Truecaller au Nigeria : la justice juge que votre accord ne vaut pas pour vos contacts, mais déboute les plaignants

Quand vous installez une application d’identification d’appel et que vous acceptez de partager votre répertoire, vous donnez votre accord. Mais qu’en est-il des dizaines ou centaines de personnes enregistrées dans ce répertoire, qui n’ont rien demandé ? C’est la question qu’a tranchée la Haute Cour de l’État de Lagos, dans une décision rendue en septembre 2026 contre Truecaller, l’application suédoise qui affiche le nom de l’appelant et filtre les appels indésirables.

La réponse est nuancée, et c’est ce qui la rend importante. Sur le fond, le tribunal a donné raison aux plaignants. Sur l’issue, il les a déboutés. Pour les Nigérians, comme pour toutes les entreprises qui exploitent des données fournies par une personne sur une autre, cette décision trace une ligne.

Qui attaquait, et pourquoi

Les plaignants, parmi lesquels l’association des juristes spécialistes de la protection des données (Incorporated Trustees of the Data Privacy Lawyers Association), agissaient au nom de personnes qui n’utilisent pas Truecaller. Ils demandaient au tribunal de déclarer que la collecte, la conservation et la diffusion de leurs numéros violaient le droit à la vie privée garanti par l’article 37 de la Constitution et par la partie V de la loi nigériane de 2023 sur la protection des données (NDPA).

Ils réclamaient l’arrêt du traitement des données des non-utilisateurs, leur suppression, et 300 millions de nairas de dommages et intérêts, soit environ 226 000 dollars.

Le consentement ne se donne pas pour autrui

Sur le point central, le juge a été clair. Le fait qu’un utilisateur ait accepté les conditions de l’application, ou autorisé l’envoi de ses contacts, ne suffit pas à établir un consentement implicite des personnes dont les numéros figurent dans son répertoire. Selon les extraits du jugement publiés par TechCabal, admettre la thèse de l’entreprise reviendrait à vider de sa substance la règle de protection de la vie privée et la définition du consentement prévue par la loi.

« Accepter cette théorie du consentement implicite viderait complètement de sa substance la règle de la vie privée et la définition du consentement prévue par la loi. »

Haute Cour de l’État de Lagos, extrait du jugement

Le tribunal a aussi jugé que Truecaller agissait, dans ce cas, à la fois comme responsable du traitement et comme sous-traitant, avec l’obligation de protéger ces données et de ne pas les communiquer sans justification légitime. Il a rappelé que l’« intérêt légitime », autre fondement juridique possible, trouve sa limite quand il empiète sur les droits et libertés fondamentaux de la personne concernée.

La défense de Truecaller

Truecaller ne s’appuyait pas seulement sur le consentement. L’entreprise invoquait l’intérêt public et l’intérêt légitime prévus à l’article 25 de la NDPA, ainsi que l’exception de sécurité publique de l’article 45 de la Constitution. Son argument : l’identification des appels, la détection du spam et le filtrage des fraudes protègent les Nigérians contre les arnaques et le harcèlement téléphonique, un fléau bien réel dans le pays.

L’entreprise a aussi décrit son fonctionnement. Sa recherche serait de type « numéro contre nom » : pour voir un nom, il faut déjà connaître le numéro. Elle n’exposerait donc pas de coordonnées à des inconnus. Elle affirme ne pas envoyer automatiquement les carnets d’adresses : selon le jugement, les contacts ne sont transmis que si l’utilisateur active une fonction de recherche avancée, dans certaines versions de l’application distribuées hors des boutiques officielles, et confirme qu’il est autorisé à le faire.

Pourquoi la plainte a quand même échoué

Après avoir jugé l’argument du consentement irrecevable, le tribunal est passé à une autre question : les plaignants avaient-ils prouvé, preuves à l’appui, que leur droit constitutionnel à la vie privée avait été violé ? Sa réponse a été négative. Toutes les demandes ont été rejetées : injonctions, suppression des données et dommages et intérêts.

Pour l’avocat des plaignants, Olumide Babalola, qui préside la commission de protection des données du barreau nigérian, la décision ne valide pas pour autant le modèle de l’entreprise. « Le seul point qui leur est favorable, c’est que nous n’avons pas joint de preuves du préjudice », a-t-il déclaré à TechCabal, ajoutant que cela ne remettait pas en cause les conclusions sur l’absence de consentement et d’intérêt légitime. Les plaignants comptent faire appel sur la question du préjudice.

Truecaller, de son côté, retient que le tribunal a reconnu l’utilité de l’identification d’appel pour la sécurité publique. L’entreprise a annoncé qu’elle ne suspendrait ni ne modifierait son service au Nigeria.

Ce que dit la loi de 2023

La loi nigériane sur la protection des données, adoptée en 2023, a créé la Commission de protection des données (NDPC) et fixé les bases légales qui permettent de traiter une donnée personnelle : le consentement, l’exécution d’un contrat, une obligation légale, l’intérêt vital de la personne, une mission d’intérêt public ou un intérêt légitime. Le consentement, lorsqu’il est invoqué, doit être libre, spécifique, éclairé et sans ambiguïté. Autrement dit, personne ne peut consentir à la place d’un autre.

Le jugement de Lagos applique cette règle à une situation très courante. Il ne dit pas que l’identification d’appel est illégale, ni que Truecaller doit fermer. Il dit que, pour les non-utilisateurs, l’entreprise doit trouver une autre base légale que le consentement de ses clients, et que cette base, notamment l’intérêt légitime, reste encadrée par les droits fondamentaux des personnes concernées.

Le raisonnement rejoint des débats déjà connus au Nigeria. Les autorités ont sévi ces dernières années contre des applications de prêt qui aspiraient les répertoires de leurs clients pour harceler leurs proches en cas de retard de paiement. Là aussi, des personnes qui n’avaient rien signé se retrouvaient exposées par les données d’un autre. La décision Truecaller donne un fondement juridique plus net à ce type de contestation.

Un trou dans le droit nigérian

La décision met en lumière une faille du système nigérian de protection des données : une entreprise peut ne pas avoir de base légale pour traiter vos données, et vous pouvez pourtant n’obtenir aucune réparation, faute de démontrer un préjudice concret. Or le préjudice lié à une atteinte à la vie privée est souvent diffus et difficile à chiffrer.

Au-delà de Truecaller, la portée est large. Réseaux sociaux qui suggèrent des amis à partir de votre carnet d’adresses, applications de messagerie, services de prêt qui aspirent les contacts pour relancer les emprunteurs : tous reposent, à des degrés divers, sur des données qu’une personne fournit au sujet d’une autre. La Haute Cour de Lagos vient de dire que le consentement de l’un ne vaut pas pour l’autre. La Commission nigériane de protection des données (NDPC) pourrait s’en saisir pour préciser les règles.

En attendant l’appel, le message est double. Pour les utilisateurs, le partage d’un répertoire n’est pas un geste anodin : il engage d’autres personnes. Pour les entreprises, invoquer un consentement « par ricochet » ne tient plus devant un juge nigérian. Il faudra désormais une base légale solide, et être prêt à la défendre.