Protection des données à Monaco : l'APDP et la loi n° 1.565

Vue d'ensemble

Monaco a entièrement réécrit son droit de la protection des données en 2024. La loi n° 1.565 du 3 décembre 2024 relative à la protection des données à caractère personnel, publiée au Journal de Monaco du 13 décembre 2024, remplace la loi n° 1.165 du 23 décembre 1993 qui encadrait les « informations nominatives » depuis trente ans. L'Ordonnance Souveraine n° 11.327 du 10 juillet 2025 en fixe les modalités d'application.

Deux changements comptent pour quiconque traite des données personnelles à Monaco :

• L'autorité de contrôle est désormais l'APDP (Autorité de Protection des Données Personnelles), qui succède à la CCIN avec des compétences élargies et un véritable pouvoir de sanction pécuniaire.
• Le régime de déclaration et d'autorisation préalables est en grande partie supprimé au profit d'un modèle de responsabilisation : on ne dépose plus un formulaire avant de traiter, on documente sa conformité et on doit pouvoir la justifier.

Monaco n'étant membre ni de l'UE ni de l'EEE, le RGPD ne s'y applique pas de plein droit. La loi n° 1.565 s'en inspire néanmoins étroitement, et la Principauté vise explicitement une décision d'adéquation de la Commission européenne.

L'APDP

L'APDP est l'autorité monégasque indépendante de protection des données, composée de huit membres choisis pour leur expertise. Elle est notamment chargée de :

• instruire les plaintes des personnes concernées ;
• mener des contrôles et des inspections sur place des traitements ;
• recevoir les notifications de violations de données personnelles ;
• publier des recommandations et prononcer mises en demeure et sanctions ;
• conseiller le Gouvernement en matière de protection des données.

Contact : Le Concorde, 11 rue du Gabian, 98000 Monaco — tél. +377 97 70 22 44 — apdp.mc, qui publie des fiches pratiques classées par thème.

Les références à ccin.mc et à la CCIN sont désormais historiques. Une politique de confidentialité ou un contrat fournisseur qui mentionne encore la CCIN est antérieur à la réforme et doit être révisé.

Loi n° 1.565 — principes fondamentaux

Le texte compte 118 articles répartis en 10 chapitres et pose des principes familiers à quiconque a travaillé avec le RGPD :

Licéité et limitation des finalités

Les données personnelles doivent être traitées de manière licite et loyale, pour des finalités déterminées, explicites et légitimes. Elles ne peuvent faire l'objet d'un traitement ultérieur incompatible avec ces finalités.

Minimisation des données

Seules les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité peuvent être collectées et traitées.

Exactitude

Le responsable de traitement prend les mesures raisonnables pour que les données soient exactes et tenues à jour. Les données inexactes doivent être rectifiées ou effacées.

Limitation de la conservation

Les données ne sont pas conservées au-delà de la durée nécessaire aux finalités poursuivies. Des durées sectorielles spécifiques s'appliquent, notamment en matière bancaire et sociale.

Intégrité et confidentialité

Le responsable de traitement met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données contre l'accès non autorisé, la perte ou la destruction.

Responsabilité (accountability)

C'est le changement structurel. Plutôt que de solliciter l'accord préalable de l'autorité, le responsable de traitement doit pouvoir démontrer sa conformité : registre des activités de traitement, bases légales documentées, durées de conservation, analyses d'impact pour les traitements à risque élevé et contrats écrits avec les sous-traitants.

Droits des personnes concernées

Les personnes dont les données sont traitées à Monaco disposent du droit :

• à l'information sur le traitement — finalités, base légale, destinataires, durée de conservation et voies de recours ;
• d'accès à leurs données et d'en obtenir copie ;
• de rectification des données inexactes ou incomplètes ;
• d'effacement dans les cas prévus ;
• à la limitation du traitement le temps qu'un litige soit tranché ;
• à la portabilité des données qu'elles ont fournies, lorsque le traitement repose sur le consentement ou un contrat ;
• d'opposition au traitement, y compris à la prospection commerciale ;
• de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques.

Ces droits s'exercent directement auprès du responsable de traitement. En cas de réponse insatisfaisante ou d'absence de réponse, une plainte peut être déposée auprès de l'APDP.

Obligations des entreprises

Fin des formalités préalables systématiques

Sous la loi n° 1.165, presque tout traitement devait être déclaré à la CCIN avant sa mise en œuvre, avec autorisation préalable pour les catégories sensibles. La loi n° 1.565 supprime l'essentiel de ce dispositif. Lui succèdent la documentation interne et, pour les traitements réellement à risque élevé, une analyse d'impact menée avant le début du traitement — avec consultation préalable de l'APDP si un risque résiduel élevé subsiste.

Délais transitoires

Les organismes qui traitaient déjà des données ont disposé d'un délai d'adaptation : environ un an pour mettre les traitements existants en conformité avec les nouvelles exigences de licéité, et jusqu'à trois ans pour les analyses d'impact et la réévaluation des risques, y compris pour certains traitements des autorités administratives et judiciaires. Ces fenêtres sont désormais fermées ou en voie de l'être : un dossier de conformité antérieur à 2025 jamais révisé constitue une exposition réelle.

Délégué à la protection des données

La désignation d'un délégué à la protection des données (DPO) est obligatoire dans les cas définis par la loi — notamment les autorités publiques et les organismes dont l'activité de base implique un suivi régulier à grande échelle ou le traitement à grande échelle de données sensibles — et recommandée bien au-delà. Ses coordonnées sont communiquées à l'APDP.

Transferts hors de Monaco

Les données peuvent être transférées à l'étranger lorsque la destination assure un niveau de protection adéquat, ou sous garanties appropriées telles que des clauses contractuelles types ou des règles d'entreprise contraignantes. Les transferts vers les États membres de l'UE sont courants en pratique ; ceux vers des juridictions sans constat d'adéquation exigent des garanties documentées.

Notification des violations

Le responsable de traitement notifie à l'APDP toute violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes. Le délai de référence est de 72 heures à compter de la prise de connaissance ; passé ce délai, il faut pouvoir démontrer que la notification est intervenue dans les meilleurs délais. Lorsque la violation présente un risque élevé, les personnes concernées doivent également être informées.

Sanctions

L'APDP peut prononcer des amendes administratives allant jusqu'à 10 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu — sans commune mesure avec ce que pouvait faire la CCIN. Elle peut également prononcer des mises en demeure, ordonner la cessation d'un traitement et imposer des interdictions temporaires ou définitives.

Des sanctions pénales demeurent prévues pour les manquements les plus graves, notamment le traitement illicite de données et le non-respect des injonctions de l'autorité.

Relations avec le RGPD

Monaco est membre du Conseil de l'Europe mais se situe hors de l'UE et de l'EEE : le RGPD ne s'y applique donc pas directement. Il peut néanmoins atteindre une entreprise monégasque par sa portée extraterritoriale, par exemple lorsqu'elle offre des biens ou services à des personnes situées dans l'UE ou suit leur comportement. En pratique, beaucoup d'entreprises monégasques ayant une clientèle européenne pilotent un programme de conformité unique conçu pour satisfaire les deux textes, ce que l'alignement de la loi n° 1.565 rend réaliste.

La Commission européenne n'a pas encore adopté de décision d'adéquation concernant Monaco. L'obtenir est un objectif affiché de la réforme de 2024 ; d'ici là, les transferts de l'UE vers Monaco peuvent nécessiter des garanties au titre du droit européen.

Démarches pratiques

• Remplacez toute référence à la CCIN et à la loi n° 1.165 dans vos mentions d'information, contrats et politiques internes.
• Constituez et tenez à jour un registre des activités de traitement — c'est la première pièce demandée lors d'un contrôle.
• Documentez une base légale pour chaque finalité et une durée de conservation pour chaque catégorie de données.
• Réalisez l'analyse d'impact avant de lancer un traitement à risque élevé, pas après.
• Formalisez par écrit une procédure de violation pour rendre le délai de 72 heures praticable.
• Consultez les fiches pratiques de l'APDP sur apdp.mc avant d'engager des frais de conseil externe.

Guides liés

• Conformité protection des données pour les entreprises — obligations, bases légales et mise en œuvre
• Extended Monaco et administration numérique — le traitement des données par les services publics numériques
• Créer une entreprise à Monaco — le cadre de conformité plus large pour les nouvelles sociétés