La CBN accorde aux banques et fintechs 6 mois pour stocker les données de transactions des clients au Nigeria

La Banque centrale du Nigeria (CBN) a ordonné à toutes les institutions financières et opérateurs de paiement de stocker et gérer les données de transactions de paiement générées au Nigeria sur des serveurs locaux, accordant au secteur jusqu'au 1er janvier 2027 pour se conformer pleinement à cette exigence.

La directive, contenue dans une circulaire signée par Rakiya O. Yusuf, Directrice du Département de supervision des systèmes de paiement, s'adressait aux banques de dépôt, aux banques de microfinance, aux opérateurs de monnaie mobile, aux sociétés de commutation et de traitement, aux prestataires de services de terminaux de paiement, aux prestataires de solutions de paiement, aux super agents et aux autres opérateurs de paiement agréés.

La CBN a précisé que l'exigence de localisation devait être conforme aux lois et réglementations nigérianes en matière de protection des données, et qu'elle surveillerait la conformité et imposerait des sanctions de supervision si nécessaire.

La circulaire, référencée PSS/DIR/PUB/CIR/001/004 et datée du 15 juin 2026, a également introduit des exigences de structure de marché plafonnant la part de marché de toute institution unique dans les activités d'émission de cartes ou d'acquisition de commerçants à 25 %, avec une restriction supplémentaire selon laquelle toute entité franchissant ce seuil ne peut simultanément détenir plus de 15 % dans l'autre activité.

Les institutions concernées doivent se conformer aux règles de structure de marché d'ici le 31 décembre 2026, un jour avant l'entrée en vigueur de la date limite de localisation des données.

La CBN a indiqué que l'ensemble des mesures visait à réduire le risque de concentration, à améliorer la transparence et à promouvoir un écosystème de paiements équitable et résilient, notant que la croissance rapide des paiements numériques avait engendré des opérateurs disposant d'une présence importante sur le marché dans des activités de paiement clés, soulevant ainsi des préoccupations structurelles.

La circulaire exige également que toutes les institutions financières ayant une empreinte dans les paiements numériques divulguent la propriété bénéficiaire ultime des actionnaires importants, en tenant des registres précis et à jour disponibles pour la CBN sur demande.

Lire aussi : CBN PSV 2028 : Comment le Nigeria utilise l'eNaira et les stablecoins pour bancariser 50 millions de personnes

Quel serait réellement le coût du stockage local ?

L'exigence de localisation des données intervient à un moment où le paysage des infrastructures numériques du Nigeria peine encore à suivre le rythme des volumes de transactions que le secteur des paiements traite déjà.

Pour les institutions qui s'appuient actuellement sur des infrastructures cloud offshore, qu'il s'agisse de grands fournisseurs mondiaux tels qu'AWS, Google Cloud ou Microsoft Azure, la conformité impliquera soit de migrer les charges de travail vers des centres de données locaux, soit de négocier des zones de disponibilité locales avec ces mêmes fournisseurs — deux options qui ne sont ni simples ni peu coûteuses.

Les coûts se répartissent en au moins trois catégories.

• La première est la dépense en capital, couvrant la capacité de stockage local physique ou contractuelle que de nombreuses fintechs de petite taille, banques de microfinance et prestataires de solutions de paiement ne possèdent pas actuellement et ne peuvent pas facilement absorber.
• La deuxième est opérationnelle, couvrant la gestion continue, la certification de sécurité et les exigences d'audit qu'introduit l'hébergement local des données.
• La troisième, et la moins visible, est le risque de transition — la période allant de maintenant jusqu'en janvier 2027, durant laquelle les institutions doivent migrer des données de transactions en direct sans perturber les infrastructures de paiement dont dépendent quotidiennement des millions de Nigérians.

Pour les grandes institutions disposant d'une infrastructure technologique existante, le délai jusqu'en janvier 2027 est gérable, bien que peu confortable.

Gouverneur de la CBN, Yemi Cardoso

Pour la longue liste des opérateurs agréés, notamment les super agents et les petites sociétés de commutation, la directive fixe effectivement une horloge de conformité sans cadre d'accompagnement précisant comment les coûts seront absorbés ni si une assistance technique sera disponible.

Le cadrage de la CBN, centré sur la souveraineté des données et la surveillance réglementaire, est légitime et reflète des démarches similaires entreprises par des régulateurs en Inde, au Kenya et ailleurs sur le continent.

La question pratique est de savoir si le marché local des centres de données, encore dominé par un nombre limité de fournisseurs, peut évoluer suffisamment rapidement et à des tarifs suffisamment compétitifs pour servir l'ensemble de l'écosystème des paiements avant l'échéance.

Ce que la circulaire n'aborde pas, c'est la question de savoir si les institutions seront autorisées à utiliser des fournisseurs cloud internationaux exploitant des zones de disponibilité locales au Nigeria comme infrastructure conforme — une distinction qui pourrait modifier considérablement le calcul des coûts pour une grande partie du secteur, et que la CBN devra probablement clarifier avant que la planification de la conformité puisse avancer avec une quelconque précision.