Transferts de données hors de Monaco : ce que change la liste des pays adéquats

Depuis sa publication au Journal de Monaco, le 16 octobre 2026, un arrêté ministériel fixe la liste des pays vers lesquels les données personnelles peuvent circuler librement depuis la Principauté. Pour une entreprise, la conséquence se lit moins dans le texte que dans ses outils du quotidien : messagerie, stockage, CRM, visioconférence, IA générative, support informatique. Chacun fait circuler des données. La liste dit désormais lesquels de ces flux sont libres ; pour les autres, la loi impose une garantie, une dérogation ou une autorisation de l’APDP.

Vous trouverez ci-dessous ce que contient la liste, ce que l’APDP a exigé dans ses dernières autorisations, un arbre de décision en quatre questions et, outil par outil, la question à poser au fournisseur.

Ce que dit la liste publiée le 16 octobre

L’article 97 de la loi n°1.565 du 3 décembre 2024 pose le principe : un transfert de données hors de la Principauté se fait sans formalité préalable vers un pays qui offre un niveau de protection adéquat. Les États membres de l’Union européenne sont réputés adéquats par la loi elle-même. Pour tous les autres, la Principauté doit avoir constaté ce niveau de protection, par un arrêté ministériel pris après avis de l’APDP.

C’est l’objet de l’arrêté ministériel n°2026-548 du 30 septembre 2026. Il retient :

• les 27 États de l’Union européenne ;
• les autres pays et territoires européens suivants : Royaume-Uni, Suisse, Norvège, Islande, Liechtenstein, Andorre, Îles Féroé, Guernesey, Jersey et Île de Man ;
• cinq pays plus lointains : Argentine, Brésil, Nouvelle-Zélande, Uruguay et Canada, ce dernier uniquement pour les organisations du secteur privé soumises à sa loi fédérale sur les renseignements personnels, dans le cadre d’activités commerciales ;
• une organisation internationale : l’Organisation européenne des brevets.

Ce qui n’y figure pas compte autant. Selon l’APDP, les États-Unis, le Japon, la Corée du Sud et Israël ont été retirés de la liste initialement envisagée. Dans son avis du 20 mai 2026, l’Autorité avait relevé que le projet reprenait presque à l’identique la liste de l’Union européenne, alors que les garanties européennes ne s’appliquent pas à Monaco : c’est à la Principauté de constater elle-même le niveau de protection d’un pays.

Ce qu’un transfert vers les États-Unis vaut au regard du droit européen ne vaut donc pas au regard du droit monégasque. Un flux de données de Monaco vers les États-Unis relève des règles applicables aux pays hors liste, quelle que soit la situation du même flux au départ de Paris ou de Milan.

Deux précisions complètent le tableau. La liste est mise à jour régulièrement : un pays peut y entrer ou en sortir. Et, selon l’APDP, une mise à jour n’a pas d’effet sur les transferts déjà effectués.

Un transfert, ce n’est pas seulement un hébergement

Dans sa fiche sur les transferts, l’APDP définit le transfert comme tout flux de données vers un pays, un territoire ou une organisation internationale hors de la Principauté, qu’il s’agisse d’un transfert physique ou d’un accès à distance, au sein d’un groupe ou vers un tiers. Elle donne deux exemples : l’hébergement des données par la société mère située en France, et l’accès aux données par un prestataire informatique situé en Inde à des fins de maintenance.

Le premier est libre, la France étant dans l’Union européenne. Le second ne l’est pas. Le cas le plus fréquent : des données hébergées en Europe, mais un support ou un sous-traitant ultérieur qui peut y accéder depuis un pays non listé. Deux délibérations récentes de l’APDP l’illustrent :

• Dans sa délibération n°2025-024 du 10 décembre 2025, concernant une banque de la Place qui utilise Microsoft 365, la possibilité que des sous-traitants de l’éditeur, dont certains situés aux États-Unis, accèdent à des données dans des cas exceptionnels a été analysée comme un transfert vers un pays sans protection adéquate. L’APDP l’a autorisé sous conditions.
• Dans sa délibération n°2026-022 du 7 octobre 2026, l’accès d’un centre de services partagés situé en Inde, filiale du même groupe, pour l’exploitation et la maintenance d’infrastructures hébergeant des données personnelles, a lui aussi été autorisé sous conditions. Un flux interne à un groupe n’échappe pas à la règle.

Le point commun : la bonne question à poser à un fournisseur n’est pas seulement « où sont stockées nos données ? », mais aussi « depuis quels pays peut-on y accéder, par qui, et dans quelles circonstances ? ».

Les clauses contractuelles européennes ne suffisent pas à Monaco

Lorsque le pays de destination n’est pas sur la liste, l’article 98 de la loi prévoit cinq garanties appropriées qui permettent le transfert sans formalité préalable :

• un engagement exécutoire dans la Principauté ;
• des clauses types de protection préalablement approuvées par l’APDP ;
• des règles d’entreprise contraignantes approuvées par l’APDP, ou par l’autorité de protection d’un pays adéquat ;
• un mécanisme de certification approuvé ;
• l’adhésion à un code de conduite approuvé et publié par l’APDP.

Pour la certification et le code de conduite, l’APDP précise qu’ils doivent être assortis d’un engagement contraignant du destinataire, transmis à l’Autorité.

La garantie la plus répandue en Europe, les clauses contractuelles types adoptées par la Commission européenne, ne figure pas dans cette liste. Dans une délibération du 22 janvier 2025, l’APDP a indiqué que ces clauses ne peuvent se confondre avec celles de l’article 98 : elles s’analysent en clauses spécifiques au sens de l’article 100, ce qui soumet le transfert à son autorisation préalable. L’Autorité reconnaît qu’elles relèvent des plus hauts standards, mais leurs prérogatives ne sont ouvertes que sur le territoire européen : lieu d’exercice des droits, autorité de contrôle, droit applicable au recours, notification des violations. Une personne de Monaco n’en bénéficie donc pas pleinement. La même délibération rappelle une voie pratique : le droit européen permet d’ajouter aux clauses types des clauses complémentaires, à condition qu’elles ne les contredisent pas.

Restent les clauses types monégasques. La délibération du 7 octobre 2026 citée plus haut mentionne encore l’absence de clauses types de protection monégasques approuvées par l’APDP et mises à disposition. L’Autorité avait annoncé, en décembre 2025, des clauses d’adjonction aux clauses européennes pour 2026. Avant de s’engager, il est utile de vérifier sur son site si elles ont été publiées.

Sans garantie de l’article 98, deux voies demeurent :

• Les dérogations de l’article 99, conçues pour des situations précises : consentement explicite de la personne, après information sur l’absence de protection adéquate et sur les risques ; exécution d’un contrat avec elle, ou d’un contrat conclu dans son intérêt avec un tiers, comme l’agence de voyages qui transmet les données de ses clients à un hôtel à l’étranger, exemple donné par l’APDP ; défense d’un droit en justice ; intérêts vitaux ; intérêt public ; consultation d’un registre public. Un dernier cas, résiduel, vise les transferts non répétitifs, portant sur un nombre limité de personnes, nécessaires à des intérêts légitimes impérieux et assortis de garanties ; l’APDP et les personnes concernées doivent alors en être informées. Ces dérogations conviennent mal à un outil utilisé tous les jours par toute l’équipe.
• L’autorisation de l’article 100, sur la base de clauses contractuelles spécifiques ou d’autres garanties, demandée par le responsable du traitement ou par le sous-traitant. L’APDP se prononce dans un délai de deux mois, renouvelable une fois ; sans réponse à l’issue de ce délai, l’autorisation est réputée refusée. Pour un nouvel outil, ce délai se planifie dès le choix du fournisseur.

Si vous demandez une autorisation : ce que l’APDP a exigé

Les trois délibérations citées donnent une idée précise de ce que l’Autorité attend de clauses spécifiques, en particulier lorsqu’elles s’inspirent des clauses types européennes. Avant de déposer un dossier, chaque point mérite une vérification :

• Les droits des personnes de Monaco sont effectivement exerçables, avec une compétence des juridictions monégasques et la primauté de la loi monégasque en cas de conflit d’interprétation.
• L’autorité de contrôle est bien l’APDP : l’alinéa des clauses européennes qui permet de choisir une autorité de l’Union est à supprimer ou à modifier, faute de quoi les garanties prévues pour Monaco ne s’appliquent plus.
• L’information préalable des personnes figure dans la clause de transparence ; sans elle, le droit d’obtenir une copie des clauses reste inopérant.
• Les options des clauses européennes sont tranchées : il s’agit de clauses pour un transfert déterminé, pas d’un modèle ouvert à plusieurs scénarios.
• Le vocabulaire : ne pas présenter ses propres clauses comme des « clauses types » au sens de l’article 98, que seule l’APDP peut approuver.
• Une version française des clauses est disponible pour les personnes qui la demandent.
• Les appendices sont complets, et les exigences de sécurité cohérentes entre tous les documents annexés.

Arbre de décision : quatre questions par outil

Pour chaque outil qui manipule des données personnelles, quatre questions suffisent à savoir dans quel cas il se trouve.

• 1. Les données quittent-elles Monaco, y compris par un accès à distance ? Hébergement, sauvegardes, support, maintenance, sous-traitants ultérieurs : si tout reste à Monaco, il n’y a pas de transfert. Sinon, question 2.
• 2. Chaque pays de destination ou d’accès figure-t-il sur la liste de l’arrêté n°2026-548 ? Si oui, le transfert est libre ; restent le contrat, le registre et l’information des personnes. Si un seul pays n’y figure pas, question 3 pour ce flux.
• 3. Une garantie de l’article 98 est-elle en place ? Engagement exécutoire dans la Principauté, clauses types approuvées par l’APDP, règles d’entreprise contraignantes approuvées, certification ou code de conduite approuvés avec engagement du destinataire. Des clauses contractuelles types européennes seules ne répondent pas à cette question. Si oui, pas de formalité ; sinon, question 4.
• 4. Une dérogation de l’article 99 couvre-t-elle précisément ce flux ? Si oui, la documenter, et pour le cas résiduel, informer l’APDP et les personnes. Sinon, deux options : demander l’autorisation de l’APDP au titre de l’article 100, ou configurer l’outil (hébergement et accès dans des pays listés) pour que la question ne se pose plus.

Outil par outil : la question à poser, la garantie attendue

La grille ci-dessous se lit rubrique par rubrique, en face de votre inventaire d’outils. Elle ne préjuge pas de la situation d’un fournisseur en particulier : c’est sa réponse aux questions qui la détermine.

Messagerie et suite bureautique en ligne

• Données en jeu : courriels, agendas, documents, carnets d’adresses, souvent l’essentiel de la relation client.
• Question au fournisseur : « Dans quels pays nos données sont-elles hébergées, sauvegardes comprises, et depuis quels pays vos équipes et vos sous-traitants ultérieurs peuvent-ils y accéder ? Merci de nous transmettre leur liste, avec leur pays. »
• Garantie attendue : hébergement et accès limités à des pays listés, engagés au contrat. Si le fournisseur ne peut pas s’y engager, c’est la voie de l’autorisation qui s’ouvre, comme dans la délibération de décembre 2025, avec des clauses qui garantissent les droits des personnes de Monaco.

Stockage et partage de fichiers

• Données en jeu : pièces d’identité, contrats, relevés, dossiers clients complets.
• Question au fournisseur : « La région d’hébergement est-elle garantie par le contrat, y compris pour les copies de sauvegarde et la réplication ? Vos sous-traitants ultérieurs (antivirus, indexation, support) accèdent-ils aux fichiers, et depuis où ? »
• Garantie attendue : une localisation contractuelle dans un pays listé, sauvegardes comprises, et un contrat de sous-traitance conforme à l’article 26 de la loi.

CRM

• Données en jeu : l’historique de chaque relation, les projets, les préférences, parfois des éléments de vigilance.
• Question au fournisseur : « Où sont hébergées les données et les sauvegardes, qui administre la plateforme et depuis quel pays, et nos données peuvent-elles servir à autre chose qu’à notre usage, notamment à entraîner des modèles ? »
• Garantie attendue : hébergement et administration dans un pays listé, ou à Monaco, à condition que l’administration et le support y soient aussi.

Visioconférence

• Données en jeu : identité des participants, flux audio et vidéo, et surtout enregistrements, transcriptions et résumés automatiques.
• Question au fournisseur : « Par quels pays transitent les flux, et où sont stockés les enregistrements et les transcriptions ? Les fonctions de transcription ou de résumé font-elles appel à un service situé dans un autre pays ? »
• Garantie attendue : des flux acheminés et des enregistrements stockés dans des pays listés, ou les fonctions d’enregistrement et de transcription désactivées pour les réunions qui portent sur des clients.

IA générative

• Données en jeu : tout ce que les collaborateurs collent dans une requête ou joignent en document.
• Question au fournisseur : « Dans quel pays le modèle est-il exécuté, les requêtes et documents sont-ils conservés et où, et peuvent-ils servir à l’entraînement ? »
• Garantie attendue : un modèle exécuté dans un pays listé ou dans votre propre environnement, sans conservation des requêtes ni entraînement, ces deux points étant écrits au contrat. À défaut, une règle interne simple : aucune donnée personnelle, de client, de salarié ou de tiers, dans les requêtes.

Support informatique, infogérance et logiciels métier

• Données en jeu : potentiellement toutes, puisque le support accède aux systèmes eux-mêmes.
• Question au fournisseur : « Depuis quels pays vos équipes interviennent-elles ? L’accès est-il permanent ou ponctuel, sur demande, et est-il journalisé ? »
• Garantie attendue : des interventions depuis des pays listés ; sinon, un accès ponctuel, tracé, encadré par une autorisation de l’APDP, comme dans la délibération d’octobre 2026.

Ce qu’il faut mettre à jour dans vos documents

• Le registre des activités de traitement (article 27) : pour chaque transfert hors de la Principauté, le pays destinataire et les garanties retenues.
• Les contrats de sous-traitance (article 26) : écrits, ils gagnent à préciser les pays d’hébergement et d’accès, et la liste des sous-traitants ultérieurs.
• L’information des personnes (article 11) : la notice mentionne le transfert et les dispositions prises au titre des articles 97 à 100.
• La réponse au droit d’accès (article 12) : toute personne peut demander s’il existe un transfert et quelles garanties l’encadrent. Mieux vaut avoir la réponse prête.

L’enjeu n’est pas théorique : l’article 54 de la loi prévoit, pour un transfert irrégulier, une amende administrative pouvant atteindre 10 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, et l’APDP peut ordonner la suspension des flux. Pour les cas qui relèvent des articles 99 ou 100, l’avis de votre conseil juridique reste le bon réflexe. Nous revenons sur l’ensemble du texte dans notre décryptage de la loi n°1.565, et sur le choix d’un outil de relation client dans notre article sur le CRM souverain à Monaco.

Une cartographie à tenir à jour

La liste du 16 octobre fait de la géographie des données, et des accès, un critère de choix des outils au même titre que les fonctionnalités ou le prix. Elle sera mise à jour, et les fournisseurs changent de sous-traitants : une cartographie tenue à jour se revoit en quelques heures à chaque changement ; c’est la première qui demande le plus de travail.

C’est un exercice que nos experts peuvent mener avec vous, outil par outil. Pour la relation client, c’est aussi la question à laquelle répond Minervia CRM, hébergé dans un data center à Monaco.