Accueil›Externaliser à Madagascar›Le cadre RGPD
RGPD et externalisation
Le cadre RGPD d’une externalisation à Madagascar.
Madagascar n’a pas de décision d’adéquation européenne. Le traitement y reste légal, sous clauses contractuelles types, avec une analyse d’impact sur les données sensibles. Voici ce que cela change pour votre contrat.
Ce que change l’absence de décision d’adéquation
Une décision d’adéquation est la reconnaissance, par la Commission européenne, qu’un pays protège les données à un niveau équivalent à celui de l’Union. Quand elle existe, le transfert est libre. Quand elle n’existe pas, il reste possible, mais il se contractualise.
| Ce qui change | Pays avec décision d’adéquation | Madagascar |
|---|---|---|
| Base légale du transfert | Automatique | Clauses contractuelles types |
| Analyse d’impact | Non exigée à ce titre | Sur finance, data, annotation |
| Contrat de sous-traitance | Exigé | Exigé, plus les clauses de transfert |
| Vérification à faire de votre côté | Limitée | Clauses présentes avant signature |
| Traitement interdit | Non | Non plus |
D’où viennent ces éléments
La liste des décisions d’adéquation est tenue par la Commission européenne ; situation vérifiée le 13 septembre 2026, Madagascar n’y figure pas, au même titre que le Maroc, l’Inde, les Philippines ou l’île Maurice. Les mécanismes cités sont ceux des articles 28, 46 et 83 du règlement 2016/679. Cette page décrit un cadre, elle ne remplace pas l’avis de votre conseil juridique.
Deux obligations que l’on confond souvent
Elles se superposent et ne se remplacent pas. Un contrat qui traite l’une sans l’autre est incomplet, quelle que soit la destination.
Vous restez responsable de traitement
Quand vous confiez un poste à un prestataire, il agit comme sous-traitant au sens de l’article 28. Cela impose un contrat écrit qui précise l’objet, la durée, la nature des données, les mesures de sécurité et les conditions de sous-traitance ultérieure.
Le lieu du traitement crée une seconde obligation
C’est elle qui déclenche la question de l’adéquation. Hors des pays reconnus adéquats, le transfert s’encadre par les clauses contractuelles types de l’article 46, publiées par la Commission européenne et annexées au contrat.
L’analyse d’impact complète le dispositif
Sur les données financières, les bases clients volumineuses et les tâches d’annotation, une analyse d’impact documente les risques et les mesures prises. Elle n’est pas un formulaire : c’est la trace écrite de ce que vous avez arbitré.
Les dix questions à poser à tout prestataire offshore
Posez-les à nous comme à nos concurrents. Une réponse vague sur l’une de ces dix lignes est un signal, pas un détail administratif.
| 1. Vos contrats intègrent-ils les clauses contractuelles types ? | La réponse attendue nomme l’article 46 et propose de vous montrer l’annexe, pas seulement de la citer. |
|---|---|
| 2. Qui est responsable de traitement, qui est sous-traitant ? | Vous restez responsable. Un prestataire qui prétend l’inverse n’a pas lu l’article 28. |
| 3. Où sont hébergées les données que nous vous confions ? | Le pays des serveurs compte autant que le pays des collaborateurs. Les deux doivent être nommés. |
| 4. Vos collaborateurs signent-ils un engagement de confidentialité individuel ? | Un engagement au niveau de la société ne suffit pas. Il se signe personne par personne. |
| 5. Comment les accès sont-ils limités à ce que la mission exige ? | Attendez une réponse en termes de comptes nominatifs, de droits par outil et de retrait à la sortie. |
| 6. Que se passe-t-il à la fin du contrat ? | Restitution, suppression, délai. Écrit dans le contrat, pas promis en rendez-vous. |
| 7. Faites-vous appel à de la sous-traitance en cascade ? | Toute sous-traitance ultérieure doit être autorisée par vous et encadrée par les mêmes obligations. |
| 8. Prévoyez-vous une analyse d’impact sur les traitements sensibles ? | Sur la finance, la donnée massive et l’annotation, la bonne réponse est oui, avec un document. |
| 9. Comment nous alertez-vous en cas de violation de données ? | Un canal nommé et un délai. Le RGPD vous laisse 72 heures pour notifier : le prestataire doit être plus rapide. |
| 10. Qui, chez vous, répond de tout cela ? | Un nom et une fonction. Sur une petite structure, c’est un dirigeant ; sur une grande, un responsable désigné. |
Ce que nous prévoyons, et ce que nous ne promettons pas
Les clauses contractuelles types et l’analyse d’impact sont prévues dans notre contrat-cadre, avec un point de vigilance renforcé sur les postes qui touchent à la finance, à la donnée et à l’annotation. C’est un cadre, pas un résultat garanti, et voici ses limites.
- 01
Obtenir une décision d’adéquation· elle relève de la Commission européenne, pas d’un prestataire. Aucun acteur de l’offshore francophone ne peut vous la promettre. - 02
Vous dispenser de lire votre propre contrat· les clauses doivent figurer dans le vôtre, signé par vous. Vérifiez-le avant signature, chez nous comme ailleurs. - 03
Traiter n’importe quelle donnée· certaines catégories, en santé ou en crédit notamment, demandent un arbitrage préalable que nous refusons de trancher à votre place. - 04
Remplacer votre conseil juridique· cette page décrit un cadre opérationnel. Elle ne vaut pas avis juridique sur votre situation.
Vos questions sur le RGPD et l’externalisation
Externaliser à Madagascar est-il légal au regard du RGPD ?
Oui, à condition d’encadrer le transfert. Aucune décision d’adéquation ne couvre Madagascar, donc le mécanisme applicable est celui des clauses contractuelles types prévues à l’article 46 du RGPD, complété d’un contrat de sous-traitance au sens de l’article 28. Ce cadre est le même que pour le Maroc, l’Inde, les Philippines ou l’île Maurice.
Qu’est-ce qu’une décision d’adéquation, et pourquoi Madagascar n’en a pas ?
C’est la reconnaissance par la Commission européenne qu’un pays tiers offre un niveau de protection des données équivalent à celui de l’Union. La liste en compte une vingtaine, dont le Royaume-Uni, le Japon ou la Suisse. Madagascar n’a pas engagé cette procédure, comme la quasi-totalité des destinations d’externalisation francophones. Ce n’est donc pas une singularité malgache.
Que doit contenir mon contrat avec un prestataire basé à Madagascar ?
Un contrat de sous-traitance décrivant l’objet, la durée et la nature des données, les clauses contractuelles types en annexe, les engagements de confidentialité individuels des collaborateurs affectés, la limitation des accès à ce que la mission exige, les conditions de sous-traitance ultérieure, et le sort des données en fin de contrat.
Et pour une entreprise suisse soumise à la nLPD ?
Le raisonnement est le même. Hors des états que les autorités suisses reconnaissent comme offrant une protection adéquate, le transfert de données à l’étranger doit être encadré par des garanties contractuelles équivalentes. Un dirigeant suisse pose donc les mêmes questions à son prestataire, sous l’angle de sa propre loi.
Que risque une PME qui n’encadre pas ces transferts ?
L’article 83 du RGPD permet des amendes jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel, le montant le plus élevé étant retenu. Pour une PME de 10 à 80 salariés, le risque réel tient moins à la sanction administrative, rare à cette taille, qu’à la perte de confiance d’un client final le jour où un incident révèle l’absence de cadre.
Le cadre est-il différent selon le métier externalisé ?
Le cadre juridique est le même, l’exposition ne l’est pas. Un community manager ne manipule pas les mêmes données qu’un assistant comptable ou qu’un annotateur travaillant sur une base clients. C’est sur ces trois familles, finance, donnée massive et annotation, que nous renforçons la vigilance et que l’analyse d’impact prend tout son sens.
Vous repartez avec un document, que vous signiez ou non
Quarante-cinq minutes en visio. Vous décrivez vos postes, nous passons en revue les dix questions ci-dessus sur votre cas. Le cadrage écrit est à vous.
Vous parlez à un des deux fondateurs. Pas de relance automatique.