Travailler avec un prestataire hors UE : la checklist RGPD (agence en Afrique, nearshore, offshore)

Travailler avec un prestataire hors UE : la checklist RGPD (agence en Afrique, nearshore, offshore)

Le RGPD n'interdit pas de travailler avec une agence hors Europe : il exige de savoir exactement qui peut voir quelles données, depuis où, et sous quelles garanties.

Confier un projet à une agence située hors de l'Union européenne est possible. Mais dès que son équipe peut lire des données personnelles depuis un pays tiers, vous êtes dans le chapitre V du RGPD, celui des transferts. Il vous faut alors un outil prévu par ce chapitre, en plus du contrat de sous-traitance habituel. Au 7 novembre 2026, aucun pays africain n'a de décision d'adéquation : pour une agence au Maroc, en Tunisie, au Sénégal ou au Bénin, la voie normale passe par les clauses contractuelles types.

Cet article s'adresse aux dirigeants et aux DPO de PME européennes qui envisagent de confier du développement, de l'automatisation ou un chatbot à un prestataire hors UE. Il explique ce qu'est un transfert, ce que disent les textes (relus à la source), comment l'éviter quand c'est possible, puis propose une checklist de 14 questions.

Transparence et limites

Transparence. BOVO Digital est elle-même une agence basée au Bénin, donc un prestataire hors UE. Cet article défend un cadre de conformité, pas le recours à un type de prestataire : les mêmes questions valent pour une agence à Lagos, Casablanca, Londres ou New York. Il ne repose sur aucune donnée, aucun client et aucun prix de BOVO, seulement sur des textes et pages officielles consultés le 7 novembre 2026.

Ce n'est pas un conseil juridique. Ce texte est une information générale, rédigée par des non-juristes à partir de sources publiques. Il ne tient compte ni de votre secteur, ni de la nature de vos données, ni de votre contrat. Avant de signer, faites valider le montage par un juriste ou par le délégué à la protection des données (DPO) de votre entreprise.

Ce qu'est un « transfert » au sens du RGPD

Le RGPD ne définit pas le mot. Le Comité européen de la protection des données (CEPD) a donc précisé, dans la version 2.0 de ses lignes directrices 05/2021 (adoptée le 14 février 2023), trois critères cumulatifs (traduction libre) :

1. un responsable de traitement ou un sous-traitant (l'« exportateur ») est soumis au RGPD pour le traitement concerné ;
2. il communique les données, ou les met à disposition, d'un autre responsable de traitement ou sous-traitant (l'« importateur ») ;
3. l'importateur est dans un pays tiers, qu'il soit ou non lui-même soumis au RGPD.

Vous êtes l'exportateur, l'agence est l'importateur, et elle est dans un pays tiers : les trois critères sont réunis dès qu'elle peut accéder à des données personnelles.

Le principe : un outil du chapitre V pour tout transfert

La page de la CNIL sur le cadre général des transferts (datée du 8 mars 2018, avec une note sur les clauses mises à jour par la Commission le 4 juin 2021) présente les outils dans cet ordre :

Selon la CNIL, les clauses types, les BCR, les codes de conduite et certifications approuvés ne demandent pas d'autorisation de sa part ; les clauses contractuelles spécifiques, si. L'article 44 du RGPD pose le principe : un transfert n'a lieu que si les conditions du chapitre V sont respectées. Pour une petite agence, les BCR, codes et certifications sont rarement disponibles : en pratique, ce sont les clauses types (notre lecture).

Aucun pays africain n'a de décision d'adéquation

La page de la Commission européenne sur les décisions d'adéquation, consultée le 7 novembre 2026, liste : Andorre, Argentine, Brésil (décision du 27 janvier 2026), Canada (organisations commerciales), îles Féroé, Guernesey, Israël, île de Man, Japon, Jersey, Nouvelle-Zélande, Corée du Sud, Suisse, Royaume-Uni (renouvelé le 19 décembre 2025), Uruguay et États-Unis (organisations certifiées au cadre UE-États-Unis, décision du 10 juillet 2023), ainsi que l'Organisation européenne des brevets. Aucun pays africain n'y figure. La page n'affiche pas de date de mise à jour ; l'élément daté le plus récent est une actualité du 23 juillet 2026.

« Loi proche du RGPD » n'est pas « adéquation »

Plusieurs pays africains ont une loi de protection des données et une autorité dédiée, parfois inspirées du RGPD. Cela ne remplace pas une décision d'adéquation, que seule la Commission adopte. Tant qu'elle n'existe pas, la loi locale ne vous dispense de rien. Une phrase comme « notre pays est conforme au RGPD » appelle une seule réponse : sur quel outil du chapitre V repose le transfert ?

L'accès à distance peut être un transfert, même sans stockage

Beaucoup de dirigeants pensent : « mes données sont sur un serveur en France, donc il n'y a pas de transfert ». Le CEPD dit autre chose. Dans la section 2.2 de ses lignes directrices, il indique (traduction libre) que l'accès à distance depuis un pays tiers, même s'il se limite à afficher des données à l'écran, par exemple pour du support, du dépannage ou de l'administration, est lui aussi considéré comme un transfert, tout comme le stockage dans un cloud situé hors de l'EEE, dès lors que les trois critères sont réunis.

Son exemple 11 correspond à notre sujet : une société d'un pays tiers, sans établissement dans l'UE, fournit des services de sous-traitance à des entreprises européennes et accède à distance, par exemple pour du support, à des données stockées dans l'UE. Le CEPD conclut que cet accès entraîne des transferts, au sens du chapitre V, des responsables européens vers leur sous-traitant. Héberger en Europe ne suffit donc pas si les développeurs se connectent depuis Rabat, Cotonou ou Dakar à votre base, à la console du serveur ou à un outil qui affiche des données clients.

Ce qui est, ou n'est pas, un transfert

Le CEPD ajoute que, même sans transfert, un traitement hors UE expose à des risques (lois nationales contradictoires, accès disproportionné des autorités) à prendre en compte au titre des articles 5, 24 et 32. « Pas de transfert » ne veut pas dire « pas de précautions ».

Deux contrats : article 28 et clauses de transfert

Le contrat de sous-traitance (article 28)

Dès que le prestataire traite des données pour votre compte, l'article 28 du RGPD impose un contrat. Vous ne devez recourir qu'à des sous-traitants offrant des garanties suffisantes (§ 1) ; il ne peut en recruter un autre sans votre autorisation écrite préalable, spécifique ou générale (§ 2). Le paragraphe 3 liste ce que le contrat prévoit, notamment : traitement sur instruction documentée, confidentialité du personnel, mesures de sécurité de l'article 32, aide pour les droits des personnes, suppression ou restitution des données en fin de prestation, informations et audits. Le paragraphe 4 impose les mêmes obligations au sous-traitant ultérieur, le premier restant pleinement responsable devant vous.

Les clauses contractuelles types de transfert (chapitre V)

Ce contrat ne règle pas le transfert. La page de la CNIL sur les clauses types entre responsable de traitement et sous-traitant (datée du 30 juin 2021) précise que ces clauses de sous-traitance ne peuvent pas servir aux fins du chapitre V : en cas de transfert, il faut les clauses types dédiées, celles de la décision d'exécution (UE) 2021/914 du 4 juin 2021. Leur annexe compte quatre modules :

• module 1 : responsable de traitement vers responsable de traitement ;
• module 2 : responsable de traitement vers sous-traitant, le cas d'une entreprise qui confie des données à une agence hors UE ;
• module 3 : sous-traitant vers sous-traitant, le cas où votre prestataire européen fait appel à une équipe hors UE ;
• module 4 : sous-traitant vers responsable de traitement.

Ces clauses sont l'outil de « garanties appropriées » de l'article 46 que la CNIL cite en premier parmi les garanties de l'article 46. Pour les sous-traitants ultérieurs, la clause 9 prévoit, selon l'option retenue, une autorisation préalable spécifique ou une autorisation écrite générale sur une liste convenue, avec information préalable de tout changement.

Cet article ne reproduit pas le texte des clauses, que nous n'avons pas pu relire en entier. Lisez-les avec votre juriste, en particulier les clauses 14 et 15 (législation locale, accès des autorités).

Le guide du sous-traitant de la CNIL est l'édition de septembre 2017 ; nous n'avons pas trouvé de version plus récente. Antérieur aux clauses de 2021, il aide pour l'article 28 mais ne suffit pas pour le chapitre V.

Les autres mesures à prévoir

Les clauses types ne sont pas un tampon magique. Sauf mention contraire, les points suivants sont notre lecture de bonnes pratiques, à valider avec votre DPO.

• Analyse du transfert. Documentez le pays de destination, les lois d'accès des autorités, et ce qui rend le risque acceptable. Nous n'avons pas rouvert les recommandations du CEPD sur les mesures supplémentaires : lisez-les avant de rédiger cette analyse.
• Chiffrement. En transit et au repos, avec des clés conservées côté client quand c'est possible.
• Minimisation. N'exposer que les champs nécessaires : un chatbot de rendez-vous n'a pas besoin de l'historique d'achats.
• Sous-traitants ultérieurs. Liste écrite (hébergeur, automatisation, IA, messagerie) ; chacun peut être un transfert. Autorisation préalable pour tout ajout (article 28, § 2).
• Droit d'audit (article 28, § 3, point h) : précisez la forme et la fréquence.
• Restitution et suppression (article 28, § 3, point g) : délai, format, preuve, sauvegardes et journaux compris.
• Incidents. Délai de notification et interlocuteur écrits au contrat.

Quand on peut éviter le transfert

Le moyen le plus simple de réduire le risque est de ne pas exposer de données personnelles réelles. Ce qui suit est notre lecture, à valider avec un juriste.

1. Données de test ou fictives, réellement inventées, et non un extrait de production légèrement modifié.
2. Données anonymisées. Si quelqu'un peut raisonnablement réidentifier une personne, ce n'est pas de l'anonymisation. Les données pseudonymisées restent personnelles tant qu'une clé de réidentification existe.
3. Environnement hébergé dans l'UE, avec comptes nominatifs et journalisation, droits en lecture seule quand c'est possible, authentification renforcée. Attention : d'après le CEPD, un accès depuis un pays tiers reste un transfert. Cette architecture réduit le risque, elle ne remplace pas les clauses types.
4. Un maillon européen pour les données réelles : une équipe située dans l'UE gère la production, l'agence travaille sur le code et les données de test.

Un périmètre « zéro donnée réelle » est un bon premier test : si le prestataire livre proprement dans ce cadre, élargissez l'accès par étapes, par écrit.

La checklist : 14 questions avant de signer

Envoyez-les par écrit. Un bon prestataire répond précisément ; un mauvais répond « pas de problème, nous sommes conformes ».

1. Pays et statut. Où travaille chaque personne qui accédera à nos données, et sous quel statut (salarié, freelance, sous-traitant) ?
2. Nature des données. Avez-vous besoin de données personnelles réelles ? Lesquelles, pour quelle finalité, et peut-on commencer sans ?
3. Outil du chapitre V. Quel mécanisme encadre le transfert : clauses de la décision 2021/914 (quel module), autre garantie ?
4. Contrat de l'article 28. Reprend-il les points du paragraphe 3 ? Peut-on le lire avant le devis ?
5. Accès à distance. Qui se connecte, depuis où, avec quels droits ? Comptes nominatifs, authentification renforcée, lecture seule ?
6. Hébergement. Où sont les données, sauvegardes, journaux et exports ?
7. Sous-traitants ultérieurs. Quelle liste complète, et comment sommes-nous prévenus d'un changement, avec droit d'opposition ?
8. Chiffrement. Comment en transit et au repos ? Qui détient les clés ?
9. Analyse du pays. Avez-vous une analyse écrite des lois d'accès des autorités dans votre pays, partageable ?
10. Demandes d'autorités. Que faites-vous si une autorité demande l'accès à nos données ? Nous prévenez-vous, sous quel délai ?
11. Incidents. Délai de notification d'une violation, interlocuteur, procédure ?
12. Audit. Acceptez-vous un audit, un questionnaire de sécurité ou un rapport tiers ?
13. Fin de contrat. Délai et format de restitution, preuve de suppression, sauvegardes comprises ?
14. Confidentialité et formation. Les personnes ayant accès sont-elles liées par une clause écrite et formées à la protection des données ?

Des réponses vagues ne prouvent pas la mauvaise foi, mais elles montrent que le dossier n'est pas prêt. Pour juger le prestataire lui-même (références, gestion des erreurs, propriété des livrables), voyez notre guide pour choisir une agence n8n et l'analyse externaliser l'automatisation ou recruter un profil ops. Si votre projet implique de l'IA, la question du lieu d'exécution des modèles rejoint celle des transferts : voir IA locale ou cloud pour une PME. Pour un chatbot WhatsApp, le consentement des destinataires est un autre chantier : opt-in WhatsApp, CNIL et n8n.

Ce que ce cadre ne règle pas

Respecter le chapitre V ne résout pas tout. Trois sujets restent ouverts et feront l'objet d'articles à venir, sans date annoncée : la TVA et les mentions de facture, la retenue à la source éventuelle sur les prestations d'un non-résident, et la propriété du code (cession écrite des droits). Ils se traitent séparément.

Ce que nous ne savons pas

• L'état du droit après le 7 novembre 2026. La liste d'adéquation peut changer, et la page de la Commission n'affiche pas sa date de mise à jour.
• Les textes non lus en entier. La décision 2021/914 (modules, clauses 9, 14 et 15) et les recommandations du CEPD sur les mesures supplémentaires.
• Votre cas. Santé, finance, données sensibles, marchés publics ajoutent des règles non couvertes ici.
• La pratique des autorités. Nous n'avons recensé aucune décision de la CNIL visant des prestataires africains et ne savons pas comment ce type de montage est contrôlé.
• Le droit des pays de destination. Nous ne décrivons les lois locales d'aucun pays africain.
• Les passages « notre lecture » (mesures complémentaires, minimisation, anonymisation, montages sans transfert) sont un raisonnement, pas une autorité. Faites-les valider.

Sources consultées le 7 novembre 2026

• Commission européenne, Adequacy decisions (aucune date de mise à jour affichée).
• CNIL, Transferts de données hors UE : le cadre général prévu par le RGPD, page datée du 8 mars 2018.
• CNIL, Clauses contractuelles types entre responsable de traitement et sous-traitant, page datée du 30 juin 2021.
• CNIL, Guide du sous-traitant, présentation (29 septembre 2017) et PDF, édition septembre 2017.
• CEPD, Guidelines 05/2021, version 2.0, adoptée le 14 février 2023.
• Commission européenne, Décision d'exécution (UE) 2021/914 du 4 juin 2021, EUR-Lex.
• Règlement (UE) 2016/679 (RGPD), EUR-Lex, articles 28, 44 et 46.

Un projet avec une équipe à distance ? Notre page agence digitale pour la France décrit comment nous travaillons avec des clients français.