RGPD et externalisation à l'île Maurice : le transfert se prépare.

Externaliser à Maurice, c'est transférer des données hors Union européenne.

Une équipe mauricienne qui traite vos factures fournisseurs, votre support client ou vos bulletins de paie manipule des données personnelles : identités, coordonnées bancaires, parfois données de santé. Dès qu'elles quittent l'Espace économique européen, le chapitre V du RGPD s'applique.

Le raisonnement tient en une ligne. L'article 44 pose que le niveau de protection garanti par le règlement ne doit pas être compromis par le transfert. Le droit européen suit la donnée : ce que vous ne pourriez pas faire à Paris, votre prestataire ne peut pas le faire à Ebène.

Deux précisions. La localisation du serveur ne règle rien : héberger en France une base à laquelle une équipe mauricienne accède à distance constitue déjà un transfert, la mise à disposition étant une communication de données. Et le donneur d'ordre reste responsable, l'article 24 du RGPD lui imposant de démontrer sa conformité, une charge qui ne se délègue pas avec la prestation.

Maurice ne bénéficie d'aucune décision d'adéquation.

C'est le fait à connaître avant tout le reste, et que peu de prestataires énoncent clairement. L'article 45 du RGPD permet à la Commission européenne de constater qu'un pays tiers offre un niveau de protection adéquat ; les données y circulent alors sans formalité particulière.

Au 13 août 2026, la liste officielle des décisions d'adéquation publiée par la Commission compte dix-sept entrées, dont la Suisse, le Royaume-Uni, le Japon, la Corée du Sud, le Brésil, l'Uruguay et les Etats-Unis pour les seules organisations certifiées au Data Privacy Framework. Maurice n'y figure pas, et aucun Etat africain non plus.

Ce tableau n'est pas un obstacle, c'est un mode d'emploi. Des milliers d'entreprises européennes travaillent avec des prestataires situés dans des pays sans adéquation. La différence est qu'elles le documentent.

Clauses contractuelles types, analyse d'impact, mesures supplémentaires.

La voie normale vers Maurice est celle de l'article 46, paragraphe 2, point c : les clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914 du 4 juin 2021, applicables depuis le 27 juin 2021. Elles se déclinent en quatre modules, selon que l'exportateur et l'importateur sont responsables de traitement ou sous-traitants. Un donneur d'ordre français qui confie un traitement à une société mauricienne relève en général du module responsable de traitement vers sous-traitant, et ce choix détermine les obligations que chacun accepte.

Les clauses ne suffisent pas à elles seules. Depuis l'arrêt Schrems II de la Cour de justice de l'Union européenne du 16 juillet 2020, affaire C-311/18, l'exportateur doit vérifier que le droit du pays de destination ne fait pas obstacle à leur respect. C'est l'analyse d'impact du transfert, que la clause 14 des clauses de 2021 rend expressément contractuelle.

Le Comité européen de la protection des données en a publié la méthode, dans ses recommandations 01/2020 adoptées en version finale le 18 juin 2021 : cartographier ses transferts, identifier l'outil utilisé, évaluer le droit et les pratiques du pays destinataire, adopter le cas échéant des mesures supplémentaires, accomplir les formalités, puis réévaluer périodiquement. Cette analyse s'écrit et se date : c'est le document que la CNIL demandera en cas de contrôle.

Les mesures supplémentaires sont techniques ou organisationnelles : chiffrement dont les clés restent en Europe, pseudonymisation à la source, accès limités au strict nécessaire, engagement de contester toute demande d'une autorité publique. Elles répondent aux risques que l'analyse a identifiés, et ne sont donc pas systématiques.

Le Data Protection Act 2017 et la Convention 108+.

Maurice n'est pas un vide juridique, et c'est ce qui rend l'analyse d'impact plutôt favorable. Le Data Protection Act 2017, loi n° 20 de 2017, est entré en vigueur le 15 janvier 2018 par la proclamation n° 3 de 2018. Il abroge la loi de 2004 et reprend l'architecture du RGPD : mêmes définitions de responsable de traitement et de sous-traitant, licéité, minimisation, catégories particulières, analyse d'impact, droits des personnes concernées.

Quatre dispositions méritent d'être connues d'un donneur d'ordre français.

• Section 14. Nul ne peut agir comme responsable de traitement ou comme sous-traitant sans être enregistré auprès du Data Protection Commissioner. Le certificat d'enregistrement se demande, se lit et se vérifie.
• Section 25. Une violation se notifie au Commissioner sans retard injustifié et, lorsque c'est possible, au plus tard 72 heures après en avoir eu connaissance. Le sous-traitant qui en prend connaissance alerte le responsable sans délai.
• Section 31. La sécurité du traitement y est détaillée : pseudonymisation et chiffrement, confidentialité, intégrité, disponibilité, tests réguliers d'efficacité. Le paragraphe 4 impose un contrat écrit avec le sous-traitant, qui n'agit que sur instruction ; le paragraphe 5 prévoit que celui qui traite au-delà des instructions devient lui-même responsable de traitement.
• Section 36. Les transferts sortants de Maurice sont eux aussi encadrés : preuve de garanties appropriées apportée au Commissioner, consentement explicite, ou l'un des cas de nécessité limitativement énumérés. Le Commissioner peut interdire, suspendre ou conditionner un transfert.

Sur le plan international, Maurice est partie à la Convention 108 du Conseil de l'Europe depuis le 1er octobre 2016 et a ratifié le protocole d'amendement Convention 108+, CETS n° 223, le 4 septembre 2020, en sixième position. L'argument est utile dans une analyse d'impact, l'article 45 du RGPD invitant à tenir compte des engagements internationaux du pays. Restons exacts sur deux points : ce protocole n'était pas encore entré en vigueur à la date de rédaction, faute de ratifications suffisantes, et une adhésion ne vaut pas décision d'adéquation. Un texte est par ailleurs annoncé, les Data Protection (Designation, Tasks and Position of Data Protection Officers) Regulations 2026, qui encadreraient les délégués à la protection des données à compter du 1er janvier 2027 ; date et contenu définitifs restent à confirmer auprès du Data Protection Office.

Une nuance demeure. La section 44 autorise des exceptions pour la sécurité nationale, la défense, la sécurité publique et la poursuite des infractions. Toute analyse d'impact sérieuse examine ces pouvoirs d'accès et leurs garanties, comme pour n'importe quel pays tiers.

Responsable de traitement et sous-traitant, une qualification qui ne se choisit pas.

La répartition des rôles décide de qui répond de quoi. Le responsable de traitement détermine les finalités et les moyens ; le sous-traitant traite pour son compte et sur ses instructions. Ces qualifications résultent des faits, pas de l'intitulé du contrat : un prestataire qui décide seul des finalités devient responsable de traitement, quoi qu'en dise la convention signée.

Un prestataire d'externalisation courant agit comme sous-traitant. Mais un professionnel soumis à ses propres obligations légales, conservation de pièces comptables ou lutte contre le blanchiment, peut être responsable de traitement pour cette part de son activité : c'est le cas fréquent de l'externalisation de la comptabilité à l'île Maurice.

Le contrat de l'article 28 fixe l'objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées, puis les obligations du sous-traitant : agir sur instruction documentée, garantir la confidentialité et la sécurité, assister le responsable face aux demandes des personnes et aux violations, restituer ou supprimer les données en fin de contrat, se soumettre aux audits. La sous-traitance ultérieure suppose une autorisation écrite préalable et impose les mêmes obligations au suivant. Un hébergeur, un éditeur de logiciel, un centre de sauvegarde en sont : ils s'identifient nommément.

Santé, données bancaires, données RH.

Trois familles de données appellent une prudence renforcée avant toute externalisation.

Les données de santé relèvent des catégories particulières de l'article 9 du RGPD et supportent en France une contrainte propre : l'article L. 1111-8 du code de la santé publique réserve l'hébergement des données de santé collectées lors d'activités de prévention, de diagnostic, de soins ou de suivi médico-social aux hébergeurs certifiés HDS. En pratique, un prestataire mauricien n'en dispose pas.

Les données bancaires et financières ajoutent une couche sectorielle. Une entité financière européenne relève du règlement (UE) 2022/2554, dit DORA, applicable depuis le 17 janvier 2025, qui impose un registre des prestataires informatiques, des clauses contractuelles précises et une gestion documentée du risque lié aux tiers. Le sujet dépasse le RGPD, dans le même esprit documentaire que le dossier KYC d'une banque mauricienne.

Les données RH sont les plus souvent externalisées, et les plus sous-estimées. Un dossier de paie contient un numéro de sécurité sociale, des coordonnées bancaires, des arrêts de travail, parfois une reconnaissance de travailleur handicapé, donc de la donnée de santé. La consultation du comité social et économique relève du droit du travail, mais se prépare en même temps que le volet protection des données. Symétriquement, les dossiers de vos propres salariés mauriciens obéissent au Data Protection Act 2017 en plus des règles de conservation du droit du travail : notre page sur le règlement intérieur et les politiques RH à Maurice précise ce qu'il faut écrire, afficher et garder, et combien de temps.

Dans les trois cas, le bon réflexe est le même : réduire le périmètre transféré avant de renforcer les garanties. Une donnée qui ne part pas ne demande aucune mesure supplémentaire.

Ce qu'il faut exiger de votre prestataire mauricien.

Voici la liste que nous appliquons à nos propres traitements, et à faire passer à tout prestataire mauricien avant signature.

1. Le certificat d'enregistrement auprès du Data Protection Commissioner, en cours de validité, et la qualité sous laquelle il est délivré.
2. Le responsable de la conformité désigné en interne : nom, coordonnées, rattachement hiérarchique.
3. Les clauses contractuelles types de 2021 signées, module adapté à la relation, annexes complétées. Des annexes vides rendent les clauses inopérantes.
4. Un contrat de sous-traitance conforme à l'article 28, distinct des conditions générales du prestataire.
5. La liste nominative des sous-traitants ultérieurs et la procédure d'information préalable en cas de changement.
6. La localisation des serveurs et des sauvegardes, y compris celles des outils de visioconférence, de messagerie et de tickets, souvent oubliées.
7. La politique de chiffrement, au repos et en transit, avec la réponse à une question simple : qui détient les clés.
8. La gestion des accès : comptes nominatifs, authentification à deux facteurs, moindre privilège, revue périodique, procédure de départ.
9. La notification des violations, avec un délai contractuel plus court que les 72 heures de l'article 33 du RGPD, pour vous laisser le temps d'agir.
10. La sensibilisation des équipes, exigée par la section 31 du Data Protection Act, et les engagements de confidentialité signés individuellement.
11. Le droit d'audit, sur pièces au minimum, sur place si le périmètre le justifie.
12. La réversibilité : restitution dans un format exploitable, puis suppression certifiée, sauvegardes comprises, à une date déterminée.

Un mot sur les sanctions, pour situer l'enjeu. Côté européen, les manquements aux règles de transfert relèvent du plafond le plus élevé de l'article 83, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. A Maurice, une infraction pour laquelle aucune peine spécifique n'est prévue expose son auteur à une amende pouvant atteindre 200 000 roupies et à cinq ans d'emprisonnement, selon la section 43.

Nous tenons ces traitements depuis Maurice pour nos propres clients, ce qui nous a conduits à construire ces garanties pour nous-mêmes avant de les recommander. La rédaction de l'analyse d'impact et la validation des clauses relèvent en revanche de votre conseil en protection des données ou de votre avocat : nous ne nous substituons pas à cette expertise. Ce que nous apportons est le versant opérationnel, et il se discute au premier échange, comme le détaille la page recruter et externaliser à Maurice.