Guides
RGPD et externalisation au Bénin : le guide pratique pour être en règle
Vos données peuvent être traitées depuis Cotonou en restant pleinement protégées. Le RGPD a tout prévu pour cela : des rôles clairs, un contrat, des clauses types et une analyse du transfert. La conformité tient surtout dans l'ordre où vous déroulez ces étapes.
Ce guide pose une méthode et des repères. Chaque situation reste particulière : faites valider votre montage par votre DPO ou votre juriste avant le démarrage.
Le bon réflexe : partir des traitements, puis choisir le prestataire
Une externalisation réussie côté RGPD commence par une question simple : quelles données personnelles l'équipe va-t-elle voir, et pour quoi faire ? Un conseiller qui répond aux tickets voit des noms, des adresses, des historiques de commande. Un développeur qui corrige un bug peut accéder à une base de données. Un assistant back-office traite des factures ou des dossiers fournisseurs.
Pour chaque activité confiée, listez :
- les catégories de personnes concernées (clients, prospects, salariés, fournisseurs) ;
- les catégories de données (identité, coordonnées, données de paiement, échanges écrits ou enregistrés) ;
- les outils dans lesquels ces données vivent (Zendesk, HubSpot, Salesforce, votre back-office) ;
- les opérations réalisées (consultation, modification, export, suppression).
Cette cartographie alimente directement votre registre des traitements (article 30) et servira de base à tous les documents qui suivent. Elle vous aide aussi à appliquer le principe de minimisation : l'équipe accède exactement aux données utiles à sa mission.
Responsable de traitement et sous-traitant : qui porte quoi ?
Dans la grande majorité des projets d'externalisation au Bénin, votre entreprise est responsable de traitement : c'est vous qui décidez pourquoi et comment les données sont traitées. Le prestataire est sous-traitant : il agit sur vos instructions documentées, pour votre compte.
Cette répartition a des conséquences concrètes :
- Vous définissez les finalités, informez les personnes concernées, tenez le registre, répondez aux demandes d'exercice des droits et notifiez les violations lorsque c'est requis.
- Le sous-traitant applique vos instructions, garantit la confidentialité et la sécurité, vous assiste pour les droits des personnes et vous alerte rapidement en cas d'incident.
La qualification se vérifie au cas par cas. Si le prestataire décide lui-même de certaines finalités, le schéma évolue (responsabilité conjointe, par exemple). C'est l'un des points à soumettre en priorité à votre DPO.
Le contrat article 28 : la colonne vertébrale du dispositif
L'article 28 du RGPD impose un contrat écrit entre le responsable de traitement et le sous-traitant, souvent appelé DPA (Data Processing Agreement). Il décrit l'objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes. Il contient aussi des engagements précis du sous-traitant :
- traiter les données uniquement sur instructions documentées du responsable ;
- garantir que les personnes autorisées sont tenues à la confidentialité ;
- mettre en œuvre les mesures de sécurité prévues à l'article 32 ;
- recourir à un sous-traitant ultérieur seulement avec votre autorisation ;
- vous aider à répondre aux demandes des personnes et à respecter vos obligations de sécurité ;
- supprimer ou restituer les données en fin de contrat, au choix du responsable ;
- mettre à votre disposition les informations utiles et permettre les audits.
Ce contrat se complète utilement d'un accord de confidentialité, que Alafia Teams propose dès la phase de sélection des profils. Pour les projets de développement, le code reste dans vos propres dépôts et les droits vous sont cédés : la question de la propriété est réglée en même temps que celle des données.
Le transfert hors UE : les clauses contractuelles types
Le Bénin est un pays tiers au sens du RGPD. Dès que des données personnelles y sont traitées, y compris par simple consultation à distance de vos outils hébergés en Europe, il faut encadrer ce transfert. L'outil le plus utilisé est la signature des clauses contractuelles types (CCT) adoptées par la Commission européenne.
Les CCT sont organisées en modules selon la relation entre les parties. Pour un client responsable de traitement et un prestataire sous-traitant, c'est en principe le module « responsable vers sous-traitant » qui s'applique. Les clauses se signent telles quelles : vous complétez les annexes (description du transfert, mesures de sécurité, liste des sous-traitants ultérieurs).
Les CCT encadrent le transfert, le contrat article 28 encadre la sous-traitance : les deux documents travaillent ensemble et se signent en même temps.
La TIA : documenter que le transfert est solide
L'analyse d'impact du transfert, ou TIA (Transfer Impact Assessment), complète les CCT lorsque c'est nécessaire. Elle évalue si le cadre juridique et les pratiques du pays de destination permettent aux clauses de produire pleinement leurs effets, puis identifie les mesures complémentaires utiles.
Une TIA bien construite répond à quatre questions :
- Quelles données sont transférées, vers qui, par quel moyen, et à quelle fréquence ?
- Quel est le cadre applicable dans le pays de destination, notamment en matière d'accès des autorités aux données ?
- Quelles mesures techniques, contractuelles et organisationnelles renforcent la protection ?
- Quelle conclusion, et à quelle date la réévaluer ?
La TIA se distingue de l'analyse d'impact relative à la protection des données (AIPD, article 35), requise pour certains traitements à risque élevé. Les deux exercices peuvent coexister ; votre DPO saura dire lesquels s'appliquent à votre projet.
Les mesures techniques qui font la différence
Les mesures complémentaires sont souvent ce qui rend un transfert vraiment robuste. Les plus efficaces sont aussi les plus simples à mettre en place :
- Données hébergées dans l'UE : l'équipe travaille dans vos outils, vos données restent sur vos serveurs ou chez vos fournisseurs européens.
- Comptes nominatifs et double authentification sur chaque outil, avec des droits limités au strict nécessaire.
- Accès via VPN ou poste virtuel pour les environnements sensibles, avec journalisation des connexions.
- Pseudonymisation des environnements de test : les développeurs travaillent sur des jeux de données anonymisés ou fictifs.
- Masquage des données de paiement dans les outils de support.
- Révocation immédiate des accès à chaque départ ou changement de mission.
Côté organisation, le dispositif de Alafia Teams apporte des garanties complémentaires : des collaborateurs dédiés exclusivement à votre entreprise, un manager sur place, une formation à vos process internes et 3 % des échanges audités pour les équipes d'externalisation du service client. Ces éléments trouvent naturellement leur place dans l'annexe sécurité des CCT.
L'APDP : le versant béninois de la conformité
Le Bénin dispose de sa propre autorité de protection des données personnelles, l'APDP. Elle veille au respect du droit béninois par les organismes établis sur son territoire, dont votre prestataire. Concrètement, deux conformités avancent en parallèle :
- la vôtre, pilotée au regard du RGPD et de votre autorité de contrôle européenne ;
- celle du prestataire, au regard du droit béninois et de l'APDP, pour ses propres obligations locales.
Lors de la sélection, demandez à votre prestataire comment il gère ses démarches auprès de l'APDP. C'est d'ailleurs l'une des questions de notre checklist pour choisir un centre d'appel au Bénin.
La checklist documentaire à réunir avant le démarrage
Voici les pièces à rassembler, idéalement pendant les 4 semaines de démarrage, en parallèle du recrutement :
| Document | Qui le prépare | Rôle |
|---|---|---|
| Cartographie des données et registre mis à jour | Vous | Décrire précisément les traitements confiés |
| Contrat de sous-traitance article 28 | Les deux parties | Fixer les obligations du sous-traitant |
| CCT signées et annexes complétées | Les deux parties | Encadrer le transfert hors UE |
| TIA, si nécessaire | Vous, avec l'appui du prestataire | Documenter la solidité du transfert |
| Annexe des mesures de sécurité | Le prestataire | Détailler les mesures techniques et organisationnelles |
| Liste des sous-traitants ultérieurs | Le prestataire | Vous donner une vision complète de la chaîne |
| Politique de confidentialité actualisée | Vous | Informer les personnes du transfert |
| Procédure d'alerte en cas d'incident | Les deux parties | Réagir vite et dans les délais |
| Accord de confidentialité | Les deux parties | Protéger vos informations stratégiques |
Ce dossier vaut pour tous les métiers : service client, assistants et back-office ou équipes techniques. Seul le niveau de détail change selon la sensibilité des données.
Faire vivre la conformité après le lancement
Une fois l'équipe en place, la conformité devient une routine. Trois rendez-vous suffisent à la garder à jour :
- À chaque arrivée ou départ : création ou révocation des accès, signature des engagements de confidentialité.
- À chaque nouvel outil : mise à jour de la cartographie, du registre et des annexes. C'est particulièrement vrai pour les outils d'IA ; notre page IA, no-code et automatisation détaille comment nous les intégrons à vos règles.
- Une fois par an : revue de la TIA, des mesures de sécurité et de la liste des sous-traitants ultérieurs.
Le bilan à J+30 prévu par Alafia Teams est un bon moment pour faire un premier point RGPD : les accès réellement utilisés correspondent-ils à ceux prévus ? Ajustez, documentez, et votre dispositif reste solide dans la durée. Pour aller plus loin sur votre projet, vous pouvez demander un devis et nous transmettre vos exigences de sécurité dès le premier échange.
Questions fréquentes
RGPD et externalisation : vos questions
Peut-on confier des données personnelles à une équipe basée au Bénin ?
Oui, le RGPD permet de transférer des données hors de l'Union européenne dès lors que le transfert est encadré. Pour le Bénin, l'outil de référence est la signature des clauses contractuelles types de la Commission européenne, complétées si nécessaire par une analyse d'impact du transfert (TIA) et des mesures complémentaires. Faites valider le montage par votre DPO ou votre juriste.
Un simple accès à distance à nos outils compte-t-il comme un transfert ?
Les autorités européennes considèrent en principe que la consultation à distance, depuis un pays tiers, de données hébergées dans l'UE constitue un transfert. Le plus sûr est donc de traiter ce cas comme un transfert et de l'encadrer avec les CCT. Votre DPO pourra confirmer l'analyse pour votre situation précise.
Qui est responsable en cas de violation de données ?
Le responsable de traitement, c'est-à-dire en général votre entreprise, notifie l'autorité de contrôle compétente lorsque c'est requis. Le sous-traitant a l'obligation de vous alerter dans les meilleurs délais pour vous permettre de respecter vos propres délais. Le contrat article 28 fixe précisément cette procédure d'alerte.
Quel rôle joue l'APDP dans une externalisation au Bénin ?
L'APDP est l'autorité béninoise de protection des données personnelles. Elle veille au respect du droit béninois par les organismes établis au Bénin, dont votre prestataire. Votre conformité RGPD reste pilotée côté européen, et votre prestataire assure en parallèle sa propre conformité locale.