RGPD et externalisation hors UE : ce qu'il faut prévoir

Oui, vous pouvez externaliser une activité à un prestataire situé hors de l'Union européenne tout en respectant le RGPD, mais le transfert de données personnelles doit être encadré. Concrètement, il faut un contrat de sous-traitance conforme à l'article 28, un outil de transfert adapté au pays de destination, puis une analyse de ce que la loi locale permet aux autorités d'y faire. Vous restez responsable des données de vos clients, quel que soit l'endroit où travaille votre prestataire.

Cet article détaille ces étapes dans l'ordre où vous les rencontrerez. Pour une vue d'ensemble de la démarche, voyez notre guide pour externaliser son service client.

Pourquoi externaliser hors UE déclenche des règles de transfert

Dès qu'un agent situé hors de l'Union européenne accède à des données personnelles de vos clients, par exemple en consultant un helpdesk ou un CRM depuis son poste, le RGPD parle de transfert vers un pays tiers. Même si les données restent hébergées en Europe, un accès à distance depuis un pays tiers est en pratique traité comme un transfert : faites-le confirmer par votre juriste ou votre DPO.

Selon la CNIL, les responsables de traitement et les sous-traitants peuvent transférer des données hors de l'UE à condition d'assurer un niveau de protection suffisant et approprié, en s'appuyant sur les outils juridiques du chapitre V du RGPD (page de la CNIL sur le cadre général des transferts). Vous n'avez donc pas à demander une autorisation à la CNIL pour chaque transfert, mais vous devez pouvoir démontrer que l'un de ces outils s'applique.

Étape 1 : le contrat de sous-traitance (article 28)

Un prestataire qui traite des données pour votre compte est un sous-traitant au sens du RGPD. L'article 28 impose un contrat écrit entre vous et lui. D'après le guide du sous-traitant publié par la CNIL, ce contrat doit notamment préciser :

• l'objet, la durée, la nature et la finalité du traitement ;
• les catégories de données et de personnes concernées ;
• le fait que le sous-traitant n'agit que sur vos instructions documentées ;
• les engagements de confidentialité des personnes qui accèdent aux données ;
• les mesures de sécurité mises en place ;
• les conditions de recours à un sous-traitant ultérieur, qui exige votre autorisation écrite ;
• l'aide apportée pour les demandes d'exercice de droits et les violations de données ;
• le sort des données en fin de contrat, restitution ou suppression ;
• votre droit de vérifier le respect de ces engagements, y compris par des audits.

La CNIL rappelle aussi qu'une prestation ne doit pas démarrer sans contrat conforme à l'article 28 (page « Sécurité : gérer la sous-traitance »). C'est le premier document à demander, avant même de parler tarif.

Étape 2 : choisir l'outil de transfert

Le chapitre V du RGPD prévoit une hiérarchie. Le premier cas est la décision d'adéquation : la Commission européenne reconnaît qu'un pays offre un niveau de protection équivalent, et les données peuvent circuler sans garantie supplémentaire. La liste publiée par la Commission comprend notamment la Suisse, le Royaume-Uni, le Japon, le Canada (organisations commerciales) et les États-Unis pour les organisations adhérant au Data Privacy Framework. En novembre 2026, Madagascar n'y figure pas, de même que le Maroc, la Tunisie ou l'île Maurice.

Sans décision d'adéquation, il faut des garanties appropriées. La plus courante pour un contrat de sous-traitance est la clause contractuelle type. La Commission a adopté en juin 2021 des clauses contractuelles types modernisées, des modèles pré-approuvés à intégrer au contrat sans les modifier sur le fond. La CNIL précise que les anciennes clauses, y compris celles signées avant juin 2021, ne peuvent plus encadrer de transferts depuis le 27 décembre 2022 (page de la CNIL sur les anciennes clauses). Si votre prestataire vous présente un vieux modèle, c'est un signal d'alerte.

Les dérogations de l'article 49 existent mais restent exceptionnelles. Elles ne conviennent pas à une relation de prestation durable et répétée.

Étape 3 : analyser l'impact du transfert

Signer des clauses types ne suffit pas toujours. La CNIL a publié en février 2025 la version finale de son guide pratique sur l'analyse d'impact des transferts. Il explique que l'exportateur de données, c'est-à-dire vous, doit vérifier avant le transfert, avec l'aide de l'importateur, si la législation et les pratiques du pays de destination permettent à ce dernier de respecter ses engagements. L'enjeu principal est l'accès possible des autorités locales aux données.

Si l'analyse révèle un risque, vous ajoutez des mesures complémentaires. Le guide cite par exemple le chiffrement, la pseudonymisation ou des clauses d'information en cas de demande d'accès d'une autorité. Si aucune mesure ne suffit, le transfert ne peut pas avoir lieu. Documentez l'analyse par écrit : en cas de contrôle, c'est la pièce que l'on vous demandera.

Étape 4 : des mesures concrètes avec le prestataire

Le droit fixe le cadre, la sécurité se joue dans l'organisation. Voici ce que vous pouvez demander ou prévoir, quel que soit le prestataire :

• Accès à vos outils plutôt que copie des données. Un agent qui travaille directement dans votre CRM ou votre helpdesk n'emporte pas de fichiers : vous gardez la main sur les droits et pouvez les retirer en un clic.
• Droits au strict nécessaire. Un agent de support n'a pas besoin de l'ensemble de la base clients ni de données bancaires.
• Postes et connexions maîtrisés. Matériel fourni par le prestataire, authentification renforcée, interdiction de stocker localement ou de photographier l'écran.
• Journalisation et revue des accès régulière, avec suppression immédiate des comptes d'un agent qui quitte la mission.
• Engagements de confidentialité signés par chaque agent.
• Liste des sous-traitants ultérieurs et obligation de vous informer avant tout changement.
• Procédure de violation de données : qui prévient qui, et dans quel délai, pour que vous puissiez remplir vos propres obligations de notification.

Chez Team AZ, le contrat de prestation, les engagements de confidentialité et les modalités de traitement des données sont définis au démarrage de la mission, et les agents travaillent dans vos propres outils. Team AZ ne revendique aucune certification de type ISO : vérifiez donc ces points contrat en main, comme avec n'importe quel prestataire. Si votre activité exige une certification précise, par exemple pour des données de santé, un prestataire certifié sera le bon choix. Pour comparer les profils de pays, voyez notre page pourquoi Madagascar.

Données sensibles : à traiter à part

Certaines activités ne se prêtent pas à un transfert simple : données de santé, données bancaires complètes, informations soumises au secret professionnel. Pour elles, la question n'est plus seulement « quel outil de transfert », mais « faut-il confier cette tâche à l'extérieur ». Une répartition fréquente consiste à garder en interne les opérations sensibles et à externaliser le reste, comme le support de premier niveau ou le suivi de commandes.

Votre checklist avant de signer

1. Un contrat de sous-traitance article 28, avec toutes les mentions.
2. L'outil de transfert identifié : adéquation ou clauses contractuelles types de 2021.
3. Une analyse d'impact du transfert documentée.
4. La liste des sous-traitants ultérieurs et les conditions pour la modifier.
5. Les mesures de sécurité décrites, avec droit d'audit.
6. Un traitement prévu des demandes d'exercice de droits et des violations.
7. L'inscription du traitement dans votre registre et, si besoin, la mise à jour de votre politique de confidentialité.

Pour chiffrer votre besoin et poser ces questions à un interlocuteur, demandez un devis : il est chiffré sous 24 h et sans engagement. Vous pouvez aussi consulter la page prestataire BPO et notre page sur le BPO à Madagascar.

Cet article donne une information générale, pas un conseil juridique.