9 min de lecture
Confier un traitement de données personnelles à un centre d'appels situé hors de l'Union européenne est licite à condition d'encadrer deux choses distinctes : la sous-traitance elle-même, par un contrat conforme à l'article 28 du RGPD, et le transfert hors UE, par un outil du chapitre V — en pratique les clauses contractuelles types, accompagnées d'une analyse d'impact du transfert.
Madagascar ne fait pas l'objet d'une décision d'adéquation de la Commission européenne. Cela n'interdit rien : cela impose un formalisme. Le responsable de traitement — vous — reste comptable de la conformité, y compris de celle de son sous-traitant.
Les six pièces du dossier
- Le contrat de sous-traitance conforme à l'article 28 : finalités, catégories de données, durée, obligations de sécurité, sort des données en fin de contrat, autorisation de sous-traitance ultérieure.
- Les clauses contractuelles types de la Commission européenne, dans leur version en vigueur, module responsable de traitement vers sous-traitant.
- L'analyse d'impact du transfert, qui documente le droit local du pays destinataire et les mesures supplémentaires retenues.
- La description des mesures techniques et organisationnelles : chiffrement, cloisonnement, gestion des accès, journalisation.
- La liste des sous-traitants ultérieurs, avec leur localisation — souvent oubliée, c'est pourtant là que se logent les surprises.
- Les engagements de confidentialité individuels signés par les personnes qui accèdent effectivement aux données.
Ce qu'il faut vérifier dans les mesures techniques
Les engagements de sécurité sont souvent rédigés de manière si générale qu'ils n'engagent à rien. Quatre points doivent être exprimés en termes vérifiables.
- Localisation des données : où sont hébergées les bases, les enregistrements d'appels et les sauvegardes. Un plateau à Antananarivo dont les données restent hébergées en Europe change la nature du transfert.
- Absence d'extraction locale : postes sans support amovible, impression désactivée, copier-coller vers l'extérieur bloqué.
- Comptes nominatifs et révocation immédiate à la sortie d'un collaborateur, avec journal auditable.
- Cloisonnement entre dossiers clients : un conseiller affecté à votre dossier n'accède pas aux données d'un autre donneur d'ordre.
Les données que vous ne devriez jamais transmettre
Indépendamment du formalisme, certaines catégories appellent une prudence particulière. Les données de santé relèvent d'un régime d'hébergement spécifique. Les données de paiement ne devraient jamais être saisies ni entendues par un conseiller : un serveur vocal de saisie sécurisée coûte moins cher qu'un incident. Les données d'infraction et les données biométriques sortent du périmètre d'une prestation de relation client courante.
Le réflexe qui sauve : la clause d'alerte
Prévoyez contractuellement que le prestataire doit vous alerter et suspendre l'exécution s'il estime qu'une instruction reçue enfreint le RGPD. C'est une obligation légale, mais l'inscrire explicitement change le comportement : elle transforme une objection en devoir contractuel, et donne à vos interlocuteurs un appui pour refuser une demande contestable.