Pays adéquats : la liste monégasque

Un seul document décidera où vos données peuvent aller

Toute entreprise monégasque qui utilise un CRM, une plateforme d'emailing, un hébergeur cloud ou un outil d'analyse transfère déjà des données personnelles hors de la Principauté. Selon la loi monégasque sur la protection des données, la simplicité — ou la lourdeur contractuelle — de ce transfert dépend d'un seul élément : la présence du pays de destination sur la liste officielle des pays offrant un niveau de protection adéquat.

Cette liste est actuellement en cours de réécriture, et le processus ne se déroule pas sans friction. Le projet d'arrêté ministériel destiné à l'établir a été soumis, l'autorité monégasque de protection des données l'a examiné, et elle a formulé des objections sérieuses. Tant que l'arrêté n'est pas publié, les règles qui s'appliquent à vous sont plus anciennes que la plupart des outils que vous utilisez.

Ce que prévoit réellement la loi 1.565

Le cadre monégasque repose sur la loi n° 1.565 du 3 décembre 2024. C'est un régime moderne, aligné sur les standards européens, mais c'est du droit monégasque : Monaco n'est pas un État membre de l'Union européenne, et le RGPD ne s'applique pas automatiquement aux entreprises monégasques. La nuance compte au quotidien, car l'essentiel des conseils de conformité disponibles en ligne s'adresse à des sociétés européennes.

L'article 97 de la loi 1.565 pose le mécanisme : la liste des pays, territoires et organisations internationales considérés comme offrant un niveau de protection adéquat est adoptée par arrêté ministériel, après avis de l'Autorité de Protection des Données Personnelles (APDP). Elle doit être mise à jour régulièrement et publiée au Journal de Monaco ainsi que sur le site de l'APDP.

La logique est simple. Si vos données partent vers un pays figurant sur la liste, le transfert s'appuie sur cette reconnaissance d'adéquation. Sinon, il vous faut une autre base : des garanties contractuelles avec votre prestataire, accompagnées d'une documentation démontrant que vous avez évalué le risque.

Pourquoi l'APDP a émis des réserves

En mai 2026, l'APDP a rendu son avis sur le projet du Gouvernement (délibération n° 2026-07 du 20 mai 2026). Ce n'était pas une simple formalité.

Sa critique centrale : le projet de liste reprend pour l'essentiel les décisions d'adéquation de l'Union européenne — à l'exception de l'Organisation européenne des brevets — sans analyse indépendante permettant de vérifier que ces régimes juridiques étrangers protègent effectivement les données transférées depuis Monaco et les personnes concernées. Une décision d'adéquation européenne évalue la protection des données provenant de l'Union. Elle ne dit rien, automatiquement, des données provenant de la Principauté.

L'APDP relève également que le projet importe les adéquations partielles européennes — limitées à certains secteurs ou à certaines catégories de données — sans préciser leur portée dans le contexte monégasque, alors même que ce mécanisme partiel n'existe pas en tant que tel en droit monégasque. Et elle indique clairement que, selon elle, les données transférées vers certains pays retenus dans le projet gouvernemental ne bénéficieraient pas d'une protection adéquate.

L'avis de l'APDP est consultatif et non contraignant : l'arrêté final pourra le suivre ou non. Mais un désaccord documenté entre le Gouvernement et l'autorité de contrôle constitue un signal — cette liste pourra être révisée, y compris après sa publication.

Ce qui s'applique aujourd'hui

C'est le point que la plupart des entreprises ignorent. Dans l'attente de la publication du nouvel arrêté ministériel, la liste précédente — établie en 2009 par la CCIN, l'autorité qui a précédé l'APDP — reste valable.

Une liste rédigée en 2009 est antérieure à la quasi-totalité du marché cloud actuel. Si vous vérifiez un pays de destination aujourd'hui, vous le confrontez donc à un document antérieur à l'adoption massive des outils SaaS qui font tourner le marketing, la vente et le service client — pendant qu'un remplaçant attend dans les tuyaux.

Conséquence pratique : ne présumez pas qu'un prestataire acceptable pour une société française ou italienne l'est automatiquement pour vous. Ne présumez pas non plus que la situation restera figée : vérifiez la liste en vigueur sur le site de l'APDP et faites-vous conseiller pour tout transfert significatif. La bonne réponse dépend du cas d'espèce, et l'approximation n'est pas une stratégie.

Ce que cela implique pour vos outils

La plupart des entreprises monégasques sont plus exposées qu'elles ne le pensent, car la boîte à outils standard est internationale par défaut : plateforme d'analyse américaine, service d'emailing américain ou irlandais, hébergeur cloud multi-régions, widget de support, assistant IA traitant les messages clients.

Rien de tout cela n'est problématique en soi. Le problème, c'est de ne pas savoir où vont les données. Si vous ne pouvez pas répondre à la question « quels pays nos données clients traversent-elles, et sous quel contrat ? », vous ne pourrez démontrer votre conformité quelle que soit la version de la liste en vigueur.

C'est donc le moment de cartographier. Un inventaire clair vous rend résilient à ce que dira l'arrêté final et rend peu coûteux un changement de prestataire. La même discipline que celle qui garde un site multilingue maintenable s'applique ici : connaissez vos dépendances avant d'avoir à en changer.

Quatre chantiers à mener avant la publication

Cartographiez vos flux. Recensez chaque outil détenant des données clients ou prospects, son lieu d'hébergement et celui de ses sous-traitants. Votre socle emailing et CRM concentre généralement le plus gros volume.

Contrôlez vos contrats. Assurez-vous de disposer de garanties de transfert écrites avec chaque prestataire, et pas seulement d'un lien vers une politique générique. Si un pays sort de la liste, ces contrats deviennent votre filet de sécurité.

Privilégiez la souplesse. Lorsqu'une alternative européenne ou hébergée à Monaco offre des performances équivalentes, elle réduit votre exposition aux évolutions de la liste sans rien vous coûter sur le plan stratégique.

Écrivez-le. La loi 1.565 fait peser sur vous la charge de démontrer que vous avez évalué le transfert. Un bon jugement non documenté ne vaut rien lors d'un contrôle. Un travail structuré de conformité APDP coûte bien moins cher mené sereinement aujourd'hui que dans l'urgence demain.

Mettez vos transferts en ordre

La liste d'adéquation finira par être publiée et, compte tenu des réserves de l'APDP, elle pourrait différer du projet. Les entreprises qui savent déjà où vivent leurs données s'adapteront en une après-midi. Les autres passeront des semaines à reconstituer l'information sous pression.

Pour cartographier vos flux, auditer votre site et vos outils marketing, ou bâtir une stratégie digitale capable d'absorber un changement réglementaire, contactez-nous — nous travaillons chaque jour avec des entreprises monégasques et nous vous dirons clairement ce qui mérite votre attention. Pour toute interprétation juridique contraignante de la loi 1.565, consultez un avocat monégasque qualifié.