RGPD et externalisation offshore : guide pratique pour les entreprises

Externaliser vers le Maroc, la Tunisie ou Madagascar en restant conforme au RGPD : c'est possible, mais cela demande une préparation rigoureuse. Le règlement européen sur la protection des données s'applique pleinement aux traitements réalisés hors UE pour le compte d'un responsable de traitement établi en Europe. Voici les piliers à vérifier avant de signer un contrat d'externalisation.

Le principe est clair : délocaliser le traitement ne dispense jamais des obligations du RGPD. Le responsable du traitement reste comptable des données de ses clients, où qu'elles soient traitées. La bonne nouvelle, c'est qu'avec un partenaire structuré, des garanties appropriées et une documentation soignée, l'externalisation offshore est parfaitement compatible avec le règlement.

1. Le cadre juridique : décision d'adéquation ou pas ?

Le transfert de données personnelles vers un pays tiers (hors UE) n'est possible que dans deux cas de figure, encadrés par le chapitre V du RGPD (articles 44 à 49). Soit la Commission européenne a adopté une décision d'adéquationreconnaissant que le pays assure un niveau de protection suffisant — c'est le cas par exemple du Japon, de la Suisse ou de la Nouvelle-Zélande. Soit, à défaut, le transfert doit s'appuyer sur des garanties appropriées.

Le Maroc, la Tunisie ou Madagascar n'ont pas de décision d'adéquation. Tout transfert vers ces destinations doit donc reposer sur des clauses contractuelles types (SCC), des règles d'entreprise contraignantes(BCR) ou, dans certains cas, des codes de conduite et certifications. Chez Altavista360, nous utilisons les clauses contractuelles types de la Commission européenne (SCC 2021), actualisées après l'arrêt Schrems IIde la Cour de justice de l'UE. Ces clauses sont intégrées dans chaque contrat de service et complétées par une analyse d'impact des transferts (TIA) lorsque la situation locale l'exige.

2. Le contrat de sous-traitance (article 28)

L'article 28 du RGPD impose au sous-traitant de ne traiter les données personnelles que selon les instructions documentées du responsable du traitement. Concrètement, cela se traduit par un accord de sous-traitance (souvent appelé DPA, Data Processing Agreement) qui formalise : l'objet, la durée, la nature et la finalité du traitement ; le type de données et les catégories de personnes concernées ; les obligations de sécurité, de confidentialité et de coopération avec l'autorité de contrôle.

Ce contrat doit aussi prévoir les conditions de recours à un éventuel sous-traitant ultérieur (avec autorisation préalable), les modalités d'assistance pour répondre aux droits des personnes, et la suppression ou la restitution des données en fin de contrat. Sans cet article 28 correctement contractualisé, le projet d'externalisation est juridiquement fragile.

3. Sécurité, pseudonymisation et article 32

L'article 32 du RGPD exige la mise en œuvre de mesures techniques et organisationnelles adaptées au risque. Dans un centre offshore, cela se concrétise par plusieurs contrôles complémentaires. Les données clients transitent via des connexions chiffrées (VPN, TLS). En interne, les données sont pseudonymisées dès que possible : les agents voient un identifiant client, pas le nom complet. Les accès sont contrôlés par rôle (RBAC) selon le principe du moindre privilège, et toute consultation est tracée dans un journal d'audit immuable.

Côté organisationnel, on ajoute des bureaux en accès contrôlé, une interdiction des téléphones personnels et des clefs USB, une politique de clean desk, et une procédure formalisée de notification de violation de données (article 33) vers le responsable du traitement. La certification ISO/IEC 27001du centre est le référentiel de référence : elle garantit qu'un système de management de la sécurité de l'information est en place et audité.

4. La responsabilité : qui répond de quoi ?

Dans le cadre de l'externalisation, Altavista360 agit en tant que sous-traitantau sens du RGPD. Le client reste le responsable du traitementet porte la responsabilité principale vis-à-vis des personnes concernées et de l'autorité de contrôle. Cette distinction est clairement formalisée dans le contrat : nous ne prenons aucune décision sur les finalités et les moyens du traitement, nous exécutons selon les instructions documentées du client.

Cette répartition ne décharge pas pour autant le sous-traitant : il doit pouvoir démontrer sa conformité (principe de responsabilité, article 5 §2), conserver un registre des activités de traitement (article 30) et coopérer avec le responsable. Le suivi opérationnel de ces obligations est ce qui sépare un partenaire sérieux d'un prestataire ordinaire.

5. Les droits des personnes concernées

Les clients de vos clients conservent les mêmes droits RGPD, quel que soit le pays où le traitement est réalisé : droit d'accès, de rectification, d'effacement, à la limitation, à la portabilité et d'opposition (articles 15 à 22). Nous mettons donc en place des procédures pour transmettre et traiter ces demandes dans les délais légaux (en principe un mois), y compris pour les données hébergées au Maroc ou en Tunisie. Le centre offshore est intégré au flux de gestion des droits, avec un point de contact désigné et un délai de transmission contractuel.

Les secteurs où la vigilance s'impose

Tous les secteurs ne sont pas égaux face au RGPD offshore. Deux méritent une attention particulière. La banque et la fintech manipulent des données financières sensibles et sont soumises à des obligations croisées (RGPD, secret bancaire, DSP2, PCI-DSS) qui imposent un encadrement renforcé. La santé et les mutuellestraitent des données de santé, considérées comme une catégorie particulière de données (article 9 du RGPD) exigeant des garanties supplémentaires et, le plus souvent, une analyse d'impact (article 35).

Dans ces contextes, une analyse d'impact relative à la protection des données(AIPD/DPIA) est généralement requise avant le démarrage. Elle documente les risques pour les droits et libertés des personnes et les mesures prises pour les maîtriser. C'est un exercice que nous conduisons volontiers en collaboration avec le DPO du client.

Les audits de conformité

Avant tout déploiement, nous auditons le centre partenaire sur une grille de critères RGPD : sécurité physique et logique, formation des agents, gestion des droits d'accès, procédure de notification de violation, gestion des droits des personnes, durée de conservation, et registre des activités de traitement. Un rapport d'audit est remis au client. Ces contrôles sont ensuite répétés périodiquement, car la conformité est un processus continu, pas un état acquis. Pour le contexte plus large de l'externalisation au Maroc, notre article sur la destination Maroc détaille le cadre réglementaire et les certifications disponibles. Et pour sécuriser aussi vos processus administratifs, consultez notre guide sur l'externalisation du back-office.