Externalisation hors Union européenne et RGPD : la checklist à suivre

Vous confiez la saisie de vos bons de commande à un prestataire installé hors d’Europe. Ces documents contiennent des noms, des adresses de livraison, parfois des numéros de téléphone. Vous venez d’organiser un transfert de données personnelles vers un pays tiers, avec toutes les obligations que cela suppose.

Le sujet de l’externalisation et du RGPD arrive presque toujours trop tard, une fois les accès ouverts et la production lancée. Il coûte alors trois fois plus cher à traiter, parce qu’il faut suspendre, documenter et parfois renégocier.

Cet article suit l’ordre réel des questions : quand des données personnelles sont-elles en jeu, qui porte quelle responsabilité, ce que le contrat doit contenir, comment encadrer un transfert hors Union européenne, quelles mesures techniques exiger et comment auditer un prestataire dans la durée. Le tout sous forme de points vérifiables.

Quand une externalisation implique-t-elle des données personnelles ?

Plus souvent que ne le pensent les entreprises qui externalisent des tâches administratives, réputées neutres.

Les données clients d’abord, évidentes dès qu’il s’agit de facturation, de service client ou de gestion de commandes. Les données de salariés ensuite, moins anticipées : notes de frais, plannings, dossiers de candidature confiés à un prestataire de tri.

Les accès aux outils et les journaux techniques constituent le troisième cas, celui qu’on oublie systématiquement. Donner à un opérateur externe un accès à votre CRM revient à lui donner accès à l’ensemble des personnes qui y figurent, y compris celles dont il n’aura jamais à traiter le dossier. Le périmètre du transfert, c’est le périmètre de l’accès, pas celui de la tâche.

Un mot sur les données pseudonymisées et anonymisées, car la confusion est fréquente et coûteuse. Une donnée pseudonymisée reste une donnée personnelle : le lien avec la personne est masqué, pas supprimé. Seule l’anonymisation irréversible fait sortir du champ du règlement, et elle est plus difficile à obtenir qu’il n’y paraît.

Qui est responsable du traitement et qui est sous-traitant ?

La répartition est simple à énoncer et structure tout le reste. Vous déterminez les finalités et les moyens du traitement : vous êtes responsable de traitement. Le prestataire traite pour votre compte, sur vos instructions : il est sous-traitant.

Vos obligations de donneur d’ordre ne se délèguent pas. Vous devez choisir un sous-traitant présentant des garanties suffisantes, encadrer la relation par contrat, documenter le traitement dans votre registre, et répondre aux personnes qui exercent leurs droits. Externaliser l’exécution ne transfère pas la responsabilité.

Le prestataire, de son côté, ne traite que sur instruction documentée, garantit la confidentialité des personnes autorisées, met en œuvre des mesures de sécurité appropriées, vous assiste dans vos obligations et vous alerte s’il estime qu’une instruction est contraire au règlement.

Deux documents matérialisent cette responsabilité et sont les premiers demandés en cas de contrôle. Le registre des activités de traitement, qui doit mentionner les destinataires et les transferts hors Union européenne avec leurs garanties. Et, lorsque le traitement est susceptible d’engendrer un risque élevé pour les personnes, une analyse d’impact relative à la protection des données. Externaliser un traitement à grande échelle de données sensibles sans avoir examiné cette question expose bien au-delà du seul litige commercial.

Reste le cas le plus mal géré : la sous-traitance ultérieure. Votre prestataire peut faire appel à un autre prestataire, mais uniquement avec votre autorisation écrite, préalable, et en lui imposant les mêmes obligations. Un centre qui sous-traite ses pics de charge à une structure partenaire sans vous en informer place le dispositif entier hors des clous.

Que doit contenir le contrat de sous-traitance ?

L’article 28 du RGPD énumère les mentions obligatoires. Ce n’est pas une formalité de signature : un contrat incomplet rend le traitement irrégulier, indépendamment de la qualité réelle du prestataire.

L’objet, la durée, la nature et la finalité du traitement doivent y figurer, ainsi que les catégories de données et les catégories de personnes concernées. Ces éléments se rédigent en annexe, pas en une ligne dans le préambule.

Les mesures de sécurité viennent ensuite, décrites et non simplement invoquées. L’assistance au responsable du traitement également : réponse aux demandes d’exercice des droits, notification des violations, contribution aux analyses d’impact lorsqu’elles sont nécessaires.

Le sort des données en fin de contrat ferme la liste, et c’est la clause la plus utile le jour où la relation s’arrête. Suppression ou restitution, dans quel format, sous quel délai, avec quelle attestation. Sans cette précision, vous découvrirez que vos données restent hébergées chez un ancien prestataire sans savoir pendant combien de temps.

Comment encadrer un transfert hors Union européenne ?

Le contrat de sous-traitance ne suffit pas. Un transfert vers un pays tiers exige en plus un mécanisme prévu au chapitre V du règlement.

La décision d’adéquation constitue la voie la plus simple. La Commission européenne reconnaît qu’un pays offre un niveau de protection essentiellement équivalent, et le transfert s’effectue sans formalité supplémentaire. Une quinzaine de pays et territoires en bénéficient, parmi lesquels le Royaume-Uni, la Suisse, le Japon, la Corée du Sud, le Canada pour les organisations commerciales concernées, l’Argentine, l’Uruguay, la Nouvelle-Zélande et Israël, ainsi que les États-Unis dans le cadre du Data Privacy Framework pour les entreprises auto-certifiées. Cette liste évolue : vérifiez-la sur le site de la Commission avant chaque décision.

Un constat qui a des conséquences directes pour le BPO francophone : la plupart des destinations d’externalisation courantes ne figurent pas sur cette liste. Ni Madagascar, ni le Maroc, ni la Tunisie, ni l’Inde, ni les Philippines ne bénéficient d’une décision d’adéquation. Le transfert reste possible, mais par une autre voie.

Avant même de choisir un mécanisme, appliquez la minimisation. Beaucoup de transferts portent sur des volumes de données très supérieurs à ce que la tâche exige, simplement parce qu’il était plus rapide d’ouvrir un accès complet que de créer une vue restreinte. Réduire le périmètre transféré réduit mécaniquement le risque, le coût de mise en conformité et l’ampleur d’une éventuelle violation.

Cette voie, ce sont les clauses contractuelles types adoptées par la Commission européenne le 4 juin 2021. Attention à un point technique souvent manqué : depuis le 27 décembre 2022, les anciennes clauses, y compris celles signées avant juin 2021, ne peuvent plus encadrer un transfert. Un contrat ancien jamais renégocié couvre donc un transfert dépourvu de garanties appropriées.

Les clauses seules ne suffisent pas non plus. Depuis l’arrêt Schrems II de la Cour de justice, l’exportateur doit réaliser une analyse d’impact du transfert : vérifier si le droit du pays destinataire, notamment en matière d’accès des autorités aux données, permet réellement au prestataire de tenir ses engagements. Cette analyse se documente et se conserve.

Lorsque l’analyse révèle une faiblesse, des mesures supplémentaires doivent la compenser : chiffrement dont vous conservez les clés, pseudonymisation avant transfert, cloisonnement strict des accès, limitation des données transférées au minimum nécessaire. Les dérogations de l’article 49, elles, restent réservées à des cas ponctuels et ne peuvent pas fonder un flux régulier.

Quelles mesures de sécurité exiger ?

Cinq exigences techniques se demandent systématiquement et se vérifient par des preuves, pas par des déclarations.

Le principe du moindre privilège d’abord : chaque opérateur accède aux seules données nécessaires à sa tâche, et rien d’autre. C’est la mesure qui réduit le plus le périmètre de risque, et la moins souvent appliquée.

L’authentification renforcée ensuite, avec des comptes strictement nominatifs. Le chiffrement en troisième, en transit comme au repos, en gardant en tête que le chiffrement ne protège que si vous maîtrisez la gestion des clés.

La journalisation quatrièmement : qui accède à quoi, quand, avec une durée de conservation des journaux définie. Le cloisonnement des environnements enfin, pour que vos données ne se retrouvent pas dans le même espace de travail que celles d’un autre client du prestataire.

La checklist à vérifier avant d’ouvrir les accès

Dix points résument les obligations décrites plus haut. Chacun se coche sur présentation d’une preuve, jamais sur une déclaration orale.

Un conseil de méthode : faites remplir cette checklist par le prestataire lui-même, puis demandez les pièces. L’écart entre ce qui est coché et ce qui est produit vous renseigne davantage que le contenu des réponses.

Comment auditer un prestataire dans la durée ?

Un dispositif validé au démarrage se dégrade s’il n’est pas revu. Quatre étapes suffisent à le maintenir.

Le questionnaire initial pose la base : localisation exacte des serveurs et des équipes, liste des sous-traitants ultérieurs, mesures de sécurité, durées de conservation, procédure en cas de violation.

Les preuves documentaires viennent ensuite. Politique de sécurité, certifications le cas échéant, résultats de tests, engagements de confidentialité signés. Une réponse déclarative sans pièce jointe ne vaut rien en cas de contrôle.

La revue annuelle vérifie que rien n’a changé sans que vous le sachiez : nouveau sous-traitant, nouvelle localisation, nouvel outil. C’est le moment de mettre à jour l’analyse d’impact du transfert.

La notification des incidents ferme le dispositif. Votre prestataire doit vous alerter sans délai injustifié, avec un délai écrit au contrat. Le responsable de traitement dispose en principe de 72 heures pour notifier une violation à l’autorité de contrôle : si l’alerte du prestataire arrive au bout de quatre jours, ce délai est déjà dépassé.

Le choix initial du prestataire pèse évidemment sur la solidité de tout ce dispositif, ce que détaillent nos 12 critères de sélection d’un prestataire BPO.

Conclusion : le RGPD ne bloque pas l’externalisation, il l’encadre

Aucune des obligations décrites ici n’interdit de travailler avec un prestataire installé hors d’Europe. Elles imposent de le faire avec un contrat complet, un mécanisme de transfert valable, une analyse documentée et des mesures techniques vérifiables. Les entreprises qui traitent ces points avant l’ouverture des accès y consacrent quelques jours. Celles qui les traitent après y consacrent un trimestre.

Prochaine étape concrète : appliquer ce cadre à une destination précise. Notre analyse de l’externalisation à Madagascar examine les services disponibles, les limites à anticiper et le dispositif de transfert à mettre en place. Pour le démarrage opérationnel, notre plan d’onboarding en 30 jours intègre la cartographie des accès et la sécurité dès la première semaine.

SOURCES ET RÉFÉRENCES

Cet article s’appuie notamment sur le règlement (UE) 2016/679, en particulier son article 28 et son chapitre V relatif aux transferts, sur le cadre général des transferts hors Union européenne présenté par la CNIL et sur la fiche de la CNIL consacrée aux clauses contractuelles types de la Commission européenne. Les points de vigilance ont été confrontés à l’alerte de la CNIL sur la caducité des anciennes clauses contractuelles types et aux outils de conformité publiés par la CNIL pour encadrer un transfert.

AVERTISSEMENT

Cet article présente le cadre applicable au 4 août 2026, date de sa dernière vérification juridique. Il ne constitue pas un conseil juridique et ne remplace pas l’analyse de votre situation par une personne compétente en protection des données. Le cadre des transferts internationaux évolue régulièrement, notamment la liste des décisions d’adéquation et le statut du Data Privacy Framework, actuellement contesté devant la Cour de justice de l’Union européenne.