Sous-traitant Marocain d'un Client Européen : Contrat, Clauses Types et Analyse des Transferts

Le point de départ : pas d'adéquation pour le Maroc#

Le RGPD interdit en principe de transférer des données personnelles hors de l'Espace économique européen, sauf vers un pays reconnu adéquat (article 45) ou avec des garanties appropriées, comme les clauses contractuelles types ou les règles d'entreprise contraignantes (article 46). Les dérogations de l'article 49 sont réservées à des situations exceptionnelles et ne conviennent pas à une prestation continue.

Le Maroc ne fait pas partie des pays adéquats. Pour un centre de relation client, une plateforme technique ou un prestataire informatique marocain, cela entraîne trois chantiers : le contrat de sous-traitance, les clauses types et l'analyse d'impact des transferts. Les différences de fond entre les deux régimes sont présentées dans notre comparatif loi 09-08 et RGPD.

Le contrat de l'article 28 : ce qu'il doit contenir#

L'article 28(3) du RGPD exige un contrat qui décrit l'objet, la durée, la nature et la finalité du traitement, les types de données, les catégories de personnes concernées et les droits du responsable. Il doit aussi imposer au sous-traitant les obligations suivantes.

Pour un contrat entre deux entités situées dans l'Espace économique européen, la Commission a publié des clauses types de sous-traitance distinctes (décision 2021/915). Pour un transfert vers le Maroc, les clauses de la décision 2021/914 contiennent déjà ces exigences de l'article 28.

Module 2 ou module 3 : choisir les bonnes clauses types#

La décision d'exécution (UE) 2021/914 du 4 juin 2021 propose quatre modules. Le choix dépend de la position de chacun dans la chaîne.

Le renvoi des résultats du centre marocain vers le client européen n'est pas un transfert hors de l'Union au sens du RGPD : il est couvert par les clauses du module 2 ou 3 déjà signées. Côté marocain, il reste un transfert vers l'étranger au sens de la loi 09-08 (articles 43 et 44) ; la France et les autres États membres figurent sur la liste des pays adéquats tenue par la CNDP.

Erreur fréquente : signer le module 2 avec un BPO européen qui n'est que sous-traitant. Le montage réel détermine le module, et l'annexe I des clauses doit décrire précisément les catégories de données, les finalités et la durée de conservation.

L'analyse d'impact des transferts en six étapes#

Les recommandations 01/2020 du Comité européen de la protection des données (version 2.0 du 18 juin 2021) proposent à l'exportateur une démarche en six étapes, pour mener l'évaluation que la clause 14 des clauses types rend obligatoire. La CNIL a publié un guide pratique d'analyse d'impact des transferts (AITD), avec un modèle de tableur, qui suit la même logique.

1. Connaître ses transferts : quelles données, vers quel site, quels accès à distance, quels sous-traitants ultérieurs.
2. Identifier l'outil de transfert : ici, les clauses types.
3. Évaluer le droit et la pratique du pays tiers : pour le Maroc, la loi 09-08, le rôle de la CNDP, l'adhésion du Maroc à la Convention 108 et à son protocole additionnel, en vigueur pour le Maroc depuis le 1er septembre 2019, et l'adoption par le Parlement, le 2 février 2022, du projet de loi portant approbation du protocole dit Convention 108+. Il faut aussi analyser les possibilités d'accès des autorités publiques aux données.
4. Adopter des mesures supplémentaires si nécessaire : chiffrement, pseudonymisation, limitation des accès, journalisation.
5. Accomplir les formalités liées à l'outil retenu.
6. Réévaluer à intervalles réguliers et à chaque changement de montage.

L'exportateur européen porte l'analyse, mais il ne peut pas la mener sans le prestataire.

Le dossier de preuves que le prestataire marocain prépare#

Un centre qui présente ces éléments dès l'appel d'offres raccourcit la négociation et la réponse au questionnaire de conformité :

• la cartographie des flux par client : données reçues, systèmes, lieux d'hébergement, accès ;
• le registre des sous-traitants ultérieurs, avec leur localisation et leurs garanties ;
• la description des mesures de sécurité, techniques et organisationnelles ;
• la procédure de gestion des incidents et le délai de notification au client ;
• la procédure d'exercice des droits et de suppression en fin de contrat ;
• une note factuelle sur le cadre marocain : loi 09-08, formalités CNDP accomplies, Convention 108 ;
• les récépissés ou autorisations de la CNDP pour les traitements concernés ;
• les attestations de formation et d'engagement de confidentialité du personnel.

Ce dossier est un outil commercial autant que juridique : il montre au client qu'il peut défendre son choix devant son autorité de contrôle.

Sous-traitants ultérieurs et transferts au départ du Maroc#

L'article 28(2) interdit de recourir à un autre sous-traitant sans autorisation écrite préalable du responsable, et l'article 28(4) impose de répercuter les mêmes obligations. Dans un centre, les sous-traitants ultérieurs sont nombreux : téléphonie en nuage, CRM, outil de transcription, hébergeur de sauvegardes, éditeur de chatbot.

S'ajoute la règle marocaine. Lorsque le centre transfère des données depuis le Maroc vers un autre pays, la loi 09-08 s'applique : transfert permis vers un État figurant sur la liste de la CNDP (article 43), sous réserve des formalités applicables, sinon dérogation ou autorisation de la CNDP sur la base de garanties contractuelles (article 44). Un outil hébergé dans un pays hors liste exige donc deux vérifications : l'accord du client européen et le régime CNDP. Les détails sont dans notre guide sur le transfert de données à l'étranger.

Le renvoi des données vers le client européen est un transfert vers un pays figurant sur la liste de la CNDP, qui inclut des États membres comme la France. Les formalités de déclaration ou d'autorisation du traitement auprès de la CNDP restent néanmoins à accomplir ; la procédure applicable est à confirmer auprès de la CNDP pour chaque montage.

Checklist avant signature#

1. Qualifier le montage : client responsable ou sous-traitant, et choisir le module 2 ou 3.
2. Vérifier que le contrat couvre les huit points de l'article 28(3).
3. Compléter l'annexe des clauses types avec les données, finalités et durées réelles.
4. Établir la liste des sous-traitants ultérieurs et obtenir l'accord du client.
5. Fournir au client les éléments factuels pour son analyse d'impact des transferts.
6. Vérifier les formalités CNDP pour le traitement et pour tout transfert hors du Maroc.
7. Fixer les délais de notification d'incident et la procédure de fin de contrat.
8. Prévoir une revue annuelle et à chaque changement d'outil.