Logo OLYMPOLYMP
Contact
Guide conformité

RGPD et externalisation au Kosovo

Le Kosovo dispose d'une loi moderne sur la protection des données, étroitement inspirée du RGPD, mais pas de décision d'adéquation de l'UE. Les transferts depuis l'UE, le Royaume-Uni ou la Suisse sont donc licites avec les bons contrats et les bonnes garanties. Ce guide explique lesquels.

Découvrir notre dispositif de protection des donnéesVoir les étapes
Pourquoi le KosovoRisques de l'externalisationFiche pays KosovoGlossaire

Les entreprises de l'UE peuvent-elles externaliser au Kosovo sous le RGPD ?

Oui. La loi kosovare n° 06/L-082 est étroitement inspirée du RGPD, mais le Kosovo n'a pas de décision d'adéquation de l'UE : les transferts nécessitent donc un outil de transfert. Les entreprises de l'UE signent en général un accord de traitement et les clauses contractuelles types de la Commission européenne, documentent une analyse d'impact du transfert et gardent les données dans leurs propres systèmes avec des accès stricts.

Loi kosovare
Loi n° 06/L-082 sur la protection des données personnelles (2019)
Autorité de contrôle
Agence de l'information et de la vie privée (AIP)
Adéquation UE
Aucune ; utiliser les clauses contractuelles types
Également nécessaire
Accord de traitement, analyse d'impact du transfert

Mettre en place un transfert conforme, étape par étape

Il s'agit d'informations générales, pas d'un conseil juridique. Votre DPO ou votre conseil doit valider le dispositif pour votre situation.

  1. Cartographier les données

    Avant le contrat

    Listez les données personnelles que verra l'équipe, à qui elles appartiennent, pourquoi elles sont nécessaires et dans quels systèmes elles restent. Moins d'accès, c'est moins de risque et des formalités plus simples.

  2. Signer un accord de traitement

    Avec le contrat

    L'article 28 du RGPD impose un contrat qui précise le traitement, les instructions, la confidentialité, la sécurité, les sous-traitants ultérieurs et l'aide pour les demandes des personnes concernées.

  3. Ajouter un outil de transfert

    Avec le contrat

    Le Kosovo n'ayant pas de décision d'adéquation, les transferts depuis l'UE utilisent en général les clauses contractuelles types de la Commission européenne. Les transferts depuis le Royaume-Uni utilisent l'addendum britannique ou l'accord de transfert propre au Royaume-Uni.

  4. Évaluer le transfert

    Avant le démarrage

    Documentez une analyse d'impact du transfert qui examine le droit et la pratique au Kosovo ainsi que les garanties en place, comme les contrôles d'accès et le chiffrement.

  5. Appliquer des mesures techniques

    Avant le démarrage

    Comptes nominatifs avec authentification multifacteur, droits minimaux, appareils gérés, journalisation, et données conservées autant que possible dans vos propres systèmes.

  6. Revoir régulièrement

    Chaque année

    Revérifiez les droits d'accès, les sous-traitants ultérieurs, les incidents et l'évolution du droit, et mettez à jour le registre des traitements et l'analyse.

Ce que les responsables du traitement doivent vérifier

Les contrats rendent un transfert licite ; les contrôles quotidiens le rendent sûr. Les deux comptent.

Que couvre la loi kosovare sur la protection des données ?

La loi n° 06/L-082 fixe, sur le modèle du RGPD, les principes, les bases légales, les droits des personnes, les obligations de sécurité et la gestion des violations, et confère à l'Agence de l'information et de la vie privée des pouvoirs de contrôle et de sanction. Un prestataire au Kosovo y est soumis pour ses propres traitements, en plus du contrat qui vous lie.

Que doit couvrir l'accord de traitement des données ?

  • Objet, durée, nature et finalité du traitement
  • Types de données personnelles et catégories de personnes concernées
  • Traitement uniquement sur vos instructions documentées
  • Confidentialité de toutes les personnes ayant accès
  • Mesures de sécurité décrites concrètement
  • Règles pour les sous-traitants ultérieurs et votre droit d'opposition
  • Aide pour les demandes des personnes, les violations et les analyses d'impact
  • Restitution ou suppression des données en fin de contrat, et droit d'audit

Quelles mesures techniques attendre ?

  • Comptes nominatifs, authentification unique et multifacteur
  • Accès limité aux files et champs nécessaires à chaque rôle
  • Appareils gérés et chiffrés, restrictions sur les téléchargements locaux
  • Journalisation des accès et revues régulières des droits
  • Procédures claires pour les départs et pour signaler les incidents dans des délais convenus
Lire la suite

Qu'en est-il des catégories particulières de données ?

Les données de santé, financières ou autrement sensibles demandent un examen plus poussé : une analyse d'impact relative à la protection des données, des accès plus stricts et parfois la pseudonymisation ou le masquage dans les outils de l'équipe. Certains travaux réglementés doivent rester en interne ou dans le pays ; décidez-le avant de dimensionner l'équipe.

Dernière révision: . Rédigé et relu par l'équipe OLYMP BPO à Pristina, Kosovo. À propos de l'entreprise

Protection des données et Kosovo : questions fréquentes

Le Kosovo est-il conforme au RGPD ?

Le Kosovo ne fait pas partie de l'UE : le RGPD ne s'y applique donc pas directement. Sa propre loi n° 06/L-082 sur la protection des données personnelles, en vigueur depuis 2019, est étroitement inspirée du RGPD et appliquée par l'Agence de l'information et de la vie privée. Les entreprises de l'UE peuvent y transférer des données licitement avec les bonnes garanties.

Le Kosovo bénéficie-t-il d'une décision d'adéquation de l'UE ?

Non. La Commission européenne n'a pas adopté de décision d'adéquation pour le Kosovo. Les transferts depuis l'UE nécessitent donc un autre outil de transfert, généralement les clauses contractuelles types, avec une analyse d'impact du transfert et des mesures techniques et organisationnelles appropriées.

Quelles clauses contractuelles types utiliser pour externaliser au Kosovo ?

Lorsqu'une entreprise de l'UE est responsable du traitement et que le prestataire kosovar traite les données pour son compte, le module « responsable du traitement vers sous-traitant » des clauses contractuelles types de 2021 de la Commission européenne est le choix habituel. Votre conseil doit confirmer le module et compléter les annexes pour votre traitement.

Les entreprises britanniques et suisses peuvent-elles externaliser au Kosovo ?

Oui. Les entreprises britanniques utilisent généralement l'International Data Transfer Agreement du Royaume-Uni ou l'addendum britannique aux clauses de l'UE. Les entreprises suisses peuvent s'appuyer sur les clauses contractuelles types de l'UE avec les adaptations exigées par la loi fédérale sur la protection des données. Un accord de traitement est nécessaire dans les deux cas.

Les données doivent-elles quitter vos systèmes ?

En général, non. Dans la plupart des dispositifs, les agents se connectent à l'outil de ticketing, au CRM ou à l'ERP du client : les données restent dans ses systèmes et ne sont consultées ou modifiées qu'à distance. Un accès à distance depuis le Kosovo reste un transfert au sens du RGPD, mais il limite l'exposition.

Sources

Les références juridiques de cette page renvoient à leurs sources officielles. Les lois et les lignes directrices évoluent : vérifiez les versions en vigueur.

  1. Agence de l'information et de la vie privée (loi n° 06/L-082), République du Kosovo
  2. Décisions d'adéquation, Commission européenne
  3. Clauses contractuelles types pour les transferts internationaux, Commission européenne
  4. Recommandations 01/2020 sur les mesures supplémentaires pour les transferts, Comité européen de la protection des données
  5. International Data Transfer Agreement et addendum, Information Commissioner's Office, Royaume-Uni

Besoin de nos documents sur la protection des données ?

Demandez notre accord de traitement des données et notre présentation sécurité. Votre DPO peut les examiner avant tout engagement.

Demander les documentsPourquoi le Kosovo