Confier ses appels, ses emails ou ses dossiers à un prestataire, c’est aussi lui confier les données personnelles de vos clients. Or c’est vous, en tant que donneur d’ordre, qui restez responsable de leur protection devant vos clients et devant les autorités. Quand le prestataire est établi hors de l’Union européenne, la vigilance doit être renforcée. Voici les points à vérifier avant de signer, sans prétendre remplacer l’avis de votre juriste ou de votre délégué à la protection des données.
Comprendre les rôles : responsable de traitement et sous-traitant
Le RGPD distingue le responsable de traitement, qui décide des finalités et des moyens du traitement, et le sous-traitant, qui agit pour son compte et selon ses instructions. Dans une externalisation classique, vous êtes responsable de traitement et le prestataire est sous-traitant. Ce statut implique des obligations précises pour chacun, et il doit être clairement posé dans le contrat. Un prestataire qui utiliserait les données pour ses propres finalités changerait de rôle et créerait un risque juridique pour vous.
Le transfert de données vers un pays tiers
La Tunisie étant hors de l’Union européenne, l’accès à des données depuis ce pays constitue un transfert vers un pays tiers. À ma connaissance, la Tunisie ne figure pas parmi les pays bénéficiant d’une décision d’adéquation de la Commission européenne, mais ce point doit être vérifié à la date de votre projet, car la situation peut évoluer. En l’absence d’adéquation, le transfert doit s’appuyer sur des garanties appropriées, généralement :
- Les clauses contractuelles types de la Commission européenne, intégrées au contrat
- Une analyse d’impact du transfert, qui évalue si la législation locale permet de respecter ces garanties en pratique
- Des mesures complémentaires (chiffrement, pseudonymisation, restriction des accès) lorsque l’analyse le justifie
Demandez au prestataire de vous présenter ces éléments par écrit, et faites-les valider par votre conseil juridique.
Le contrat de sous-traitance
Le contrat doit contenir les mentions exigées par l’article 28 du RGPD. Vérifiez la présence de :
- L’objet, la durée, la nature et la finalité du traitement
- Les types de données et les catégories de personnes concernées
- L’obligation de ne traiter les données que sur vos instructions documentées
- L’engagement de confidentialité du personnel
- Les mesures de sécurité techniques et organisationnelles
- Les conditions de recours à d’éventuels sous-traitants ultérieurs, avec votre autorisation préalable
- L’assistance pour répondre aux demandes d’exercice de droits (accès, rectification, suppression)
- La notification des violations de données dans un délai précis
- La suppression ou la restitution des données en fin de contrat
- Votre droit d’audit
Un call center Tunisie sérieux dispose généralement d’un modèle d’accord de sous-traitance et accepte de l’adapter à vos exigences.
La sécurité technique et organisationnelle
Le prestataire doit démontrer des mesures concrètes, pas de simples déclarations :
- Contrôle des accès : comptes nominatifs, droits limités au strict nécessaire, authentification renforcée
- Traçabilité : journalisation des consultations et des modifications
- Chiffrement des données en transit et au repos
- Cloisonnement des plateaux et des environnements entre clients
- Sécurité physique : accès contrôlés, interdiction des téléphones et du papier sur les plateaux sensibles
- Gestion des postes : verrouillage des ports, blocage des copies, télétravail encadré
- Sauvegardes et plan de continuité
Une certification ISO 27001 est un indicateur utile, mais elle ne dispense pas de vérifier son périmètre : couvre-t-elle bien le site et les activités qui vous concernent ?
L’enregistrement des appels
L’écoute et l’enregistrement des conversations soulèvent plusieurs obligations :
- L’information des appelants en début d’appel, avec la finalité de l’enregistrement
- Une durée de conservation limitée et définie, adaptée à la finalité
- Des règles d’accès strictes aux enregistrements
- Une vigilance sur les données sensibles, notamment les coordonnées bancaires : la saisie ou la dictée de numéros de carte obéit à des règles spécifiques (norme PCI DSS, mécanismes de suspension de l’enregistrement)
Précisez aussi l’information des téléconseillers eux-mêmes, car leur voix et leur activité sont également des données encadrées.
Les droits des personnes
Vos clients peuvent demander l’accès à leurs données, leur rectification, leur effacement ou s’opposer à un traitement. Le prestataire doit savoir reconnaître ces demandes lorsqu’elles arrivent par téléphone ou par chat, vous les transmettre dans un délai court et exécuter vos instructions. Convenez d’une procédure simple, avec un interlocuteur désigné et des délais compatibles avec les échéances légales.
Les sous-traitants ultérieurs et la localisation réelle
Un prestataire peut lui-même s’appuyer sur d’autres acteurs : hébergeur, éditeur de logiciel de téléphonie, solution d’IA, partenaire de télétravail. Demandez la liste complète, les pays concernés et les garanties associées. Précisez où les données sont hébergées et d’où elles sont accessibles. Une base hébergée en Europe mais consultée depuis la Tunisie constitue bien un transfert, et il faut le traiter comme tel.
L’intelligence artificielle et les outils d’analyse
Transcription automatique, analyse de sentiment, chatbots : ces outils traitent des conversations entières. Vérifiez où elles sont envoyées, si elles servent à entraîner des modèles, combien de temps elles sont conservées et si vos clients en sont informés. Un traitement automatisé peut aussi nécessiter une analyse d’impact (AIPD) selon son ampleur et sa sensibilité.
La gestion des violations de données
Le RGPD impose de notifier une violation à l’autorité de contrôle dans un délai de 72 heures lorsqu’elle présente un risque. Pour tenir ce délai, le prestataire doit vous alerter très rapidement. Fixez dans le contrat un délai de notification court, une procédure d’incident documentée et la liste des informations à fournir. Demandez comment ces procédures ont été testées.
La législation tunisienne
Le prestataire est aussi soumis au droit tunisien sur la protection des données personnelles, qui relève notamment de l’instance nationale compétente. Demandez-lui de préciser ses déclarations et autorisations éventuelles, et comment il concilie ses obligations locales avec vos exigences européennes. Là encore, un avis juridique local peut être utile pour vérifier qu’aucune obligation n’entre en conflit avec vos garanties.
Auditer avant et pendant le contrat
Ne vous fiez pas à un questionnaire seul. Prévoyez :
- Une visite du site avant la signature
- La consultation des rapports d’audit et des certifications
- Un audit annuel ou à la demande, inscrit au contrat
- Des tests ponctuels : appels mystères sur la gestion des données, contrôle des accès
- Un suivi des incidents et des mesures correctives
Un centre d’appel Tunisie confiant dans sa conformité acceptera ces vérifications sans réticence. À l’inverse, un centre d’appel qui élude les questions sur la localisation des données ou refuse tout audit envoie un signal d’alerte.
La checklist avant de signer
- Les rôles (responsable de traitement et sous-traitant) sont-ils clairement définis ?
- Le mécanisme de transfert hors UE est-il documenté et validé ?
- Le contrat contient-il toutes les mentions de l’article 28 ?
- Les mesures de sécurité sont-elles décrites et vérifiables ?
- Les enregistrements d’appels et leurs durées de conservation sont-ils encadrés ?
- La liste des sous-traitants ultérieurs est-elle fournie ?
- La procédure de notification des violations est-elle précise ?
- Les droits d’audit et de restitution des données sont-ils garantis ?
