Transfert de données hors UE.
Europe et Maroc.

Qu’est-ce que ce service ?

Un transfert de données hors de l’Union européenne a lieu dès que des données personnelles de l’UE sont envoyées, hébergées ou simplement consultées depuis un pays tiers. Un agent au Maroc qui consulte une base de clients hébergée en France réalise donc un transfert au sens du RGPD.

Le Maroc ne bénéficie pas d’une décision d’adéquation de la Commission européenne. Ces transferts doivent donc être encadrés par des garanties appropriées, le plus souvent les clauses contractuelles types (CCT) de la Commission, complétées par une analyse d’impact du transfert (AITD, ou TIA en anglais) et, si nécessaire, des mesures supplémentaires.

À qui s’adresse-t-il ?

Ce service s’adresse aux entreprises européennes qui travaillent avec une équipe, un prestataire ou un support au Maroc, et aux entreprises marocaines qui reçoivent des données de clients européens.

Situations qui déclenchent la mission

• Ouverture d’une équipe ou d’une filiale au Maroc qui accède aux outils de la maison mère.
• Externalisation du service client, du développement ou de la paie vers un prestataire marocain.
• Un client européen demande les CCT signées et l’analyse d’impact du transfert.
• Ajout d’un nouvel outil ou d’un sous-traitant ultérieur situé hors de l’Union européenne.

Problèmes que nous rencontrons souvent

• Des accès à distance depuis le Maroc qui ne sont pas reconnus comme des transferts.
• Des CCT signées dans une ancienne version, ou dans un module qui ne correspond pas aux rôles réels.
• Aucune analyse d’impact du transfert, alors qu’elle est attendue depuis l’arrêt Schrems II.
• Une information des personnes qui ne mentionne pas les transferts hors UE.

Ce que la mission comprend

La mission part de la cartographie réelle des flux, puis produit les documents adaptés à chaque relation entre l’exportateur et l’importateur des données.

Livrables

• Cartographie des flux : qui envoie quelles données, vers qui, depuis quel pays et avec quels outils.
• Qualification des rôles : responsable du traitement ou sous-traitant, et choix du module de CCT correspondant.
• Clauses contractuelles types : les CCT complétées, avec leurs annexes : description des transferts et mesures de sécurité.
• Analyse d’impact du transfert (AITD) : l’évaluation du cadre juridique du pays destinataire et des mesures supplémentaires retenues.
• Mise à jour de l’information : les mentions à ajouter dans la politique de confidentialité et le registre.

Ce que le client doit fournir

La description des équipes et prestataires concernés, les contrats existants, les outils utilisés et un contact technique pour décrire les accès et le chiffrement.

Déroulé type

Les mesures qui renforcent un transfert vers le Maroc

Une analyse d’impact du transfert ne se limite pas au droit du pays destinataire : elle examine aussi les mesures concrètes qui réduisent le risque. Les plus courantes sont le chiffrement des données au repos et en transit, des accès limités au strict nécessaire, la journalisation des consultations et l’hébergement des données dans l’Union européenne.

Pour les entreprises marocaines, ces mêmes mesures constituent souvent les meilleurs arguments face à un client européen. Nous les documentons de manière à pouvoir les réutiliser dans vos réponses aux questionnaires et appels d’offres.

Limites importantes

Les CCT et l’AITD sont des documents de conformité ; leur efficacité dépend de l’application réelle des mesures décrites. Pour une question de droit étranger complexe, un avis juridique spécialisé peut être nécessaire.

RCM fournit un accompagnement de conformité et de DPO. RCM n’est pas un cabinet d’avocats. Lorsqu’une consultation juridique spécialisée ou une représentation contentieuse est nécessaire, elle doit être confiée à un professionnel habilité.

Parler de votre situation

Présentez le contexte, le calendrier et les acteurs. Nous vous dirons si ce service correspond réellement au besoin.