Conformité protection des données pour les entreprises à Monaco

Aperçu

Depuis la loi n° 1.565 du 3 décembre 2024, la conformité protection des données à Monaco ne consiste plus à remplir un formulaire avant de commencer, mais à tenir un dossier que l'on doit pouvoir présenter à tout moment. L'autorité de contrôle est l'APDP, qui a succédé à la CCIN avec un pouvoir de sanction pécuniaire réel.

Pour le cadre juridique lui-même — missions de l'APDP, coordonnées, délais transitoires, articulation avec le droit européen — voir Protection des données à Monaco : l'APDP et la loi n° 1.565. Le présent guide traite de la mise en œuvre concrète en entreprise.

Par où commencer : le registre des traitements

C'est la première pièce demandée lors d'un contrôle, et celle qui structure tout le reste. Pour chaque traitement, recensez :

• la finalité poursuivie, formulée précisément (« gestion de la paie », pas « ressources humaines ») ;
• les catégories de données et de personnes concernées ;
• la base légale retenue ;
• les destinataires, y compris les sous-traitants et les prestataires hébergés hors de Monaco ;
• la durée de conservation ;
• les mesures de sécurité appliquées.

En pratique, une PME monégasque trouve entre huit et quinze traitements : paie et RH, clients et facturation, prospection, vidéosurveillance, badges d'accès, site internet et cookies, candidatures spontanées, gestion des fournisseurs.

Choisir une base légale

Chaque finalité doit reposer sur une base légale, et une seule :

• Consentement — libre, spécifique, éclairé et univoque, avec preuve conservée et retrait aussi simple que l'adhésion. Adapté à la prospection et aux cookies non essentiels, mais fragile : il peut être retiré à tout moment.
• Contrat — traitement nécessaire à l'exécution d'un contrat avec la personne (adresse de livraison, coordonnées bancaires du client).
• Obligation légale — comptabilité, déclarations sociales à la CCSS, obligations LCB-FT pour les professions assujetties.
• Sauvegarde des intérêts vitaux — cas d'urgence, très rare hors du secteur médical.
• Mission d'intérêt public — pour l'essentiel réservé aux autorités publiques.
• Intérêt légitime — fondement souple (prévention de la fraude, sécurité des locaux, amélioration du service), mais qui exige une mise en balance documentée avec les droits des personnes.

Le réflexe utile : la base légale se choisit avant de collecter, et se consigne dans le registre. La changer après coup pour justifier un usage nouveau n'est pas admis.

Informer les personnes

Une mention d'information doit être fournie au moment de la collecte. Elle indique l'identité du responsable de traitement, la finalité, la base légale, les destinataires, la durée de conservation, les droits des personnes, la possibilité de saisir l'APDP et, le cas échéant, les transferts hors de Monaco.

Un point souvent négligé à Monaco : les mentions rédigées avant 2025 renvoient presque toutes à la CCIN et à la loi n° 1.165. Elles sont à reprendre.

Répondre aux demandes de droits

Les personnes peuvent demander l'accès à leurs données, leur rectification, leur effacement, la limitation du traitement, la portabilité, ou s'opposer au traitement — y compris à toute prospection commerciale, sans avoir à se justifier.

Mettez en place une procédure simple : une adresse de contact identifiée, un accusé de réception, une vérification d'identité proportionnée, et un délai de réponse tenu. Une demande restée sans réponse est le motif de plainte le plus courant.

Analyses d'impact

Une analyse d'impact relative à la protection des données (AIPD) doit être menée avant la mise en œuvre d'un traitement susceptible d'engendrer un risque élevé : surveillance systématique à grande échelle, données sensibles ou de santé, profilage avec effets significatifs, données biométriques. Elle décrit le traitement, évalue les risques, expose les mesures d'atténuation et conclut sur le risque résiduel. S'il reste élevé, l'APDP doit être consultée avant de démarrer.

Sous-traitants et transferts

Tout recours à un prestataire qui traite des données pour votre compte — paie externalisée, hébergeur, CRM, outil de facturation — suppose un contrat écrit définissant les instructions, la sécurité, le sort des données en fin de contrat et l'assistance en cas de demande de droits.

Les transferts hors de Monaco sont possibles vers des destinations offrant un niveau de protection adéquat, ou sous garanties appropriées (clauses contractuelles types, règles d'entreprise contraignantes). Attention au sens inverse : la Commission européenne n'ayant pas adopté de décision d'adéquation pour Monaco, un partenaire européen peut vous demander des garanties pour vous transmettre des données. La question revient régulièrement dans les questionnaires fournisseurs.

Violations de données

Notifiez l'APDP dans les 72 heures dès lors que la violation est susceptible d'engendrer un risque pour les personnes. Informez également les personnes concernées si le risque est élevé. Documentez chaque incident, y compris ceux que vous choisissez de ne pas notifier, avec le raisonnement retenu.

Une procédure écrite d'une page — qui alerter, qui décide, qui rédige — fait la différence entre un délai tenu et un délai subi.

Sanctions

L'APDP peut prononcer des amendes administratives allant jusqu'à 10 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, ainsi que des mises en demeure, des injonctions de cesser un traitement et des interdictions temporaires ou définitives. Il s'agit de plafonds légaux, non de montants types : la sanction s'apprécie au cas par cas, en fonction notamment de la gravité, de la durée, du nombre de personnes concernées et de la coopération avec l'autorité.

Où trouver de l'aide

Commencez par les fiches pratiques publiées par l'APDP sur apdp.mc : elles sont gratuites, monégasques et couvrent les questions que se posent réellement les entreprises. Les cabinets d'avocats et d'expertise comptable de la Principauté publient également sur la loi n° 1.565. Demandez un devis écrit adossé à un livrable défini — registre, AIPD, jeu de politiques — plutôt qu'un forfait ouvert.

Guides liés

• Protection des données à Monaco : l'APDP et la loi n° 1.565 — le cadre juridique en détail
• Extended Monaco — les services publics numériques et le traitement des données
• Créer une entreprise à Monaco — le cadre de conformité plus large