulateur doit devenir anticipatif et adaptatif : graduer, mesurer, converger, réviser.

II. Ce que dit le rapport OCDE-OMC

Le rapport combine trois outils : le modèle d’équilibre général calculable de l’OMC, une estimation économétrique adossée à l’indice DSTRI4 de l’OCDE et une enquête auprès de 85 entreprises. J’y vois une rupture avec la doxa qui réduit la régulation des données à un coût de transaction : selon le rapport, les règles de Organisation de coopération et de développement économiques (OCDE) et Organisation mondiale du commerce (OMC).

La démonstration me paraît décisive. Supprimer toute règle sur les flux allégerait les coûts de conformité et ferait

progresser le PIB mondial de 1,28 %. Mais l’érosion de la confiance qui en résulte fait basculer le solde à −0,91 %. Cet écart de plus de deux points de PIB mesure la valeur économique de la confiance. À l’inverse, la généralisation de régimes « ouverts avec garanties », dans l’esprit du Data Free Flow with Trust, augmenterait le PIB mondial de 1,77 % et les exportations de 3,6 %. Pour les pays à revenu faible et intermédiaire inférieur, dont le Sénégal, le gain dépasserait 4 % du PIB.

Le rapport distingue ensuite deux mesures trop souvent confondues. La copie locale obligatoire, sans restriction

de transfert, a un effet macroéconomique négligeable. L’interdiction de transfert, elle, est destructrice : généralisée, elle ampute le PIB mondial de 4,63 % et les exportations de 8,49 %. J’en distingue cinq effets ; les quatre premiers sont documentés par le rapport, le dernier relève de ma propre analyse :

 Elle rompt la logique de non-rivalité des données, dont la valeur naît de leur agrégation ;

▪ Elle impose la duplication des infrastructures, soit un surcoût de gestion d’environ 55 %, contre 16 % pour un simple stockage local ;

▪ Elle évince d’abord les PME et les start-ups, en raison du poids des coûts fixes de conformité ;

▪ Elle fait sortir des opérateurs du marché, 8 % des entreprises interrogées déclarant qu’elles cesseraient d’opérer dans certains pays ;

▪ Elle expose enfin le pays à des mesures de réciprocité de la part de ses partenaires.

Les télécoms sont en première ligne : une hausse de 0,04 point du DSTRI renchérit de 16,25 % leurs coûts d’exportation. Encore faut-il, à mon sens, bien lire la méthode. Le cadre réglementaire analysé est récent : l’enquête auprès des entreprises a été conduite en mai-juin 2022, la cartographie des mesures de localisation date de 2023 et l’estimation économétrique mobilise l’indice DSTRI sur la période 2014-2018. Seule la matrice

de l’économie mondiale qui sert à calibrer le modèle, la base GTAP 117, a pour année de référence 2017 ; c’était la plus récente disponible lors de la modélisation. Le poids des données dans l’économie ayant fortement crû depuis, j’estime pour ma part que les ordres de grandeur sont sous-estimés plutôt que surestimés. Le rapport assume d’autres limites : il ignore les économies d’échelle et les externalités de réseau, son échantillon d’entreprises est restreint et dominé par des groupes japonais et américains, et le Sénégal y est agrégé avec les autres économies subsahariennes à revenu intermédiaire inférieur. Il livre donc des ordres de grandeur et des mécanismes, pas une vérité chiffrée pour le Sénégal.

III. Lire le New Deal Technologique à la lumière de l’OCDE-OMC : un marché par essence mondial

À mes yeux, le marché numérique est structurellement mondial. Le calcul, les modèles d’intelligence artificielle, le cloud et les chaînes de valeur des services se déploient à l’échelle planétaire. Un marché national de 18 millions d’habitants ne peut, à lui seul, offrir l’effet d’échelle qui fonde la compétitivité. Le New Deal et le rapport convergent sur la finalité, la confiance numérique. Ils divergent potentiellement sur les instruments : le premier privilégie la localisation, le second l’organisation des flux sous garanties. La ligne de crête consiste donc à concevoir la souveraineté comme une capacité de contrôle et non comme une frontière.

Les convergences sont réelles. Avec la loi 2008-12 et la CDP8, le Sénégal relève déjà, selon mon analyse, de la catégorie 29 de la typologie du rapport, celle des transferts soumis à garanties : il se trouve du bon côté du scénario le plus favorable. Réserver l’hébergement obligatoire aux données de l’État relève d’une mesure sectorielle, que le rapport juge bien moins coûteuse qu’une localisation généralisée. L’identité numérique et la dématérialisation des services publics alimentent en outre directement le canal de la confiance.

J’identifie toutefois sept points d’alerte.

▪ Le glissement du périmètre. On risque de passer des données publiques aux données personnelles et « vitales » du secteur privé. Or les simulations du rapport chiffrent le coût d’une localisation généralisée à 4,63 % du PIB mondial, contre 0,56 % pour une mesure sectorielle, soit « près de neuf fois plus » selon ses propres termes.

▪ Des dérogations discrétionnaires. Accordées au cas par cas, elles reconstituent le régime d’autorisation ad hoc, le plus coûteux et le moins prévisible selon le rapport.

▪ Une confusion entre localisation et sécurité. Seules 30 % des entreprises interrogées par l’OCDE- OMC estiment que la localisation sert la protection de la vie privée ou la sécurité ; environ 70 % en doutent ou ne se prononcent pas. J’ajoute qu’un datacenter unique constitue un point unique de défaillance.

▪ La souveraineté se joue dans le contrat plus que dans le lieu. Un cloud « souverain » opéré avec un partenaire étranger reste exposé à l’extraterritorialité, CLOUD Act compris, faute de maîtrise des clés de chiffrement, du droit applicable, de la réversibilité et de l’audit.

▪ Le risque de rente. Il naît si l’exploitant du datacenter national n’est pas fonctionnellement séparé de l’autorité d’homologation.

▪ La contradiction fiscale. Taxer l’usage revient à accroître un coût de transaction qui érode précisément le canal de l’adoption.

▪ L’ambition de hub régional. Un hub héberge les données des autres ; il suppose l’ouverture et l’interopérabilité avec tous les blocs.

IV. Le parallèle avec la GSMA : la valeur est dans l’usage

Les données publiées par la GSMA, organisation représentative des opérateurs mobiles, dans son rapport sur le Sénégal de décembre 2025 et dans The Mobile Economy Africa 2026, rejoignent sur un point l’analyse de l’OCDE-OMC : le frein n’est plus le réseau mais l’adoption. En Afrique, 9 % seulement de la population vit hors couverture haut débit mobile, mais 63 % vit en zone couverte sans utiliser l’internet mobile. Sur les 240 milliards de dollars apportés par le mobile à l’économie africaine en 2025, 150 milliards proviennent des gains de productivité des utilisateurs.

Le cas sénégalais est éloquent. La couverture 4G atteint 97 % de la population, mais l’écart d’usage s’élève à 54 % : 8,16 millions de personnes, soit 43 % de la population, utilisent l’internet mobile. Un smartphone d’entrée de gamme coûte en moyenne 31 dollars, soit 19 % du PIB mensuel par habitant et 42 % pour les 40 % les plus pauvres, dont 21 % de fiscalité. Les réformes fiscales d’octobre 2025 ont fait chuter la note du Sénégal sur le volet fiscal de l’indice DPRI12 de 65 à 31, entraînant un recul du score global de 69 à 62/100.

À l’horizon 2030, des réformes ciblées permettraient de connecter 2,6 millions de personnes supplémentaires, de créer 1 100 milliards FCFA de valeur ajoutée (5 % du PIB) et 280 000 emplois, pour un impact fiscal net de 417 milliards FCFA.

Je lis ces projections avec la distance qui s’impose. La GSMA porte la voix de ses adhérents, et ses chiffrages servent aussi un plaidoyer en faveur de l’allègement de la fiscalité sectorielle ; ils appellent une contre-expertise publique. Les précédents ghanéen et sud-africain me paraissent en revanche probants : l’abrogation de la taxe sur le mobile money au Ghana a porté les volumes de transactions à +31 % en un an, et la suppression de l’accise sur les smartphones d’entrée de gamme en Afrique du Sud a provoqué un rebond immédiat des ventes. J’en retiens une leçon convergente avec celle de l’OCDE-OMC : élargir l’assiette par l’usage rapporte davantage que surtaxer le secteur.

V. Les orientations que je préconise

La doctrine que je propose tient en une phrase : réguler l’accès et la confiance plutôt que l’emplacement, mesurer avant de contraindre, converger plutôt que s’isoler, réviser plutôt que figer.

Elle commande d’abord de sécuriser la mise en œuvre de la loi n°25/2026, en circonscrivant strictement le périmètre de la localisation, en rendant prévisible le régime des dérogations et en organisant une coordination

effective entre les autorités qui interviennent sur la donnée, du régulateur sectoriel à la CDP, de l’Autorité. Elle exige aussi de mettre la politique fiscale en cohérence avec les objectifs d’usage du New Deal, sur la base d’études d’impact publiques plutôt que de projections sectorielles. Elle appelle enfin une modernisation du droit des transferts transfrontières, fondée sur des garanties reconnues, et une ambition régionale : faire de l’espace

UEMOA-CEDEAO, en cohérence avec la ZLECAf et le cadre de politique des données de l’Union africaine16, un véritable espace de confiance des données. Ces orientations doivent se décliner en une feuille de route opérationnelle, séquencée et assortie de porteurs institutionnels.

Conclusion : de la régulation de la donnée à la régulation par la donnée

Le débat sénégalais et africain sur la donnée oscille entre deux pôles : l’exaltation de la souveraineté, qui pousse à la localisation, et l’impératif d’attractivité, qui plaide pour l’ouverture. L’étude OCDE-OMC permet d’en sortir, à condition d’en tirer les conséquences juridiques. C’est le sens de cette contribution.

Elle invite d’abord à requalifier la souveraineté : non plus un lieu de stockage, mais une capacité de contrôle, mesurable et opposable. Elle plaide ensuite pour que chaque mesure soit examinée avant son adoption au regard

de sa proportionnalité, et pour que la fiscalité du numérique et la régulation des données, qui agissent sur le même ressort, l’adoption fondée sur la confiance, soient enfin pensées ensemble.

Elle appelle surtout à passer d’une régulation de la donnée à une régulation par la donnée. Un régulateur qui ne dispose que d’études mondiales, d’agrégats régionaux et de projections d’acteurs intéressés régule à l’aveugle ; il lui revient de produire ses propres données pour fonder, évaluer et réviser ses décisions. Elle rappelle enfin que le marché pertinent de la donnée est régional et continental, et que c’est à cette échelle que la confiance doit s’organiser.

J’en suis convaincu : Une souveraineté qui fait fuir l’investissement, renchérit l’usage et isole le pays de ses partenaires régionaux ne serait qu’une souveraineté de façade. L’enjeu est de construire une régulation anticipative et adaptative, à la hauteur d’un marché qui, lui, est déjà mondial.

Dr Isaac I. SISSOKHO, expert en Gouvernance, Régulation et Stratégie de Développement Numérique

Dakar, octobre 2026

1-Référence : OECD/WTO(2025), Economic Implications of Data Regulation : Balancing Openness and Trust, OECD Publishing, Paris, https://doi.org/10.1787/aa285504-en.

2-Un modèle d’équilibre général calculable simule l’ensemble de l’économie mondiale (pays, secteurs, échanges, consommations intermédiaires) et calcule comment un choc, ici une règle sur les données, se propage jusqu’au PIB et aux exportations. Ses résultats sont des écarts entre scénarios, non des prévisions.

3-GSMA : association mondiale qui fédère les opérateurs de téléphonie mobile et les acteurs de leur écosystème. Elle publie des études de référence sur l’économie mobile ; ses recommandations relèvent aussi du plaidoyer sectoriel.

4-DSTRI (Digital Services Trade Restrictiveness Index) : indice de l’OCDE qui mesure, sur une échelle de 0 (ouvert) à 1 (fermé), les obstacles réglementaires au commerce des services numériques. Ses séries débutent en 2014.1protection engendrent un bénéfice endogène, la confiance, qui accroît la disposition à payer des clients et donc la demande adressée aux entreprises.

5-Data Free Flow with Trust (DFFT), ou « libre circulation des données en confiance » : concept porté par le Japon au G20 d’Osaka en 2019. Il désigne des régimes qui autorisent les transferts de données à condition que des garanties de protection les accompagnent à destination.

6-Les données sont dites « non rivales » : leur usage par un acteur n’empêche pas leur usage simultané par un autre, et leur copie ne coûte presque rien. Leur valeur augmente lorsqu’elles sont combinées à d’autres données.

7-GTAP (Global Trade Analysis Project) : base de données de l’Université Purdue qui harmonise les comptes nationaux et les tableaux entrées-sorties de plus de 140 régions du monde. La version 11 a pour année de référence 2017 ; sa construction impose un décalage de plusieurs années entre l’année décrite et la publication.

8-La CDP (Commission de protection des Données Personnelles) est l’autorité administrative indépendante créée par la loi n°2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel.

9-Le rapport classe les régimes de transfert en quatre catégories : 0 (aucune règle), 1 (garanties ouvertes, responsabilité ex post), 2 (garanties pré- autorisées : décisions d’adéquation, clauses contractuelles types) et 3 (autorisation ad hoc, au cas par cas). La catégorie 3 est la plus coûteuse et la moins prévisible.

10-Le CLOUD Act américain (2018) permet aux autorités des États-Unis d’exiger d’un fournisseur soumis à leur droit la communication de données qu’il contrôle, quel que soit le lieu de stockage. La maîtrise des clés de chiffrement par l’entité nationale en est la principale parade technique.

11-L’écart d’usage désigne la part de la population qui vit dans une zone couverte par le haut débit mobile mais n’utilise pas l’internet mobile. Il se distingue de l’écart de couverture, qui mesure la population hors de portée du réseau. Les indicateurs ne mesurent pas la même chose : la GSMA compte les utilisateurs uniques de l’internet mobile (43 % de la population) ; l’UIT mesure la part des individus utilisant internet par tout moyen (60,1 % en 2024, selon la base de la Banque mondiale) ; l’ARTP rapporte le nombre de lignes internet à la population, ce qui inclut les abonnements multiples et peut dépasser 100 %.

12-DPRI (Digital Policy and Regulatory Index) : indice de la GSMA, noté sur 100, qui évalue la qualité du cadre politique, fiscal et réglementaire du numérique d’un pays.

13-nationale de cybersécurité à la BCEAO13. Elle suppose ensuite de faire de la maîtrise effective des données, plutôt que de leur seule localisation, le critère d’homologation des services cloud, et de prévenir toute confusion des rôles entre l’opérateur des infrastructures publiques et l’autorité qui les contrôle

13-BCEAO : Banque centrale des États de l’Afrique de l’Ouest, compétente pour la réglementation et la supervision de la monnaie électronique dans l’espace UEMOA.

14-Une décision d’adéquation reconnaît que la protection des données dans un pays tiers est équivalente à celle du pays d’origine ; les transferts y deviennent libres. À défaut, les entreprises recourent à des clauses contractuelles types approuvées par l’autorité ou à des règles d’entreprise contraignantes (BCR) applicables au sein d’un groupe.

15-UEMOA : Union économique et monétaire ouest-africaine (huit États). CEDEAO : Communauté économique des États de l’Afrique de l’Ouest, dont l’Acte additionnel A/SA.1/01/10 de 2010 encadre la protection des données personnelles.

16-ZLECAf : Zone de libre-échange continentale africaine, dont l’accord a été signé à Kigali en 2018. Son protocole sur le commerce numérique, adopté par l’Union africaine en 2024, traite notamment des flux transfrontières de données. Le cadre de politique des données de l’Union africaine (2022) promeut des flux de données harmonisés et sécurisés à l’échelle du continent.

17-Inspiré du droit du commerce international, le test de proportionnalité vérifie successivement que la mesure poursuit un objectif légitime, qu’elle présente un lien démontré avec cet objectif et qu’aucune mesure moins restrictive ne permettrait de l’atteindre.