Le projet est validé, les profils sont identifiés, le budget est arbitré. Puis quelqu'un pose la question qui gèle la salle : « et le RGPD, on fait comment si les données partent au Maroc ? »

Dans neuf cas sur dix, personne autour de la table n'a la réponse. Le projet ne s'arrête pas, il ralentit. Il part en analyse juridique pendant six semaines, revient avec un document de trente pages que personne ne lit, et l'équipe nearshore démarre avec une zone grise dans le dos.

C'est dommage, parce que le sujet est simple à cadrer. Il l'est même plus qu'un transfert vers les États-Unis. Encore faut-il regarder les deux droits en même temps, pas seulement le sien.

Le Maroc n'est pas un pays « adéquat », et ce n'est pas un problème

Commençons par le fait qui déclenche l'inquiétude. Le Maroc ne figure pas sur la liste des pays reconnus par la Commission européenne comme offrant un niveau de protection adéquat. Cette liste compte aujourd'hui l'Andorre, l'Argentine, le Brésil, le Canada, les Îles Féroé, Guernesey, Israël, l'Île de Man, le Japon, Jersey, la Nouvelle-Zélande, la Corée du Sud, la Suisse, le Royaume-Uni, les États-Unis et l'Uruguay (Commission européenne). Pas le Maroc.

Beaucoup de dirigeants en déduisent que le transfert est interdit. Faux. L'absence d'adéquation ne ferme rien : elle vous oblige simplement à utiliser un autre outil du RGPD, en pratique les clauses contractuelles types adoptées par la Commission, complétées par une analyse d'impact du transfert (CNIL). C'est exactement ce que font des milliers d'entreprises européennes pour l'Inde, les Philippines ou la Serbie.

Et le Maroc arrive dans cette discussion avec un argument que peu de destinations offshore peuvent aligner : il est partie à la Convention 108 du Conseil de l'Europe, le seul traité international contraignant sur la protection des données, depuis le 1er septembre 2019 (Conseil de l'Europe). Autrement dit, le pays s'est engagé sur les mêmes principes que l'Europe, avec une autorité de contrôle indépendante en face.

La moitié du sujet que les juristes français oublient

Voici l'erreur la plus fréquente, et celle qui coûte le plus cher en délai : traiter le dossier uniquement sous l'angle du RGPD.

Le Maroc a sa propre loi, la 09-08, et sa propre autorité, la CNDP. Les traitements de données réalisés par votre entité marocaine relèvent d'elle. Les transferts sortants du Maroc, notamment le retour de données vers votre siège, passent par une demande dédiée, le formulaire F118, que la CNDP instruit dans un délai de deux mois maximum, prolongeable une fois (CNDP).

Deux mois. Si vous découvrez cette formalité le jour où l'équipe doit se connecter à vos environnements, vous avez perdu un trimestre. Si vous la lancez au moment où vous immatriculez la filiale, elle est absorbée par le calendrier de montage et personne ne la voit passer.

Ce qu'il faut faire, dans l'ordre

Le cadrage tient en cinq points. Aucun ne demande un cabinet à six chiffres.

1. Cartographier ce qui circule vraiment. La plupart des équipes nearshore n'ont pas besoin des données personnelles de vos clients. Elles ont besoin de code, d'environnements de test, de tickets. La première question n'est pas juridique, elle est technique : quelles données doivent réellement sortir ? Pseudonymiser les jeux de test ou cloisonner les environnements supprime une bonne partie du problème avant même de parler de contrat.

2. Nommer les rôles. Qui est responsable de traitement, qui est sous-traitant ? La réponse diffère radicalement selon que vous passez par un prestataire ou par votre propre filiale, et elle détermine toute la documentation en aval.

3. Signer les bons contrats. Clauses contractuelles types dans le bon module, accord de sous-traitance conforme à l'article 28, annexes de sécurité qui décrivent des mesures réelles et pas un copier-coller. C'est un travail de quelques jours, pas de quelques mois.

4. Faire l'analyse d'impact du transfert. Elle documente le contexte du pays destinataire et les mesures qui compensent l'absence d'adéquation : chiffrement, contrôle d'accès, journalisation, clauses d'audit. Sur le Maroc, l'exercice est nettement plus court que sur les États-Unis, parce que le cadre local est aligné sur la Convention 108.

5. Traiter le volet marocain en parallèle. Déclaration des traitements auprès de la CNDP, autorisation de transfert si nécessaire. À lancer au montage de l'entité, jamais après.

Le modèle choisi change toute la conversation

C'est là que le sujet cesse d'être juridique pour redevenir stratégique. Avec un prestataire tiers, vous confiez vos données à une entreprise que vous ne contrôlez pas, qui héberge peut-être d'autres clients sur les mêmes environnements, et dont les mesures de sécurité vous sont opposées plus qu'elles ne sont négociées. Vous auditez de l'extérieur.

Avec une filiale de plein droit, les données restent dans votre groupe. Vous décidez de l'architecture, des accès, du niveau de chiffrement, de la politique de postes. Le transfert devient intragroupe, la conformité devient une extension de vos propres règles, et l'audit devient un audit interne. C'est le modèle que nous avons monté pour Ippon Technologies au Maroc en moins de six mois, et pour Financia Business School à Rabat en neuf.

La conformité n'est pas la raison de choisir la filiale. Mais elle en est une conséquence directe, et elle pèse lourd le jour où votre client grand compte envoie son questionnaire sécurité.

Le vrai risque n'est pas celui qu'on croit

Il n'est pas dans le pays de destination. Il est dans les projets nearshore qui démarrent sans cadre, où des extractions de production circulent par messagerie parce que « c'était plus rapide pour déboguer ». Ce risque-là existe autant à Nantes qu'à Casablanca, et aucune décision d'adéquation ne vous en protège.

Cadrez les flux au montage du corridor, pas après le premier incident. C'est l'un des points que nous traitons systématiquement quand nous structurons une équipe au Maroc, au même titre que le contrat de travail ou le bureau. Si vous en êtes là, écrivez-nous.