1 – Base légale du transfert : ce que dit le RGPD quand il n'y a pas de décision d'adéquation
Le RGPD ne bloque pas les transferts hors UE. Il impose des garanties proportionnées au niveau de protection du pays destinataire. Madagascar et Maurice n'ont pas de décision d'adéquation. Voici ce que cela implique concrètement pour votre projet d'externalisation.
1.1 : Décision d'adéquation, BCR, clauses contractuelles types : les trois mécanismes possibles
L'article 45 du RGPD prévoit que la Commission européenne peut reconnaître qu'un pays offre un niveau de protection « adéquate ». Madagascar et Maurice ne figurent pas sur cette liste. Il faut donc passer aux mécanismes de l'article 46.
Premier mécanisme : les Binding Corporate Rules (BCR). Elles conviennent aux groupes multinationaux qui transfèrent des données entre entités internes. Leur validation par une autorité de contrôle prend 12 à 24 mois. Pour une PME française qui externalise vers un prestataire tiers, ce n'est ni proportionné ni réaliste.
Deuxième mécanisme : les clauses contractuelles types (CCT) adoptées par la Commission européenne. Version mise à jour le 4 juin 2021, quatre modules selon la relation entre les parties. C'est le mécanisme adapté à 95 % des projets d'externalisation offshore des PME.
Troisième mécanisme : les dérogations de l'article 49 (consentement explicite, exécution d'un contrat). Elles ne couvrent que des transferts occasionnels, pas un flux continu de données vers une équipe dédiée. Oubliez-les pour un outsourcing à temps plein.
1.2 : Madagascar et Maurice : statut juridique précis et conséquences pratiques
Madagascar dispose d'une loi sur la protection des données personnelles (loi n° 2014-038) et d'une autorité de régulation. Maurice a le Data Protection Act 2017 et un commissaire à la protection des données. Ces cadres législatifs existent, mais la Commission européenne ne les a pas reconnus comme « adéquats ».
Conséquence directe : chaque transfert de données personnelles de votre CRM, de votre outil de ticketing ou de votre logiciel comptable vers un collaborateur basé à Antananarivo ou Port-Louis doit être encadré par des clauses contractuelles types signées entre vous (exportateur) et le prestataire (importateur).
Le fait que Maurice soit membre du protocole 108+ du Conseil de l'Europe ne change rien au regard du RGPD. Et le fait que Madagascar ait une loi inspirée du modèle français ne constitue pas une garantie suffisante aux yeux de la CNIL.
Ce statut juridique n'est pas un obstacle. C'est un paramètre contractuel. Vous le traitez avant le démarrage, vous documentez, et votre DPO n'a plus de raison de bloquer.
1.3 : L'analyse d'impact du transfert (TIA) que votre DPO attend
Depuis l'arrêt Schrems II (CJUE, 16 juillet 2020), les CCT seules ne suffisent pas. Vous devez réaliser un Transfer Impact Assessment (TIA) qui évalue si la législation du pays destinataire permet aux autorités locales d'accéder aux données transférées d'une manière incompatible avec le RGPD.
Le TIA couvre trois axes. Premier axe : la législation locale en matière de surveillance et d'accès gouvernemental aux données. Ni Madagascar ni Maurice ne disposent de programmes de surveillance de masse comparables à ceux identifiés dans Schrems II (FISA 702 américain). Deuxième axe : les mesures techniques complémentaires que vous déployez (chiffrement, pseudonymisation, contrôle d'accès). Troisième axe : l'expérience pratique du prestataire avec des demandes d'accès de la part d'autorités locales.
Ce document n'a pas besoin de faire 80 pages. La CNIL et l'EDPB acceptent une évaluation proportionnée à la sensibilité des données et au volume transféré. Pour une PME qui externalise du support client ou de la saisie comptable, un TIA de 5 à 10 pages structuré et sourcé suffit. Votre prestataire doit fournir les éléments factuels sur la législation locale. Si votre prestataire ne sait pas ce qu'est un TIA, changez de prestataire. Pour comprendre les exigences de sécurité à imposer côté données financières, consultez Sécurité des données financières offshore : les 6 exigences à imposer avant de signer.
2 – Les documents contractuels à signer avant le premier jour de production
Trois documents distincts encadrent la relation RGPD entre votre PME et votre prestataire offshore. Ils ne sont pas interchangeables, et aucun ne remplace les autres. Voici leur contenu exact et leur articulation.
2.1 : Clauses contractuelles types (CCT) : quel module choisir et ce qu'il contient
Les CCT de juin 2021 se déclinent en quatre modules. Pour un outsourcing offshore classique, deux modules sont pertinents.
Module 2 (responsable de traitement vers sous-traitant) : c'est le cas standard. Vous êtes responsable de traitement. Votre prestataire offshore traite des données pour votre compte. Ce module s'applique quand vos collaborateurs dédiés à Madagascar accèdent à votre CRM, traitent des tickets clients ou saisissent des écritures comptables contenant des données personnelles.
Module 1 (responsable de traitement vers responsable de traitement) : plus rare en outsourcing. Il s'applique si votre prestataire détermine lui-même les finalités d'un traitement, ce qui n'arrive quasiment jamais dans un modèle de collaborateur dédié.
Le document CCT contient des annexes obligatoires : description des traitements, catégories de données, catégories de personnes concernées, durée du traitement, mesures techniques et organisationnelles. Chaque annexe doit être remplie spécifiquement pour votre activité. Un template générique non personnalisé ne protège personne et n'a aucune valeur en cas de contrôle.
Les CCT sont un document de la Commission européenne. Vous ne pouvez pas en modifier les clauses principales. Vous complétez les annexes et vous signez. Le prestataire aussi.
2.2 : Data Processing Agreement (DPA) : les 12 clauses obligatoires de l'article 28
Le DPA est le contrat de sous-traitance au sens de l'article 28 du RGPD. Il est distinct des CCT, même s'il peut être intégré dans le même document. Ses clauses obligatoires couvrent : l'objet et la durée du traitement, la nature et la finalité, le type de données personnelles, les catégories de personnes concernées, les obligations et droits du responsable de traitement.
Le DPA doit imposer au sous-traitant : de ne traiter les données que sur instruction documentée du responsable, de garantir la confidentialité des personnes autorisées à traiter les données, de prendre toutes les mesures de sécurité requises par l'article 32, de ne pas recruter un autre sous-traitant sans autorisation écrite préalable, d'aider le responsable à répondre aux demandes d'exercice des droits des personnes concernées, de supprimer ou restituer les données à la fin de la prestation, de fournir au responsable toutes les informations nécessaires pour démontrer le respect de ses obligations, et de se soumettre à des audits.
Ce n'est pas un document optionnel. L'absence de DPA est une non-conformité directe à l'article 28. En cas de contrôle CNIL, c'est le premier document demandé. Pour approfondir l'articulation contractuelle avec un prestataire offshore, Clause NDA et contrat offshore : les 4 points que votre accord doit absolument couvrir en 2026 complète ce volet.
2.3 : Annexe des mesures techniques et organisationnelles : ce qui doit figurer noir sur blanc
L'annexe II des CCT et l'article 32 du RGPD exigent une description concrète des mesures de sécurité. Pas des déclarations d'intention. Des mesures vérifiables.
Contrôle d'accès : authentification multi-facteur sur tous les outils contenant des données personnelles, gestion des droits par rôle, révocation immédiate en cas de départ. Chiffrement : TLS 1.2 minimum pour les flux en transit, chiffrement AES-256 pour les données au repos sur les postes de travail. Sécurité réseau : VPN dédié entre le site de production offshore et vos systèmes, pare-feu configuré, segmentation réseau. Sécurité physique : accès contrôlé aux locaux, verrouillage des postes, interdiction des périphériques de stockage amovibles. Traçabilité : journalisation des accès aux données, conservation des logs pendant 12 mois minimum.
Le prestataire doit également documenter sa politique de gestion des incidents de sécurité : détection, notification au responsable de traitement sous 48 heures maximum (la notification à la CNIL devant intervenir sous 72 heures), mesures correctives. Chaque mesure annoncée dans l'annexe peut faire l'objet d'un audit. Si votre prestataire annonce du chiffrement AES-256 mais que ses postes de travail n'ont même pas de mot de passe BIOS, le document ne vaut rien. L'annexe engage contractuellement.
3 – Registre des traitements cross-border et audit de conformité prestataire
Les documents contractuels posent le cadre. Le registre des traitements et les audits démontrent que ce cadre est respecté dans la durée. Voici comment structurer les deux sans y consacrer un temps disproportionné.
3.1 : Registre des traitements : les champs spécifiques aux transferts hors UE
L'article 30 du RGPD impose à tout responsable de traitement de tenir un registre. Quand un traitement implique un transfert hors UE, des champs supplémentaires sont obligatoires.
Pour chaque traitement externalisé à Madagascar ou Maurice, votre registre doit indiquer : le nom du sous-traitant et sa localisation exacte, le pays de destination des données, le mécanisme de transfert utilisé (CCT module 2, préciser la version et la date de signature), la référence du TIA associé, les catégories de données transférées (données clients, données RH, données comptables), les catégories de personnes concernées (clients, prospects, salariés), la finalité précise du traitement, les mesures de sécurité applicables (renvoi à l'annexe II des CCT).
Ce registre n'est pas un document figé. Il doit être mis à jour à chaque modification du périmètre de traitement. Si vous ajoutez un outil, un flux de données ou un nouveau type de donnée personnelle dans le périmètre de votre équipe offshore, le registre évolue en conséquence. Pour une PME, un tableur structuré avec ces champs suffit. La CNIL fournit un modèle de base, mais il ne couvre pas les spécificités cross-border. Vous devez l'enrichir. Votre prestataire doit tenir son propre registre en tant que sous-traitant, conformément à l'article 30-2. Exigez-en une copie. Pour savoir comment confier la tenue du registre à une équipe offshore, consultez Compliance RGPD externalisée : confier le registre des traitements à une équipe offshore en 2026.
3.2 : Audit de conformité prestataire : quoi vérifier, à quelle fréquence
L'article 28-3(h) du RGPD vous donne le droit d'auditer votre sous-traitant. Les CCT renforcent cette obligation. La question n'est pas « faut-il auditer » mais « comment auditer efficacement sans mobiliser un cabinet à 2 000 euros la journée ».
Trois niveaux d'audit sont proportionnés pour une PME. Niveau 1 (trimestriel, à distance) : vérification documentaire. Le prestataire fournit une attestation de conformité, les logs d'accès anonymisés, la preuve de formation RGPD des collaborateurs dédiés, et le statut des mesures techniques déclarées. Niveau 2 (semestriel, à distance ou hybride) : test de scénario. Vous simulez une demande d'exercice de droits (accès, suppression) et vous mesurez le délai et la conformité de la réponse du prestataire. Vous vérifiez les configurations de chiffrement et d'accès sur un échantillon de postes. Niveau 3 (annuel, sur site ou par tiers mandaté) : audit complet des locaux, des postes de travail, de l'infrastructure réseau, de la politique de gestion des incidents, et des contrats de sous-traitance ultérieure éventuels.
Documentez chaque audit. Conservez les rapports. En cas de contrôle CNIL ou de violation de données, ces rapports démontrent votre diligence. Un prestataire qui refuse de se soumettre à un audit ou qui négocie des restrictions excessives vous envoie un signal clair : passez votre chemin.
3.3 : Cas pratique : externalisation support client et comptabilité vers Madagascar, flux de données et conformité
Prenons un cas concret. Votre PME externalise deux fonctions à Madagascar : le support client B2B (tickets entrants via Zendesk) et la saisie comptable (écritures dans Pennylane).
Flux 1, support client : votre collaborateur dédié accède aux tickets Zendesk contenant des noms, adresses email, numéros de commande et historiques d'échanges. Données personnelles de vos clients B2B, parfois de leurs propres clients. Le CCT module 2 couvre ce transfert. L'accès se fait via navigateur avec SSO et MFA. Les données restent sur les serveurs Zendesk (UE ou US selon votre plan). Le collaborateur ne télécharge rien en local.
Flux 2, comptabilité : votre collaborateur saisit des écritures contenant des noms de fournisseurs, des RIB, des montants de facturation. L'accès à Pennylane se fait par compte nominatif avec droits restreints à la saisie. Pas d'export massif possible. Les données restent sur l'infrastructure Pennylane.
Pour chaque flux : une ligne dans le registre des traitements, un DPA signé, des CCT annexées, un TIA réalisé. Les mesures techniques spécifiques sont documentées dans l'annexe II. Le collaborateur a signé un engagement de confidentialité individuel et a suivi une formation RGPD documentée. Ce travail de structuration prend deux à trois jours en amont du démarrage. Il ne ralentit pas la production. Il la sécurise. Pour évaluer le coût complet d'un tel projet, ROI de l'externalisation offshore en 12 mois : la méthodologie TCO que personne ne publie intègre ces paramètres dans le calcul. Et pour structurer le périmètre de délégation comptable en amont, référez-vous à Externalisation comptable offshore : clôturez vos comptes sans recruter un DAF à 80k€.
Chaque semaine sans ces documents est une semaine d'exposition
Le RGPD n'interdit pas de transférer des données à Madagascar ou à Maurice. Il interdit de le faire sans garanties documentées. Clauses contractuelles types signées avec les bonnes annexes. DPA conforme à l'article 28. TIA réalisé et conservé. Registre des traitements mis à jour avec les champs cross-border. Mesures techniques vérifiables. Droit d'audit contractualisé.
Chaque jour où vos collaborateurs offshore accèdent à des données personnelles sans que ces documents existent, vous accumulez un risque de sanction CNIL pouvant aller jusqu'à 4 % de votre chiffre d'affaires annuel. Et un risque réputationnel que vous ne maîtrisez plus.
Le travail de conformité se fait avant le premier accès, pas après le premier incident. Votre DPO attend des réponses. Elles sont dans cet article. Il ne reste qu'à les exécuter.
