Externalisation à Madagascar et RGPD : quelles garanties mettre en place ?

Un accord de confidentialité signé, un prestataire rassurant, des identifiants transmis par courriel. Le dispositif tient jusqu’au premier contrôle, rarement au-delà.

Confier un back-office ou un service client à Antananarivo suppose de traiter trois questions distinctes, que les contrats mélangent presque toujours. Les obligations du donneur d’ordre européen relèvent de l’article 28 du RGPD. Le passage des données hors Espace économique européen relève du chapitre V. Le traitement réalisé sur place relève, lui, du droit malgache.

Madagascar ne bénéficie d’aucune décision d’adéquation de la Commission européenne. Le pays dispose pourtant de sa propre législation sur les données personnelles, appliquée par une autorité désormais active. Ces deux faits coexistent et commandent des obligations différentes.

Ce guide propose une carte de flux à remplir avant toute ouverture d’accès, puis une checklist en quinze points répartie entre le contrat, les mesures techniques et la sortie de mission.

Quand une mission à Madagascar constitue-t-elle un transfert de données ?

La notion de transfert ne suppose ni envoi de fichier ni serveur déplacé. Elle se déclenche par la mise à disposition. Un conseiller connecté depuis Antananarivo à un CRM hébergé à Francfort consulte des données personnelles depuis un pays tiers : le transfert est constitué, même si aucune donnée n’est téléchargée.

Cette lecture surprend encore beaucoup de directions achats. Elle change pourtant tout le raisonnement contractuel, car elle rend le chapitre V applicable à une prestation présentée comme un simple accès distant.

Ce qui circule réellement dans une prestation

La carte ci-dessous liste les flux les plus fréquents dans une mission de relation client ou de saisie. Remplissez-la avec vos propres outils avant la première ouverture de compte.

La dernière ligne concentre la majorité des incidents observés. Les environnements de test sont alimentés avec des extractions de production, puis oubliés dans la cartographie et dans le contrat.

Deux colonnes méritent une vigilance particulière. La localisation désigne l’endroit où la donnée est stockée, pas celui d’où elle est consultée. La qualification, elle, dépend du second point. Confondre les deux conduit à conclure qu’aucun transfert n’a lieu parce que le serveur reste européen.

Anonymisé, pseudonymisé, masqué : trois statuts sans rapport

Une donnée anonymisée de manière irréversible sort du champ du RGPD. Le seuil est exigeant : la réidentification doit être impossible par des moyens raisonnables, y compris par recoupement.

Une donnée pseudonymisée reste une donnée personnelle. Remplacer un nom par un identifiant technique réduit le risque sans changer la qualification juridique, ni les obligations de transfert.

Le masquage d’affichage ne relève d’aucune des deux catégories. Cacher les quatre derniers chiffres d’un numéro de carte à l’écran protège l’opérateur, pas la base. La donnée complète reste accessible dans le système, et souvent exportable.

Le périmètre fonctionnel à confier se décide avant cette analyse, pas après. Notre guide de l’externalisation à Madagascar détaille les activités couramment déléguées et leurs prérequis.

Comment répartir les rôles entre client et prestataire ?

L’entreprise européenne qui définit les finalités et les moyens du traitement reste responsable du traitement. Le prestataire malgache agit comme sous-traitant. Cette qualification ne se négocie pas : elle se déduit du rôle réel de chacun, comme le rappelle la CNIL dans ses recommandations sur les relations de sous-traitance.

Une nuance mérite attention. Le prestataire qui recourt à un hébergeur, à un outil de transcription ou à une équipe partenaire introduit un sous-traitant ultérieur. Chaque maillon doit être connu, autorisé et soumis aux mêmes obligations.

L’article 28.3 du RGPD fixe les mentions obligatoires du contrat : objet, durée, nature et finalité du traitement, catégories de données et de personnes concernées, instructions documentées, confidentialité du personnel, assistance à l’exercice des droits, notification des violations et sort des données en fin de mission.

Les instructions documentées posent une difficulté pratique. Un responsable d’exploitation qui demande par messagerie une extraction complémentaire donne une instruction au sens du RGPD, sans le savoir. Désignez un canal unique et conservez la trace de ces demandes, sinon le sous-traitant se retrouve à traiter des données sans base documentée.

Le droit d’audit constitue le point le plus souvent affaibli en négociation. Une clause qui promet un audit « sur demande et selon disponibilité » ne produit aucune preuve exploitable. Fixez un préavis, une périodicité et un périmètre écrit.

Checklist contractuelle, points 1 à 5

• Contrat de sous-traitance reprenant les mentions de l’article 28.3, signé avant toute ouverture d’accès.
• Instructions documentées et versionnées, avec un canal identifié pour les instructions complémentaires.
• Liste nominative des sous-traitants ultérieurs et délai de notification en cas de changement.
• Engagement de confidentialité individuel des personnes affectées à la mission.
• Clause d’audit précisant préavis, fréquence, périmètre et prise en charge des coûts.

Ces cinq points se préparent en amont de la consultation. Les intégrer dès le cahier des charges BPO évite de renégocier un contrat déjà signé.

Quel mécanisme encadre le transfert hors Espace économique européen ?

Première vérification : l’existence d’une décision d’adéquation. La Commission européenne en a adopté une quinzaine, couvrant des pays comme le Japon, la Suisse, l’Uruguay ou le Royaume-Uni. Madagascar n’y figure pas.

À défaut d’adéquation, le transfert repose sur des garanties appropriées au sens de l’article 46. Les clauses contractuelles types issues de la décision d’exécution (UE) 2021/914 du 4 juin 2021 constituent l’outil courant. Elles se composent de clauses générales et de quatre modules, dont le module 2 couvre le cas responsable vers sous-traitant.

Attention à une confusion fréquente. La décision 2021/914 encadre le transfert international. La décision 2021/915, publiée le même jour, propose des clauses types pour la relation de sous-traitance au titre de l’article 28. Les deux textes se cumulent dans un dossier Madagascar, ils ne se remplacent pas.

Les clauses signées avant juin 2021 ne valent plus rien depuis le 27 décembre 2022. Vérifiez la version réellement annexée à vos contrats en cours plutôt que la mention figurant dans la proposition commerciale.

Signer ne suffit pas. L’arrêt Schrems II impose d’évaluer si le droit du pays de destination permet de respecter le niveau de protection promis par les clauses. Cette analyse d’impact du transfert examine le cadre local d’accès des autorités, les recours ouverts aux personnes et l’existence de mesures supplémentaires, selon les recommandations 01/2020 du Comité européen de la protection des données. Le raisonnement général est développé dans notre guide sur l’externalisation hors Union européenne.

Concrètement, cette analyse répond à quatre questions : quelles autorités locales peuvent demander l’accès aux données, selon quelle procédure, quels recours restent ouverts aux personnes concernées, et quelles mesures techniques rendent un accès non autorisé inexploitable. Un document de trois pages, daté et signé, suffit dans la plupart des dossiers.

Le prestataire ne peut pas produire seul cette analyse. Il fournit les éléments factuels sur son environnement juridique et technique. L’appréciation du risque revient au responsable du traitement.

Le cadre malgache s’applique en parallèle

Madagascar dispose de la loi n° 2014-038 sur la protection des données à caractère personnel, complétée par un décret d’application adopté en 2023. Le pays a ratifié la Convention de Malabo sur la cybersécurité et la protection des données en 2024.

L’autorité de contrôle, la Commission malgache de l’informatique et des libertés, est longtemps restée sans moyens réels. La situation a changé : plusieurs dizaines de dossiers ont été enregistrés et une session de renforcement des capacités a été conduite en février 2026 avec l’Organisation internationale de la Francophonie.

La commission peut avertir, sanctionner, saisir une base de données complète et prononcer des amendes administratives. La loi prévoit des sanctions pouvant atteindre 5 % du chiffre d’affaires. Votre prestataire est donc soumis à des obligations locales qui s’ajoutent aux vôtres, et non l’inverse.

Quelles mesures techniques limiteront le risque ?

Les clauses ne protègent rien par elles-mêmes. Ce sont les mesures techniques et organisationnelles qui transforment un engagement écrit en garantie observable.

Le premier levier reste la minimisation. Un conseiller qui traite des retours produit n’a pas besoin du numéro complet de carte bancaire, ni de l’historique médical, ni de l’ensemble du portefeuille client. Réduisez le champ visible avant de discuter chiffrement.

Vient ensuite le contrôle des accès. Des profils par rôle, une authentification à plusieurs facteurs, un chiffrement des flux et des supports, une journalisation exploitable : ces quatre briques constituent le socle attendu par tout auditeur, et par la CNIL dans ses fiches sur la gestion de la sous-traitance.

Le troisième levier limite la fuite par extraction. Environnement de travail contrôlé, blocage des exports et de la copie locale, restriction des supports amovibles, désactivation des captures d’écran quand l’outil le permet. Aucune de ces mesures n’est absolue, leur combinaison rend la fuite coûteuse et traçable.

Certaines catégories changent le niveau d’exigence. Données de santé, informations bancaires, éléments relatifs à des mineurs ou à des procédures judiciaires : sur ces périmètres, la question n’est plus de sécuriser l’accès mais de vérifier si l’externalisation reste pertinente. Une analyse d’impact relative à la protection des données devient alors la première étape.

La continuité et la gestion des violations complètent le dispositif. Madagascar connaît des coupures électriques et des incidents de connectivité qui affectent la disponibilité. Le RGPD impose de notifier une violation à l’autorité dans les 72 heures : cette horloge démarre au moment où le sous-traitant a connaissance de l’incident, pas quand il finit son enquête.

Checklist technique, points 6 à 10

• Périmètre de données réduit au strict nécessaire, validé champ par champ.
• Profils d’accès par rôle et authentification à plusieurs facteurs pour toute connexion distante.
• Chiffrement des flux et des supports, avec gestion des clés conservée du côté européen.
• Journalisation des consultations et des exports, conservée et réellement exploitée.
• Environnement contrôlé bloquant copie locale, supports amovibles et exports non autorisés.

Un point de contrôle simple mesure la maturité d’un prestataire : demandez qui détient les clés de chiffrement. Une réponse floue vaut réponse négative.

Que prévoir pour l’audit et la fin du contrat ?

Un dispositif conforme se démontre. La documentation attendue tient en quelques pièces : registre du sous-traitant, liste à jour des sous-traitants ultérieurs, attestations de formation des équipes, extraction des droits d’accès en vigueur et journal des incidents survenus sur la période.

Demandez ces éléments au premier trimestre, pas au moment du renouvellement. Un prestataire qui met six semaines à produire une liste de comptes actifs vous renseigne davantage qu’un audit annoncé pour l’année suivante.

Une certification comme ISO 27001 constitue un indice, pas une preuve. Elle atteste d’un système de management, sans garantir que votre périmètre y figure. Demandez la déclaration d’applicabilité et le champ exact couvert par le certificat avant d’en tirer une conclusion.

La sortie de mission concentre les risques les plus mal traités. Restitution dans un format exploitable, suppression vérifiable sur tous les environnements y compris les sauvegardes et les jeux de test, révocation immédiate des comptes, attestation écrite de destruction datée et signée.

Une exception mérite d’être écrite au contrat. Certaines données doivent être conservées au titre d’obligations légales, comptables ou probatoires. Précisez lesquelles, pour combien de temps et sous quel régime d’accès, faute de quoi la clause de suppression totale devient inapplicable.

Checklist d’audit et de sortie, points 11 à 15

• Revue des droits d’accès au moins semestrielle, avec suppression des comptes inactifs.
• Registre des violations et preuve du respect du délai de notification.
• Plan de continuité couvrant les coupures électriques et les incidents de connectivité.
• Procédure de restitution et de suppression vérifiable, sauvegardes et environnements de test inclus.
• Réévaluation annuelle du dispositif, ou immédiate en cas de changement de périmètre ou de sous-traitant.

Ces cinq derniers points se vérifient pendant la sélection, pas après la signature. Les critères d’évaluation correspondants figurent dans notre méthode pour choisir un prestataire BPO.

Conclusion : le RGPD n’interdit pas Madagascar, il exige des preuves

Aucun texte européen ne ferme la porte à une externalisation malgache. Le régime applicable demande simplement de démontrer un dispositif complet : rôles qualifiés, clauses adaptées au scénario, analyse du contexte local, mesures techniques observables et sortie organisée.

Le cadre continue de bouger. Les propositions européennes dites d’omnibus numérique, examinées depuis le début de 2026, ont donné lieu à des avis conjoints du Comité européen de la protection des données et du Contrôleur européen. Datez votre analyse et prévoyez sa révision.

Cartographiez un flux réel avant de réutiliser la checklist. Prenez une seule mission, listez les six lignes du tableau de flux avec vos outils, puis confrontez le résultat aux quinze points. L’exercice demande une demi-journée et révèle en général deux ou trois accès dont personne ne connaissait l’existence.

Ce guide décrit une méthode de cadrage. Il ne remplace pas l’analyse d’un juriste ou d’un délégué à la protection des données sur votre traitement, votre transfert et votre contrat.

SOURCES ET RÉFÉRENCES

Le cadre européen retenu s’appuie sur les six bonnes pratiques publiées par la CNIL pour les relations entre donneur d’ordre et sous-traitant et sur sa fiche consacrée aux clauses contractuelles types de la Commission européenne, qui rappelle la caducité des modèles antérieurs à 2021. Les références aux textes de transfert, dont la décision d’exécution (UE) 2021/914 et les travaux du Comité européen de la protection des données, ont été vérifiées dans la bibliothèque de référence du Contrôleur européen de la protection des données sur les transferts internationaux. Les exigences de sécurité et de suivi des prestataires proviennent de la fiche CNIL sur la gestion de la sous-traitance. Le cadre malgache a été établi à partir du texte de la loi n° 2014-038 sur la protection des données à caractère personnel, des travaux de l’Organisation internationale de la Francophonie sur la gouvernance numérique à Madagascar et d’un point de situation de février 2026 sur les prérogatives exercées par la CMIL.