RGPD et externalisation hors UE : ce que nous signons avant de traiter vos données

Un directeur juridique français pose rarement la question en réunion. Il la pose après, par écrit, une fois le devis reçu : sur quelle base légale nos données partiraient-elles à Antananarivo ?

Madagascar ne figure sur aucune liste d’adéquation de la Commission européenne. Ce n’est pas une formalité administrative. Tout le reste en découle. Chaque transfert de données hors UE vers un prestataire malgache doit reposer sur un outil du chapitre V du RGPD. Il doit aussi être documenté avant le premier fichier envoyé, et rester opposable en cas de contrôle.

Ce texte ne décrit pas le cadre en général. Il décrit le nôtre : le module de clauses signé selon votre rôle, le contenu de l’analyse d’impact, les données que nous refusons de recevoir. Puis les quatre documents à exiger de n’importe quel prestataire hors Union européenne. Nous compris.

Pourquoi Madagascar n’a pas de décision d’adéquation, et ce que cela change

Une décision d’adéquation, c’est la Commission européenne qui constate qu’un pays tiers protège les données personnelles à un niveau comparable au nôtre. Quand elle existe, le transfert se fait comme vers un pays de l’Union. La liste est courte. Le Brésil l’a obtenue en janvier 2026, le Royaume-Uni, le Japon, la Corée du Sud et une poignée d’autres y figurent. Madagascar, non.

Cela ne veut pas dire que le pays est un vide juridique. La loi n° 2014-038 du 9 janvier 2015 encadre le traitement des données personnelles sur le territoire malgache. Elle pose les principes que vous connaissez : licéité, finalité déterminée, proportionnalité, sécurité, confidentialité. Le décret n° 2023-1541 du 6 décembre 2023 a créé la Commission malgache de l’informatique et des libertés, la CMIL. Ses membres ont prêté serment devant la Cour suprême en août 2025, et la Commission a publié son manuel de procédures en décembre 2025.

Une autorité de contrôle existe donc désormais ici, là où le texte est resté une décennie sans régulateur opérationnel. C’est une bonne nouvelle. Ce n’est pas une adéquation.

La conséquence pratique tient en une phrase : votre responsabilité de responsable de traitement ne se transfère pas avec le fichier. Vous restez comptable devant la CNIL. Nous fournissons donc le dossier complet, quelle que soit la taille du projet, plutôt que d’attendre qu’on nous le réclame. Vous pouvez voir où nous sommes établis et rencontrer nos rédacteurs à Madagascar avant même d’aborder le sujet contractuel.

Le module de clauses que nous signons dépend de votre rôle, pas du nôtre

En l’absence d’adéquation, l’article 46 du RGPD ouvre plusieurs outils. Le plus utilisé, et de loin, reste les clauses contractuelles types adoptées par la Commission européenne dans sa décision d’exécution 2021/914 du 4 juin 2021. Attention à un point que nous voyons encore passer : les anciennes clauses, celles de 2001 et 2004, ne peuvent plus encadrer aucun transfert depuis le 27 décembre 2022. Un contrat signé en 2019 et jamais rouvert ne protège plus rien.

Ces clauses se déclinent en quatre modules. Le module retenu dépend de ce que vous êtes dans la chaîne, pas de ce que nous sommes.

Signer n’est que la moitié du travail. Les clauses contiennent trois annexes que beaucoup de contrats laissent vides : la description précise des transferts (catégories de personnes, de données, finalités, fréquence), les mesures techniques et organisationnelles réellement appliquées, et la liste des sous-traitants ultérieurs autorisés. Une annexe vide rend l’ensemble inopposable.

Les articles 8.7 et 8.8 des clauses encadrent aussi les transferts ultérieurs. Si nous devions faire intervenir un tiers hors Union européenne, il devrait être lié par les mêmes clauses. Nous en tenons la liste à jour et nous vous la communiquons avec notre activité de sous-traitance éditoriale. Cette rigueur contractuelle ne concerne pas que nous. Elle fait partie de ce qui distingue une bonne agence de rédaction.

L’analyse d’impact du transfert : qui la fait, ce qu’elle contient

C’est l’étape que neuf prospects sur dix découvrent au moment de la signature. Les clauses seules ne suffisent pas. Depuis l’arrêt Schrems II du 16 juillet 2020, l’exportateur doit vérifier que la législation du pays de destination permet réellement à l’importateur de tenir ses engagements, puis documenter cette vérification. Cette vérification porte un nom : l’analyse d’impact du transfert, ou AITD, dont la CNIL a publié la version finale du guide.

Qui la réalise ? L’exportateur, c’est-à-dire vous, avec notre assistance. Pas l’inverse. Nous ne pouvons pas signer votre analyse à votre place, et un prestataire qui vous propose de le faire vous expose plutôt qu’il ne vous protège.

Deux cas seulement dispensent de cette analyse : un pays couvert par une décision d’adéquation, ou un transfert fondé sur une des dérogations limitées de l’article 49. Ni l’un ni l’autre ne s’applique à une prestation éditoriale récurrente vers Madagascar.

Ce que nous fournissons pour alimenter la vôtre :

• la cartographie des flux : quelles données quittent l’Union, sous quel format, vers quel poste, pour quelle durée ;
• la localisation d’hébergement de chaque outil utilisé, avec le nom de l’éditeur et le pays du serveur ;
• l’analyse du droit malgache applicable en matière d’accès aux données par les autorités, et les pratiques constatées ;
• les mesures supplémentaires en place : chiffrement en transit et au repos, cloisonnement des accès par projet, journalisation, durée de conservation ;
• les engagements de notification en cas de demande d’accès d’une autorité.

Une limite, et elle est réelle : une AITD n’est pas un acquis définitif. Elle se réexamine au moins une fois par an, et à chaque changement notable du côté du prestataire comme du droit local. Nous la datons, vous la classez, et nous la reprenons ensemble. Le rythme et le format se calent au démarrage, au même titre que nos missions en cours. Les questions que ce dossier soulève le plus souvent figurent d’ailleurs dans notre foire aux questions.

Ce que nous refusons de recevoir, et pourquoi ce refus vous protège

Un prestataire qui accepte tout est un prestataire qui n’a pas lu son propre contrat. Le principe de minimisation de l’article 5 du RGPD s’applique aussi à nous : nous ne devons recevoir que ce qui est nécessaire à la prestation commandée. Pour de la rédaction web, cela exclut beaucoup de choses.

Nous refusons les données de santé, les données bancaires et les autres catégories particulières de l’article 9. Aucun contenu éditorial ne justifie qu’un fichier de ce type quitte l’Union européenne vers un poste de rédaction. Quand un client e-commerce nous propose un export complet de sa base pour rédiger des fiches produits, la réponse est non : les références produits suffisent, la colonne acheteurs n’a rien à faire dans le fichier.

Trois autres refus, moins évidents :

• les bases clients entières quand un extrait anonymisé répond au besoin, ce qui est presque toujours le cas en rédaction ;
• les accès administrateur complets à votre site quand un compte éditeur, limité aux articles, suffit à publier ;
• les pièces jointes non chiffrées envoyées par messagerie ordinaire, quel que soit leur contenu.

Ce dernier point crée parfois une friction au démarrage. Elle dure une semaine. Passé ce délai, personne ne revient à l’ancienne méthode.

Le même raisonnement vaut pour les outils. Un traitement de texte en ligne, un correcteur automatique, un assistant de rédaction : chacun est un transfert potentiel. Nous documentons ceux que nous employons, et c’est un point que nous détaillons dans notre approche de la rédaction assistée par IA. Sur le fond, la question rejoint les limites de l’IA générative en rédaction, parce que la plupart des incidents de confidentialité en rédaction viennent aujourd’hui d’un outil mal choisi plutôt que d’un contrat mal rédigé.

Les quatre documents à réclamer à n’importe quel prestataire hors UE

Voici la grille que nous vous invitons à nous appliquer, et à appliquer à nos concurrents. Elle tient en quatre pièces. Si l’une manque, le dossier n’est pas complet.

Un cinquième élément ne se demande pas, il se teste : le délai de réponse. Posez la question par écrit et chronométrez. Un prestataire qui a réellement construit son dispositif répond en deux jours avec des pièces jointes. Un prestataire qui l’improvise met trois semaines et renvoie une page de site.

Cette exigence n’a rien d’un obstacle commercial, et nous la trouvons plutôt saine. Elle trie. Elle fait partie des mêmes critères objectifs que les critères pour choisir un rédacteur, et elle éclaire aussi la question du prix d’un article, puisqu’un dispositif documenté a un coût qui se retrouve forcément quelque part dans le devis.

Demandez-nous le dossier avant de demander le devis

La plupart des appels d’offres traitent la conformité en dernier, une fois le prix négocié. Inversez l’ordre. Un dispositif solide se voit en quarante-huit heures, un tarif se discute ensuite.

Écrivez-nous et demandez le dossier complet : modèle de contrat article 28, module de clauses adapté à votre rôle, trame d’analyse d’impact et liste à jour des sous-traitants ultérieurs. Nous vous l’envoyons sans engagement, et vous le ferez relire par qui vous voudrez. Si le dossier vous convient, nous parlerons de notre offre de rédaction web et du périmètre à nous confier. Vous pouvez aussi parcourir les questions que l’on nous pose le plus souvent d’abord, puis revenir avec un besoin cadré.

Une dernière précision, et elle compte : rien de ce qui précède ne constitue un conseil juridique. Ce texte décrit un dispositif d’opérateur, à faire valider par votre conseil ou votre délégué à la protection des données.

Questions fréquentes

Madagascar bénéficie-t-il d’une décision d’adéquation de la Commission européenne ?

Non. Madagascar ne figure pas sur la liste des pays reconnus comme offrant un niveau de protection adéquat. Tout transfert de données personnelles vers un prestataire malgache doit donc reposer sur un outil de l’article 46 du RGPD, en pratique les clauses contractuelles types, accompagnées d’une analyse d’impact du transfert documentée et conservée par l’exportateur.

La loi malgache sur les données personnelles suffit-elle à sécuriser le transfert ?

Elle y contribue, mais elle ne remplace rien. La loi n°2014-038 du 9 janvier 2015 impose des obligations aux responsables de traitement établis à Madagascar, et la CMIL en assure désormais le contrôle. Du point de vue du RGPD, cela reste un élément à verser dans votre analyse d’impact, pas une base légale de transfert.

Quel module de clauses contractuelles types s’applique à une prestation de rédaction ?

Le module 2 dans la grande majorité des cas, quand vous êtes responsable de traitement et que nous agissons comme sous-traitant. Si vous êtes vous-même sous-traitant de votre client final, c’est le module 3 qui s’applique, et nous devenons sous-traitant ultérieur. Le choix du module se fait avant la signature, pas après.

Qui doit réaliser l’analyse d’impact du transfert ?

L’exportateur de données, avec l’assistance de l’importateur. Concrètement, vous la rédigez et nous fournissons les éléments factuels : flux, outils, hébergement, mesures de sécurité, analyse du droit local applicable aux demandes d’accès des autorités. Un prestataire qui propose de la signer à votre place se substitue à une responsabilité qui n’est pas la sienne, et vous laisse sans preuve utile le jour d’un contrôle.

Que se passe-t-il si les clauses signées datent d’avant 2021 ?

Elles ne sont plus valables. Les anciennes clauses contractuelles types, y compris celles signées avant juin 2021, ne peuvent plus encadrer aucun transfert depuis le 27 décembre 2022. Un contrat ancien jamais rouvert doit donc être repris intégralement avec le modèle de la décision 2021/914, annexes comprises. Le contrôle est rapide et souvent négligé : vérifiez la date du modèle, pas seulement celle de la signature.

Faut-il transmettre à la CNIL les clauses que nous signons ?

Seulement si vous avez modifié le contenu des modèles officiels de l’Union européenne. Des clauses reprises telles quelles ne font l’objet d’aucune formalité déclarative auprès de la CNIL. En revanche, elles doivent pouvoir être produites immédiatement en cas de contrôle, annexes complétées et datées. Conservez-les avec l’analyse d’impact correspondante, au même endroit que votre registre des traitements.

Quelles données ne devrait-on jamais transmettre à un prestataire éditorial hors UE ?

Les catégories particulières de l’article 9, dont les données de santé, ainsi que les données bancaires et les bases clients complètes. Une prestation de rédaction n’en a aucun besoin. Le principe de minimisation impose de ne transmettre que le strict nécessaire, et un extrait anonymisé couvre presque toujours le besoin réel.

Sources et références

• CNIL, Transférer des données hors de l’Union européenne
• CNIL, guide pratique sur l’analyse d’impact des transferts de données
• CNIL, les anciennes clauses contractuelles types ne sont plus valables
• Loi malgache n°2014-038 sur la protection des données à caractère personnel
• Manuel de procédures de la Commission malgache de l’informatique et des libertés