Aller au contenu
Accueil/Protection des données & RGPD

Travailler avec un partenaire de développement serbe au regard du RGPD

HOW MUCH Labs est enregistré à Belgrade, en Serbie. La plupart de nos clients sont dans l’UE. Cette page explique exactement ce que cela signifie pour vos données à caractère personnel — y compris la partie qui n’est pas automatique.

Rédigé pour la personne, dans votre organisation, qui doit valider un sous-traitant hors EEE.

La réponse courte

Trois faits, dans l’ordre qui compte

01

Le droit serbe est calqué sur le RGPD

Le droit serbe de la protection des données est étroitement calqué sur le RGPD. La loi sur la protection des données à caractère personnel (LPDP) a été adoptée en 2018 et s’applique depuis le 21 août 2019. Elle reprend de nombreux principes fondamentaux, bases juridiques, obligations des responsables du traitement et des sous-traitants ainsi que droits des personnes concernées prévus par le RGPD, sans pour autant être identique à celui-ci. Un projet de loi de remplacement a été publié pour consultation publique en juillet 2026 ; jusqu’à l’application d’une nouvelle loi, la LPDP reste le droit applicable.

02

La Serbie n’a pas de décision d’adéquation de l’UE

La Serbie ne bénéficie actuellement d’aucune décision d’adéquation de la Commission européenne. Tout transfert restreint de données à caractère personnel depuis l’EEE vers nous nécessite donc une base de transfert valable au titre du chapitre V. Pour nos missions habituelles en qualité de sous-traitant, cette base est constituée par les clauses contractuelles types de l’UE (CCT/SCC) ; les dérogations étroites de l’article 49 ne conviennent pas aux transferts continus et répétitifs tels que le travail de développement.

03

Les garanties de transfert d’abord

Lorsqu’une mission implique un transfert soumis au chapitre V de données à caractère personnel vers nous, nous mettons en place les garanties de transfert applicables avant le début du transfert. Pour nos missions habituelles en qualité de sous-traitant, nous signons le module pertinent des CCT de l’UE de 2021, documentons les conditions du traitement (y compris, lorsqu’il est utilisé, un accord de traitement conforme à l’article 28) et fournissons les informations nécessaires à l’évaluation du transfert par l’exportateur. Si cette évaluation fait apparaître la nécessité de mesures supplémentaires, celles-ci doivent également être mises en place. Ce cadre constitue une garantie juridique et ne remplace pas l’évaluation propre de l’exportateur.

La loi qui nous est applicable

Le droit serbe de la protection des données est calqué sur le RGPD

La loi sur la protection des données à caractère personnel (Zakon o zaštiti podataka o ličnosti, « LPDP ») a été adoptée le 9 novembre 2018 et s’applique depuis le 21 août 2019. Elle a été rédigée dans le cadre des obligations d’adhésion de la Serbie à l’UE et suit étroitement les concepts du RGPD — principes, bases juridiques, droits des personnes concernées, protection des données dès la conception, notification des violations, AIPD, délégués à la protection des données et règles de transfert.1,2 (Sources)

Elle incorpore également des règles de la directive européenne « police-justice » (2016/680) dans les mêmes dispositions qui régissent le traitement ordinaire, ce qui explique qu’elle soit organisée différemment du RGPD.3,4,11 (Sources)

Notion du RGPD → traitement en droit serbe
L’instrument
Loi sur la protection des données à caractère personnel (LPDP)

Journal officiel de la République de Serbie n° 87/2018. Adoptée le 9 novembre 2018, entrée en vigueur le 21 novembre 2018, applicable à compter du 21 août 2019. Un projet de loi de remplacement a été publié pour consultation en juillet 2026.

Autorité de contrôle
Commissaire à l’information d’intérêt public et à la protection des données à caractère personnel

Autorité indépendante dotée de pouvoirs d’enquête, de conseil et de correction, y compris des avertissements, des injonctions de remédier aux irrégularités, des interdictions temporaires de traitement et des injonctions de supprimer des données collectées illicitement. Elle ne peut elle-même infliger qu’une amende forfaitaire pour certaines contraventions ; toutes les autres amendes sont prononcées par les tribunaux des contraventions (prekršajni sud).

Bases juridiques
Étroitement aligné sur le RGPD

Consentement, contrat, obligation légale, intérêts vitaux, intérêt public et intérêts légitimes — les six mêmes fondements que l’article 6 du RGPD.

Catégories particulières de données
Étroitement aligné sur le RGPD

Traitement en principe interdit, sous réserve d’un ensemble étroit d’exceptions comparable à celui de l’article 9 du RGPD.

Droits des personnes concernées
Étroitement aligné sur le RGPD

Accès, rectification, effacement, limitation, portabilité, opposition et protection contre les décisions fondées uniquement sur un traitement automatisé.

Responsable du traitement / sous-traitant
Étroitement aligné sur le RGPD

Une distinction responsable du traitement/sous-traitant comparable à celle du RGPD (article 4), et une exigence comparable d’un accord de traitement écrit (article 28).

Notification des violations
Étroitement aligné sur le RGPD

Notification au Commissaire sans retard indu et, si possible, dans les 72 heures, sauf si la violation est peu susceptible d’entraîner un risque pour les personnes ; notification aux personnes concernées lorsque le risque pour elles est élevé.

AIPD et délégué à la protection des données
Étroitement aligné sur le RGPD

Analyses d’impact pour les traitements à haut risque ; délégués à la protection des données requis dans des circonstances comparables.

Transferts internationaux
Étroitement aligné sur le RGPD, avec une liste serbe

Transferts vers les parties à la Convention 108 et vers les pays figurant sur la liste d’adéquation du gouvernement serbe ; sinon des garanties telles que les clauses contractuelles types émises par le Commissaire (actuellement utilisables uniquement lorsque l’importateur est un sous-traitant), les règles d’entreprise contraignantes, les codes de conduite et la certification.

La numérotation des articles diffère entre les deux instruments et la LPDP a une structure différente, de sorte que ce tableau met en correspondance des notions plutôt que de citer des numéros d’articles. Pour le texte opératoire, voir la loi elle-même dans les références ci-dessous.

Là où cela diffère

Compatible n’est pas identique

Une page qui affirmerait une équivalence parfaite serait fausse, et les différences sont la première chose qu’un DPO compétent demandera. Les voici.

Pas de considérants

Les 173 considérants du RGPD sont l’aide interprétative principale de son texte opératoire. La LPDP n’en a aucun. La jurisprudence judiciaire à son sujet reste limitée, même si la pratique publiée de supervision et de traitement des plaintes du Commissaire s’est considérablement développée.2,3 (Sources)

Ce que cela signifie pour vous

Les praticiens serbes consultent les considérants du RGPD et les lignes directrices du CEPD pour interpréter la LPDP, même si ni les uns ni les autres ne constituent une source formelle du droit serbe — l’interprétation tend donc à converger vers la position de l’UE plutôt qu’à s’en écarter.

Une liste de transferts différente

Le droit serbe considère les parties à la Convention 108 comme offrant une protection adéquate, et le gouvernement serbe a adopté sa propre liste d’adéquation : États de l’UE et de l’EEE, les autres parties à la Convention 108, et certains pays supplémentaires tels que le Canada (entités commerciales uniquement) et le Japon. Comme elle inclut des parties à la Convention 108 qui ne bénéficient d’aucune décision d’adéquation de l’UE, comme la Türkiye, elle n’est pas identique à la liste de l’UE.5 (Sources)

Ce que cela signifie pour vous

Pertinent uniquement pour les transferts ultérieurs. Si vos données ne doivent jamais quitter le couple UE/Serbie, dites-le dans le DPA et nous nous y contracterons.

Des sanctions plus légères

Les amendes prévues par la LPDP sont nettement plus faibles que sous le RGPD : pour une personne morale, la fourchette légale va de 50 000 RSD à 2 000 000 RSD (environ 430 € à 17 000 €). Le Commissaire ne peut lui-même infliger qu’une amende forfaitaire de 100 000 RSD (environ 850 €) pour certaines contraventions ; toutes les autres amendes sont prononcées par les tribunaux des contraventions (prekršajni sud), généralement à la demande du Commissaire.3,5 (Sources)

Ce que cela signifie pour vous

C’est une raison valable de s’appuyer sur des recours contractuels plutôt que sur la seule dissuasion réglementaire — précisément le rôle des CCT.

Les lois sectorielles ne sont pas pleinement alignées

La LPDP exigeait que les autres lois lui soient alignées d’ici la fin de 2020 (article 100), et ce travail n’est pas achevé. La stratégie serbe de protection des données 2023–2030 reconnaît que les textes législatifs touchant aux données à caractère personnel ne sont pas encore pleinement harmonisés avec la LPDP et identifie la poursuite de l’alignement sur les normes de l’UE, y compris les travaux en vue d’une décision d’adéquation de l’UE, comme un objectif de politique publique.2,9 (Sources)

Ce que cela signifie pour vous

La pertinence des règles sectorielles serbes dépend du type de données et du projet ; des secteurs réglementés tels que l’emploi, la santé, la finance, les télécommunications ou le secteur public peuvent nécessiter une analyse supplémentaire.

Transferts UE → Serbie

La Serbie n’a pas de décision d’adéquation. Voici comment un transfert restreint est généralement traité.

En vertu du chapitre V du RGPD, les transferts de données à caractère personnel hors de l’EEE doivent reposer sur un mécanisme de transfert valable. Une décision d’adéquation constitue une voie ; les garanties appropriées de l’article 46, telles que les CCT, en constituent une autre, tandis que l’article 49 prévoit des dérogations limitées pour certaines situations.10 (Sources) La Serbie ne figure pas sur la liste d’adéquation de l’UE.7 (Sources) Pour nos missions ordinaires et continues de sous-traitance impliquant des données de l’EEE, la voie pertinente est généralement celle des CCT de l’UE de 2021.

C’est le même mécanisme que les entreprises de l’UE utilisent couramment avec les fournisseurs hors EEE. C’est un travail de routine, pas un obstacle — mais lorsqu’un transfert restreint est en jeu, il doit être accompli, et accompli avant que les données ne circulent.

1

Nous déterminons d’abord si des données personnelles sont nécessaires

Une grande partie du travail de développement peut être réalisée avec des données véritablement anonymisées ou des jeux de données synthétiques ne constituant pas des données à caractère personnel. Lorsque des données personnelles pseudonymisées suffisent, nous les privilégions par rapport à des données de production directement identifiantes afin de réduire le risque ; toutefois, les données pseudonymisées restent des données à caractère personnel lorsque les personnes peuvent être réidentifiées, de sorte que le RGPD et les garanties de transfert applicables continuent de s’appliquer. Si aucune donnée à caractère personnel n’est transférée, le chapitre V ne s’applique pas à ce travail.

2

Vous signez un accord de sous-traitance avec nous

Pour nos missions habituelles en qualité de sous-traitant, nous documentons les conditions du traitement dans un accord conforme à l’article 28 lorsqu’il est utilisé. Il couvre l’objet, la nature, la finalité et la durée du traitement ; les catégories de données et de personnes concernées ; le traitement uniquement sur vos instructions documentées, y compris en ce qui concerne les transferts ; les obligations de confidentialité pour toute personne ayant accès ; nos mesures de sécurité ; les règles relatives aux sous-traitants ultérieurs ; notre assistance aux demandes des personnes concernées et à vos obligations en matière de sécurité, de notification des violations et d’analyse d’impact ; vos droits d’audit et d’information ; et le sort des données à la fin de la mission. Nous acceptons de travailler à partir de votre modèle. Les modules deux et trois des CCT de 2021 contiennent déjà des clauses de l’article 28 ; nous signons un accord distinct conforme à l’article 28 lorsque vous souhaitez que les conditions du traitement figurent dans un seul document.

3

Nous signons les clauses contractuelles types de l’UE

Les CCT de la Commission de 2021 (décision d’exécution (UE) 2021/914) prévoient le module deux pour les transferts de responsable du traitement vers sous-traitant et le module trois pour les transferts de sous-traitant vers sous-traitant. Elles fournissent les garanties de l’article 46 pour ces scénarios, pour autant que les parties satisfassent également aux exigences propres des CCT — notamment l’évaluation prévue par la clause 14 décrite à l’étape suivante.8 (Sources)

4

Nous appuyons votre évaluation du transfert

En vertu de Schrems II, l’exportateur assume la responsabilité première d’évaluer si le droit et la pratique du pays de destination compromettent les CCT. En vertu de la clause 14 des CCT, les deux parties garantissent que cette évaluation a été effectuée, et nous, en tant qu’importateur, devons faire de notre mieux pour vous fournir les informations pertinentes et vous notifier sans délai si un changement de droit ou de pratique pourrait nous empêcher de respecter les CCT. Nous répondons par écrit aux questions sur le droit serbe, les pouvoirs d’accès des autorités et nos propres mesures techniques et organisationnelles, afin que l’évaluation soit documentée plutôt que présumée. Si elle fait apparaître la nécessité de mesures supplémentaires, celles-ci doivent être convenues et en place avant le début du transfert.8 (Sources)

Les données dans l’autre sens sont plus simples

Le droit serbe considère les États membres de l’UE comme offrant un niveau de protection adéquat, de sorte que les transferts de nous vers vous — restitution d’une base de données, remise d’un dépôt, restauration d’une sauvegarde sur votre infrastructure — ne nécessitent aucun mécanisme supplémentaire au titre de la LPDP.5 (Sources)

Engagements internationaux

La Serbie a ratifié le protocole à la Convention 108+

La Serbie est partie à la Convention 108 du Conseil de l’Europe et à son Protocole additionnel relatif aux autorités de contrôle et aux flux transfrontières de données (STE n° 181), et a ratifié, le 26 mai 2020, en tant que quatrième État à le faire, le protocole modernisant la Convention (STCE n° 223, communément appelé « Convention 108+ »). Le protocole n’est pas encore entré en vigueur : au 27 août 2026, il comptait 34 ratifications, alors que sa règle d’entrée en vigueur en exige 38. La Serbie est donc liée par la Convention 108 actuellement en vigueur et a ratifié le protocole 108+, sans être encore liée par un protocole 108+ entré en vigueur.6 (Sources)

Cela compte pour deux raisons. La Convention 108 est une obligation internationale contraignante pour la Serbie, distincte de sa législation interne, et le RGPD nomme explicitement l’adhésion à la Convention 108 comme un facteur que la Commission européenne doit prendre en compte lors de l’évaluation de l’adéquation (considérant 105 ; voir aussi l’article 45, paragraphe 2, point c).10 (Sources)

Elle ne crée pas, à elle seule, d’adéquation. Les garanties décrites ci-dessus restent applicables.

Situation en un coup d’œil
État membre de l’UENon
Membre de l’EEENon
Pays candidat à l’UEOui
Décision d’adéquation de la Commission européenneNon accordée
Convention 108 (STE 108)Partie (y compris Protocole additionnel, STE 181)
Protocole Convention 108+ (STCE 223)Ratifié 2020 (pas encore en vigueur)
Droit national calqué sur le RGPDOui, depuis 2019 (projet de remplacement publié en 2026)
Autorité de contrôle indépendanteOui
En pratique

À quoi cela ressemble sur un projet réel

La plupart des travaux de développement n’ont pas besoin de données personnelles de production. Lorsqu’ils en ont besoin, voici les règles de travail.

Minimiser

Données anonymisées par défaut

Nous demandons un dump de base de données assaini ou des jeux de données synthétiques avant de demander des données de production. Dans la plupart des projets, cela suffit pour toute la mission.

Localiser

Vous choisissez où se trouvent les données

L’hébergement des environnements de développement, de staging et de production peut être maintenu dans l’UE, sur votre infrastructure ou chez un prestataire que vous désignez. Cela peut réduire les risques liés à la localisation des données et aux transferts ultérieurs, mais ne supprime pas à lui seul la question du chapitre V : l’accès à distance à des données à caractère personnel par notre personnel situé en Serbie constitue lui-même un transfert vers un pays tiers et relève des mêmes garanties de transfert.

Restreindre

Accès nominatif uniquement

L’accès à tout environnement contenant des données personnelles est limité aux personnes qui travaillent effectivement sur votre projet, retiré lorsqu’elles cessent, et révoqué intégralement à la remise.

Sous-traitance

Sous-traitants ultérieurs sur autorisation

Nous communiquons l’identité des sous-traitants ultérieurs qui seraient amenés à traiter des données à caractère personnel pour notre compte et ne les utilisons que selon le régime d’autorisation convenu avec vous. Lorsque vous accordez une autorisation écrite générale, nous vous informons à l’avance de tout ajout ou remplacement envisagé afin que vous puissiez vous y opposer conformément aux conditions applicables du DPA/des CCT.

Répondre

Assistance aux demandes des personnes concernées

Si une demande d’accès ou d’effacement vous parvient et que les données se trouvent dans un système que nous avons construit, nous vous aidons à y répondre dans votre délai légal. Si une demande nous parvient directement, nous vous la transmettons sans délai et n’y répondons pas nous-mêmes sauf si vous nous y autorisez.

Sortie

Suppression sur demande

À la fin d’une mission, nous restituons ou supprimons toutes les données à caractère personnel que nous avons traitées pour votre compte, y compris toutes les copies, selon vos instructions, et le confirmons par écrit.

Si vous êtes une agence

Lorsque nous intervenons en marque blanche pour une agence, une structure fréquente est que le client de l’agence soit responsable du traitement, l’agence sous-traitant et HOW MUCH Labs sous-traitant ultérieur. Les rôles réels doivent toutefois être déterminés selon la partie qui décide des finalités et des moyens essentiels de chaque activité de traitement. Lorsque nous agissons comme votre sous-traitant ultérieur, nous acceptons les obligations applicables répercutées dans la chaîne contractuelle et pouvons être inscrits dans votre registre des sous-traitants ultérieurs.

Comment se passe le partenariat →
Sources et références

Vérifiez tout cela vous-même

Les sources primaires et le commentaire professionnel sur lequel s’appuient les synthèses ci-dessus.

  1. 1
    Loi sur la protection des données à caractère personnel (Zakon o zaštiti podataka o ličnosti)
    Journal officiel de la République de Serbie n° 87/2018. La législation primaire. Publiée avec des textes d’application et des orientations par le Commissaire à l’information d’intérêt public et à la protection des données à caractère personnel.
    poverenik.rs — bureau du Commissaire (s’ouvre dans un nouvel onglet)
  2. 2
    IAPP — The state of Serbia’s Personal Data Protection Law after two years
    Évaluation de praticiens sur la proximité de la LPDP avec le RGPD, et sur le fossé interprétatif créé par l’absence de considérants.
    iapp.org (s’ouvre dans un nouvel onglet)
  3. 3
    Chambers — Data Protection & Privacy 2026: Serbia
    Guide pays actuel couvrant la LPDP (que le guide appelle PDPA) : son alignement avec le RGPD et la directive police-justice, les pouvoirs et amendes du Commissaire, et la portée extraterritoriale.
    practiceguides.chambers.com (s’ouvre dans un nouvel onglet)
  4. 4
    CMS Expert Guide — Impact of the GDPR in Serbia
    Aperçu comparatif de la LPDP (que le guide appelle la loi PDP) par rapport au RGPD, y compris les rôles responsable du traitement/sous-traitant, les catégories particulières de données et le mélange de règles du RGPD et de la directive police-justice. Dernière mise à jour : avril 2021.
    cms.law (s’ouvre dans un nouvel onglet)
  5. 5
    DLA Piper — Transfer of personal data in Serbia
    Synthèse du régime de transfert de la LPDP, y compris la liste d’adéquation serbe et les clauses contractuelles types du Commissaire.
    dlapiperdataprotection.com (s’ouvre dans un nouvel onglet)
  6. 6
    Conseil de l’Europe — Convention 108 et protocole STCE 223
    Textes conventionnels et tableau des signatures et ratifications. La Serbie a ratifié le protocole de modernisation le 26 mai 2020, en tant que quatrième État. Au 27 août 2026, le protocole comptait 34 ratifications ; 38 sont requises pour l’entrée en vigueur, il n’est donc pas encore en vigueur.
    coe.int — STCE 223 (s’ouvre dans un nouvel onglet)coe.int — la Moldavie devient le 34e État à ratifier (15 mai 2026) (s’ouvre dans un nouvel onglet)
  7. 7
    Commission européenne — Décisions d’adéquation
    La liste officielle des pays et organisations couverts par une décision d’adéquation de l’UE, et la procédure d’adoption. La Serbie n’y figure pas.
    commission.europa.eu (s’ouvre dans un nouvel onglet)
  8. 8
    Décision d’exécution (UE) 2021/914 de la Commission — clauses contractuelles types
    Les CCT actuelles de l’UE, y compris le module deux (responsable du traitement vers sous-traitant) et le module trois (sous-traitant vers sous-traitant), les exigences d’évaluation de la clause 14, les obligations des clauses 8.5 et 10 relatives à la suppression et aux demandes des personnes concernées, et les clauses de l’article 28 intégrées dans ces modules.
    eur-lex.europa.eu — 2021/914 (s’ouvre dans un nouvel onglet)
  9. 9
    Schoenherr — Serbia’s Data Protection Strategy 2023–2030 unveiled
    Analyse de la stratégie gouvernementale qui fixe une décision d’adéquation de l’UE comme objectif de politique publique et identifie les lacunes restantes de la législation actuelle.
    schoenherr.eu (s’ouvre dans un nouvel onglet)
  10. 10
    Règlement (UE) 2016/679 — règlement général sur la protection des données (RGPD)
    Le règlement lui-même : définitions de l’article 4, conditions du sous-traitant de l’article 28, notification des violations de l’article 33, les règles de transfert du chapitre V (articles 44 à 50), et le considérant 105 sur la Convention 108 comme facteur d’adéquation.
    eur-lex.europa.eu — 2016/679 (s’ouvre dans un nouvel onglet)
  11. 11
    Ministère de la Justice de la République de Serbie — Projet de loi sur la protection des données à caractère personnel (2026)
    Projet de remplacement de la LPDP, publié le 30 juillet 2026 pour consultation publique jusqu’au 10 septembre 2026. Commentaire : IAPP, « Serbia’s draft Personal Data Protection Law: What changes are on the table » (6 août 2026 ; texte intégral réservé aux membres de l’IAPP).
    mpravde.gov.rs — consultations publiques (s’ouvre dans un nouvel onglet)iapp.org (s’ouvre dans un nouvel onglet)
Questions sur la protection des données

Demandez avant de signer, pas après

Si votre DPO ou votre équipe juridique a besoin d’une évaluation d’impact des transferts complétée, d’un DPA signé, d’une liste de sous-traitants ultérieurs ou de réponses à un questionnaire de sécurité fournisseur, demandez-le et nous le remplirons.

[email protected]+381 63 872 6019Coordonnées complètes de l’entité juridique →