« Peut-on externaliser son développement informatique hors de l'Union européenne sans enfreindre le RGPD ? » La réponse est oui, sans ambiguïté — à condition de mettre en place le cadre que le règlement prévoit précisément pour cette situation. Des milliers d'entreprises françaises travaillent en toute conformité avec des prestataires au Maroc, en Tunisie ou ailleurs : le RGPD n'interdit pas les transferts hors UE, il les encadre. La confusion vient de ce que deux questions distinctes se mélangent souvent : la relation de sous-traitance (qui exige un contrat conforme à l'article 28 du RGPD, que le prestataire soit à Nantes ou à Rabat) et le transfert vers un pays tiers (qui exige des garanties appropriées, en pratique les clauses contractuelles types de la Commission européenne). Cet article démêle les deux, décrit le dispositif complet à mettre en place, et — tout aussi important — les mesures techniques qui réduisent le sujet à sa juste taille : dans un projet de développement bien organisé, le prestataire n'a le plus souvent pas besoin d'accéder à des données personnelles réelles. CRYSTAL IT, éditeur de logiciels basé à Rabat et partenaire nearshore d'entreprises françaises (nos services d'offshoring informatique), pratique ce cadre au quotidien : voici comment le mettre en place proprement, sans bloquer votre projet.
Ce que dit réellement le RGPD : sous-traitance et transfert sont deux sujets distincts
Premier sujet : la sous-traitance. Dès qu'un prestataire traite des données personnelles pour votre compte — les héberger, les manipuler, y accéder pour déboguer —, vous êtes responsable de traitement et lui sous-traitant au sens du RGPD. L'article 28 impose alors un contrat écrit encadrant ce traitement : objet, durée, nature et finalité du traitement, catégories de données, obligations de sécurité et de confidentialité, régime des sous-traitants ultérieurs, assistance au responsable de traitement, sort des données en fin de contrat. Ce contrat — souvent appelé DPA, pour Data Processing Agreement — est obligatoire quel que soit le pays du prestataire : un sous-traitant français y est soumis exactement comme un sous-traitant marocain.
Second sujet : le transfert vers un pays tiers. Le chapitre V du RGPD (articles 44 et suivants) encadre les transferts de données personnelles hors de l'Union européenne. Trois voies principales existent : la décision d'adéquation, par laquelle la Commission européenne reconnaît qu'un pays offre un niveau de protection équivalent ; les garanties appropriées de l'article 46, dont l'instrument le plus courant est le jeu de clauses contractuelles types publié par la Commission ; et des dérogations ponctuelles d'interprétation stricte, inadaptées à une relation de sous-traitance durable. Le Maroc ne fait pas l'objet d'une décision d'adéquation : la voie normale pour un prestataire marocain est donc la signature des clauses contractuelles types, en complément du contrat de sous-traitance. C'est un dispositif standardisé, éprouvé et parfaitement praticable.
- Article 28 : contrat de sous-traitance (DPA) obligatoire dès qu'un prestataire traite des données pour votre compte — quel que soit son pays.
- Chapitre V (articles 44 et suivants) : les transferts hors UE sont permis, à condition de garanties appropriées.
- Le Maroc ne bénéficie pas d'une décision d'adéquation : la voie standard est la signature des clauses contractuelles types de la Commission.
- Le RGPD n'interdit donc pas d'externaliser au Maroc : il impose un cadre contractuel précis, standardisé et disponible.
Les clauses contractuelles types : l'instrument standard du transfert encadré
Les clauses contractuelles types (CCT) sont des modèles de contrat publiés par la Commission européenne — le jeu en vigueur résulte de la décision d'exécution 2021/914 du 4 juin 2021 — que l'exportateur de données (vous) et l'importateur (le prestataire hors UE) signent en l'état : elles ne se négocient pas dans leur substance, ce qui est précisément leur intérêt. Le jeu de 2021 est modulaire, avec plusieurs configurations selon la relation ; pour un client français responsable de traitement et un prestataire de développement sous-traitant, c'est le module « responsable vers sous-traitant » qui s'applique, et il intègre les exigences de l'article 28 — un même document peut donc couvrir les deux sujets.
La signature des clauses s'accompagne de deux exercices. D'abord remplir sérieusement leurs annexes : description concrète du traitement, catégories de données, mesures de sécurité techniques et organisationnelles — des annexes vides ou génériques privent le dispositif de sa valeur. Ensuite, documenter une évaluation du transfert (couramment appelée TIA, Transfer Impact Assessment) : depuis la jurisprudence européenne dite « Schrems II », l'exportateur doit vérifier que le droit du pays de destination ne prive pas les clauses de leur effectivité, et prévoir au besoin des mesures complémentaires — chiffrement, pseudonymisation, minimisation. Pour un projet de développement où les données accessibles sont limitées et où le prestataire est une société privée sans obligation de communication massive aux autorités, cette évaluation est généralement raisonnable à documenter. Le Maroc dispose par ailleurs de son propre cadre de protection des données, la loi 09-08 contrôlée par la CNDP, dont nous détaillons la portée par ailleurs (Cybersécurité et loi 09-08).
- Les CCT en vigueur résultent de la décision d'exécution (UE) 2021/914 : des modèles à signer en l'état, non négociables dans leur substance.
- Le module « responsable vers sous-traitant » couvre à la fois l'article 28 et le transfert : un seul document bien rempli peut suffire.
- Les annexes (description du traitement, mesures de sécurité) doivent être remplies concrètement — des annexes génériques ne protègent personne.
- Documentez une évaluation du transfert (TIA) et des mesures complémentaires : chiffrement, pseudonymisation, minimisation.
- Le cadre marocain (loi 09-08, CNDP) offre un socle local de protection qui facilite l'exercice.
La vraie question : de quelles données votre prestataire a-t-il réellement besoin ?
Le levier de conformité le plus puissant n'est pas contractuel mais technique : réduire les données personnelles auxquelles le prestataire accède, idéalement à zéro. Dans un projet de développement bien organisé, l'équipe travaille sur des environnements de développement et de recette alimentés par des données fictives ou anonymisées — jamais par une copie de la production. Générer des jeux de données de test réalistes est un investissement modeste qui simplifie tout : moins de données transférées, c'est moins de risque, moins de périmètre dans les annexes des clauses, et une évaluation de transfert plus courte.
Certaines situations exigent malgré tout un accès à des données réelles : reproduction d'un bug spécifique, reprise de données, support de production. Traitez-les comme des exceptions organisées plutôt que comme un droit permanent : accès nominatif accordé au cas par cas, limité dans le temps, journalisé, sur un périmètre restreint, avec extraction minimale. Cette logique d'exception s'aligne d'ailleurs avec le principe de minimisation du RGPD et rassurera immédiatement votre DPO ou votre avocat. Elle a aussi un mérite commercial : un prestataire qui propose spontanément de travailler sans données réelles démontre une maturité qui devrait peser dans votre grille de sélection (Comment choisir un prestataire de développement informatique au Maroc).
- Le meilleur transfert est celui qui n'a pas lieu : développement et recette sur données fictives ou anonymisées.
- Investissez dans un générateur de jeux de test réalistes : coût modeste, bénéfice de conformité majeur.
- Accès aux données réelles = exception organisée : nominatif, temporaire, journalisé, périmètre minimal.
- La minimisation réduit mécaniquement le périmètre des clauses types et de l'évaluation de transfert.
L'architecture qui simplifie tout : héberger en Europe, développer au Maroc
Une idée reçue tenace veut qu'externaliser le développement au Maroc implique d'héberger les données au Maroc. C'est faux, et la configuration la plus courante est inverse : l'application et ses données de production restent hébergées dans l'Union européenne — chez l'hébergeur de votre choix —, et l'équipe marocaine développe, teste et déploie vers cette infrastructure. Les données de production ne quittent alors jamais l'UE au repos ; le sujet du transfert se réduit aux accès distants éventuels de l'équipe, eux-mêmes limités par la politique d'accès décrite plus haut.
Cette architecture a d'autres vertus : elle satisfait les exigences de vos propres clients grands comptes, qui imposent souvent contractuellement un hébergement européen ; elle simplifie les audits ; et elle rend la réversibilité plus facile, puisque l'infrastructure vous appartient de bout en bout (Réversibilité d'un projet informatique externalisé). Côté développement, le code source n'est pas une donnée personnelle : il circule librement. C'est le schéma que nous pratiquons pour les projets français — application chez un hébergeur européen choisi par le client, dépôts de code du client, équipe à Rabat (notre service de développement ERP). La conformité RGPD devient alors un dispositif documenté et vérifiable, pas un frein au projet.
- Hébergement de production dans l'UE + équipe de développement au Maroc : la configuration standard, et la plus simple à défendre.
- Les données de production ne quittent pas l'UE au repos ; seuls les accès distants restent à encadrer.
- Le code source n'est pas une donnée personnelle : il circule sans contrainte de transfert.
- L'infrastructure au nom du client satisfait les exigences des grands comptes et prépare la réversibilité.
La check-list de mise en conformité avant le premier jour du projet
Voici le déroulé opérationnel, dans l'ordre. Un : cartographiez les traitements concernés — quelles données personnelles le projet touche-t-il, où sont-elles hébergées, qui y accédera ? Complétez votre registre des traitements en conséquence. Deux : signez le contrat de sous-traitance conforme à l'article 28, ou les clauses contractuelles types dans leur module responsable-vers-sous-traitant, annexes remplies avec soin. Trois : documentez l'évaluation de transfert et les mesures complémentaires retenues. Quatre : mettez en place les mesures techniques — environnements sans données réelles, comptes nominatifs, authentification forte, journalisation, chiffrement des flux et des sauvegardes.
Cinq : encadrez la sous-traitance ultérieure — votre prestataire ne doit pas pouvoir faire appel à un autre sous-traitant sur vos données sans votre autorisation, conformément au régime prévu par l'article 28. Six : prévoyez le sort des données en fin de contrat : restitution ou suppression certifiée, dans un format exploitable. Si votre projet implique un traitement à risque élevé, une analyse d'impact (AIPD) peut être requise indépendamment de la question du transfert — votre DPO ou votre conseil tranchera. L'ensemble représente, pour un projet de développement classique, quelques jours de travail bien investis : c'est le prix d'une externalisation sereine, très inférieur au coût d'une mise en conformité rétroactive ou d'un contrôle mal préparé (Nearshore, offshore, onshore).
- Cartographie des traitements et mise à jour du registre avant toute signature.
- Contrat article 28 + clauses contractuelles types signés avant le premier accès du prestataire.
- Évaluation de transfert documentée, mesures complémentaires décidées et tracées.
- Mesures techniques en place dès le jour un : environnements sans données réelles, accès nominatifs, chiffrement, journalisation.
- Sous-traitance ultérieure soumise à autorisation ; sort des données en fin de contrat écrit noir sur blanc.
Choisir un prestataire qui porte le sujet avec vous
La conformité RGPD d'une externalisation est une responsabilité partagée, mais c'est vous, responsable de traitement, qui portez l'obligation première : choisir un sous-traitant présentant des garanties suffisantes, comme l'exige l'article 28. Le choix du prestataire est donc en lui-même un acte de conformité. Les signaux qui comptent : le prestataire a déjà signé des clauses contractuelles types et peut en parler concrètement ; il propose de lui-même des environnements sans données réelles ; il accepte les audits prévus par le contrat ; il désigne un interlocuteur pour les sujets de protection des données ; il applique en interne des règles d'accès strictes et peut les décrire.
Méfiez-vous du prestataire qui balaie le sujet (« on a l'habitude, ne vous inquiétez pas ») comme de celui qui promet l'impossible (« nous sommes certifiés RGPD » — cette certification générale n'existe pas). La bonne réponse est celle d'un professionnel qui connaît le dispositif, sait ce qu'il implique dans son organisation et vous aide à remplir vos propres obligations. C'est l'approche de CRYSTAL IT avec ses clients français : cadre contractuel européen proposé dès l'avant-vente, architecture à hébergement européen par défaut, accès aux données réelles traité en exception organisée (nos services d'offshoring informatique). Le RGPD bien pratiqué n'est pas un obstacle à l'externalisation : c'est un filtre qui élimine les prestataires que vous n'auriez de toute façon pas dû choisir.
- Choisir un sous-traitant offrant des garanties suffisantes est votre première obligation de conformité.
- Bons signaux : CCT déjà pratiquées, environnements sans données réelles proposés spontanément, auditabilité acceptée.
- Signaux d'alarme : le sujet balayé d'un revers de main, ou une prétendue « certification RGPD » générale qui n'existe pas.
- Le RGPD agit comme un filtre de sélection : il élimine les prestataires fragiles avant qu'ils ne deviennent votre problème.
Externaliser son développement hors Union européenne en conformité avec le RGPD n'est ni interdit ni acrobatique : c'est un dispositif standardisé — contrat de sous-traitance article 28, clauses contractuelles types, évaluation de transfert documentée — complété par des mesures techniques de bon sens, à commencer par le développement sans données réelles et l'hébergement de production en Europe. Mis en place avant le premier jour du projet, ce cadre se déroule ensuite sans friction et résiste aux audits comme aux exigences de vos propres clients. CRYSTAL IT, éditeur de logiciels basé à Rabat depuis plus de 20 ans, pratique ce dispositif avec ses clients français : clauses types, architecture européenne, minimisation des accès (nos services d'offshoring informatique). Si le sujet RGPD est ce qui vous retient d'externaliser, parlons-en concrètement : nous vous montrerons le cadre complet sur un cas réel, et vous jugerez sur pièces.
Un projet ou une question ? Parlons-en avec un expert CRYSTAL IT.
Demander une démo
