Transférer des données de l’UE vers le Cameroun : clauses contractuelles types et autorisation préalable

Qu’est-ce qu’un transfert ?

On parle de transfert dès que des données personnelles sont transmises à une entité située dans un autre pays, ou rendues accessibles depuis cet autre pays. Un salarié de Douala qui consulte à distance un fichier hébergé à Paris réalise un transfert au sens du RGPD, même si les données ne bougent pas physiquement.

Cette définition large surprend souvent. Elle explique pourquoi les groupes qui ont des équipes des deux côtés de la Méditerranée sont les premiers concernés.

À l’aller : de l’UE vers le Cameroun

En l’absence de décision d’adéquation de la Commission européenne pour le Cameroun, un transfert doit reposer sur des garanties appropriées. L’outil le plus utilisé est le jeu de clauses contractuelles types, à signer entre l’exportateur et l’importateur des données.

UE Décision d’exécution (UE) 2021/914 de la Commission : clauses contractuelles types. RGPD, chapitre V.

Les clauses ne suffisent pas toujours : l’exportateur doit aussi évaluer, par une analyse d’impact du transfert, si la législation du pays de destination permet au destinataire de les respecter. Cette analyse est un document, daté et conservé.

Au retour : du Cameroun vers l’UE

La loi camerounaise n° 2024/017 encadre les transferts de données hors du Cameroun. Des formalités auprès de l’autorité de contrôle camerounaise peuvent être nécessaires selon la nature des données et la destination.

Loi n° 2024/017 Dispositions sur les transferts de données hors du Cameroun. Les textes d’application précisent progressivement les formalités.

Les textes d’application précisent progressivement ces obligations. Nous recommandons de documenter chaque flux dès maintenant, pour pouvoir remplir les formalités quand elles seront précisées.

Les garanties techniques qui comptent

Les clauses contractuelles ne remplacent pas la sécurité. Le destinataire doit appliquer des mesures concrètes : chiffrement des données en transit et au repos, contrôle des accès, journalisation, sauvegardes. Ces mesures sont décrites dans une annexe des clauses, que le destinataire doit pouvoir tenir.

Un conseil de méthode : rédigez l’annexe technique avec les équipes informatiques des deux pays, pas seulement avec les juristes. Une annexe que personne ne peut appliquer est pire que pas d’annexe.

Trois conseils

1. Cartographiez les flux. On ne peut pas encadrer un transfert que l’on ne connaît pas.
2. Signez un contrat intragroupe unique qui intègre les clauses types et les engagements de sécurité des deux côtés.
3. Conservez la preuve : analyse d’impact, clauses signées, registre à jour.

Dernier point, souvent oublié : informez les personnes. Elles doivent savoir que leurs données quittent l’Union européenne, vers quel pays et avec quelles garanties. Cette mention figure dans la notice d’information, à jour, claire, dans une langue que les personnes comprennent.