Pays adéquats à Monaco : sans les USA

L'essentiel

La liste officielle des pays offrant un niveau de protection adéquat est désormais définitive à Monaco. L'Arrêté Ministériel n° 2026-548 du 30 septembre 2026 a été publié au Journal de Monaco le vendredi 16 octobre 2026. Les États-Unis n'y figurent pas.

C'est le point qui compte le plus. Une grande partie des logiciels utilisés chaque jour par les entreprises monégasques vient d'éditeurs américains, ou s'appuie sur des équipes support et des sous-traitants basés aux États-Unis : messagerie, suites bureautiques, CRM, outils d'analyse, régies publicitaires, assistants IA. Si des données personnelles de votre entreprise partent aux États-Unis, ce transfert ne peut plus reposer sur une décision d'adéquation. Il lui faut une autre base juridique, et vous devez pouvoir démontrer laquelle.

Nous avions analysé le projet en août dans La liste des pays adéquats à Monaco. Cet article porte sur ce qui a changé dans le texte final, et sur ce qu'il faut faire.

Ce que contient la liste définitive

L'arrêté est pris en application de l'article 97 de la Loi n° 1.565 sur la protection des données personnelles. Il désigne les destinations vers lesquelles les données peuvent circuler sur la seule base de l'adéquation :

• les 27 États membres de l'Union européenne, ainsi que le Royaume-Uni ;
• d'autres juridictions européennes : Andorre, l'Islande, le Liechtenstein, la Norvège, la Suisse, Guernesey, Jersey, l'Île de Man et les Îles Féroé ;
• hors d'Europe : l'Argentine, le Brésil, le Canada, la Nouvelle-Zélande et l'Uruguay ;
• une organisation internationale : l'Organisation européenne des brevets.

Le Canada fait l'objet d'une précision : l'adéquation repose sur sa loi fédérale applicable au secteur privé (LPRPDE), qui couvre les organisations privées traitant des données dans le cadre d'activités commerciales.

C'est la comparaison avec le projet qui est instructive. Selon l'APDP, le Japon, la Corée du Sud, Israël et les États-Unis ont été retirés de la liste initialement envisagée, et l'Organisation européenne des brevets a été ajoutée.

Pourquoi ce n'est pas la liste européenne

Beaucoup d'entreprises monégasques pensent que leur situation est calquée sur celle de la France. Cet arrêté montre que c'est un pari risqué. Monaco n'est pas membre de l'Union européenne, le RGPD ne s'y applique pas par défaut, et la Principauté prend ses propres décisions d'adéquation.

L'Union européenne reconnaît comme adéquats les États-Unis (via le Data Privacy Framework), le Japon, la Corée du Sud et Israël. Monaco, non. Un outil parfaitement utilisable par une société niçoise peut donc exiger des formalités supplémentaires pour sa structure sœur à Monaco.

La procédure laisse aussi des questions ouvertes. Dans sa publication du 19 octobre, l'APDP indique que le Gouvernement lui a fait savoir que les documents de travail justifiant les choix d'adéquation ne lui seraient pas transmis. Elle précise que l'Organisation européenne des brevets a été ajoutée sans son avis préalable, et qu'elle a reçu des éléments d'interprétation de la Loi n° 1.565 dont elle doit encore apprécier la portée. D'autres précisions pourraient donc suivre : consultez régulièrement apdp.mc.

Ce qui change pour vos outils

La bonne question n'est plus « cet outil est-il conforme au RGPD ? », mais « où vont concrètement les données de nos clients, et sur quelle base ? ».

Pour une destination figurant sur la liste (un datacenter irlandais, un hébergeur français, un prestataire suisse), le transfert peut reposer sur l'adéquation. Le reste des exigences de la Loi n° 1.565 s'applique toujours : contrat avec le sous-traitant, mesures de sécurité, registre des traitements.

Pour une destination hors liste, ce qui inclut désormais les États-Unis, il faut une autre base. La Loi n° 1.565 prévoit des garanties appropriées et, dans des cas limités, des dérogations spécifiques. Par le passé, l'APDP a accepté des transferts vers les États-Unis lorsque les garanties contractuelles étaient adaptées au droit monégasque, plutôt que de s'appuyer simplement sur les clauses contractuelles types européennes. Le mécanisme adapté à votre cas, et l'éventuelle formalité auprès de l'APDP, dépendent du transfert lui-même. C'est précisément là qu'un avocat ou un DPO monégasque qualifié fait la différence. N'improvisez pas.

Deux pièges à connaître :

• « Hébergé en Europe » ne dit pas tout. Un éditeur américain peut stocker vos données à Francfort ou à Dublin tout en donnant accès à des équipes ou sous-traitants basés aux États-Unis pour le support, la sécurité ou les fonctions IA. Un accès à distance depuis un pays peut constituer un transfert vers ce pays. Lisez la liste des sous-traitants, pas seulement la page commerciale.
• Votre site web fait partie du dispositif. Balises d'analyse, widgets de chat, outils de réservation intégrés, polices et formulaires peuvent tous envoyer des données de visiteurs à l'étranger. Un développement web soigné permet de les identifier et de les maîtriser un par un.

Un plan d'action en cinq étapes

Inutile de tout remplacer. En revanche, il faut savoir où vous en êtes.

1. Recensez chaque outil qui traite des données personnelles : clients, prospects, salariés, visiteurs du site. Commencez par vos plateformes d'e-mail marketing et de CRM, qui en concentrent généralement le plus.
2. Notez où chacun stocke les données et depuis où on y accède, à partir de l'accord de traitement et de la liste des sous-traitants. Signalez tout ce qui touche les États-Unis, le Japon, la Corée du Sud, Israël ou tout autre pays absent de la liste.
3. Vérifiez la base juridique de chaque transfert signalé. Assurez-vous de disposer de garanties écrites valables en droit monégasque, et pas seulement d'un lien vers une politique pensée pour l'Union européenne.
4. À qualité égale, privilégiez les destinations listées. Une région européenne, ou un prestataire européen avec une chaîne de support européenne, règle la question.
5. Documentez tout. Avec la Loi n° 1.565, la charge de la preuve vous incombe. Un registre des transferts d'une page, tenu à jour, vaut bien plus que de bonnes intentions.

Si votre entreprise prépare aussi les analyses d'impact attendues d'ici fin 2027, ce même inventaire vous servira directement. Notre accompagnement protection des données APDP peut vous aider à le structurer.

Ce qu'il faut surveiller

La liste a vocation à être mise à jour, et l'APDP a fait savoir qu'elle examine encore la position du Gouvernement. Des pays pourraient être ajoutés plus tard, et la question américaine pourrait revenir si Monaco met en place son propre dispositif. D'ici là, considérez la liste actuelle comme la règle, et organisez-vous pour qu'un changement vous coûte un après-midi, pas un mois.

Pour savoir précisément où vont les données de votre site et de votre marketing, et bâtir une stratégie digitale qui résiste aux évolutions réglementaires, contactez-nous. Nous vous dirons franchement ce qui mérite votre attention. Pour toute interprétation engageante de la Loi n° 1.565, consultez un conseil juridique monégasque qualifié.