Un rapport d’enquête interne rédigé à N’Djaména et envoyé au siège de Genève, de Paris ou de Bruxelles paraît, pour l’organisation qui le transmet, un acte administratif banal. Ce n’est pas ce que dit le droit — ni côté tchadien, ni côté européen. C’est un transfert international de données personnelles, avec un double régime, souvent sous-estimé.

La qualification : pourquoi c’est un transfert international de données

Un rapport d’enquête interne — signalement, auditions, conclusions — nomme, décrit et évalue des personnes physiques identifiables : salariés, témoins, mis en cause. C’est un ensemble de données à caractère personnel au sens de la Loi n°007/PR/2015.

Transmettre ce rapport à une entité située hors du Tchad — siège européen, direction régionale, cabinet extérieur — constitue un transfert international de données. Cette qualification n’est pas théorique. Elle déclenche l’application des articles 29 à 32 de la Loi 007 côté tchadien, et l’application du cadre européen de protection des données côté siège.

Beaucoup d’organisations traitent leurs remontées de rapport comme un flux interne à un groupe. Pour les deux régimes, il s’agit d’un flux transfrontière, avec toutes les obligations que cela emporte.

Le régime tchadien : articles 29 à 32 de la Loi 007

Les articles 29 à 32 de la Loi 007 organisent le régime des transferts de données personnelles depuis le Tchad vers un État tiers. Trois exigences ressortent.

Une base juridique du transfert. Le transfert doit reposer sur une justification identifiée : consentement des personnes concernées, exécution d’un contrat auquel elles sont parties, respect d’obligations légales, ou intérêt légitime documenté du responsable de traitement.

Des garanties adéquates. Le pays destinataire doit offrir un niveau de protection suffisant — soit par sa législation propre, soit par des mécanismes contractuels entre l’expéditeur et le destinataire, soit par des règles internes d’un groupe (« binding corporate rules »).

Une formalité auprès de l’ANSICE. Les transferts sont soumis, selon la nature du traitement et du destinataire, à une notification ou à une autorisation préalable. Réserve d’effectivité posée : l’obligation est dans le texte, l’opérationnalité de l’agence n’est pas documentée. La diligence recommandée reste la trace écrite d’une démarche, plutôt que la présomption d’inapplicabilité.

Le régime européen côté siège

Côté siège européen, le même transfert relève du cadre européen de la protection des données, qui exige une base juridique de transfert vers un pays tiers ne bénéficiant pas de décision d’adéquation. Le Tchad n’en bénéficie pas à ce jour.

Trois mécanismes principaux structurent en pratique les transferts :

Les clauses contractuelles types de la Commission européenne, qui organisent contractuellement les garanties dues aux personnes concernées. C’est le mécanisme le plus utilisé dans les groupes internationaux.

Les règles internes d’entreprise (« binding corporate rules »), soumises à l’approbation d’une autorité de contrôle européenne. Elles couvrent l’ensemble des transferts intra-groupe et sont utiles pour les organisations à structure décentralisée.

Les dérogations — consentement explicite, exécution d’un contrat, intérêts vitaux, motifs importants d’intérêt public — qui restent d’application stricte et ne peuvent fonder qu’un transfert ponctuel, pas un flux régulier de rapports d’enquête.

Le choix du mécanisme n’est pas neutre : il conditionne la documentation à produire, la gouvernance interne, et l’exposition à un contrôle par l’autorité de contrôle applicable au siège.

Comment sécuriser en pratique le transfert d’un rapport d’enquête

Une organisation qui anticipe le transfert en amont — c’est-à-dire dès le déclenchement de l’enquête — se protège doublement.

Documenter la base juridique du transfert. Un intérêt légitime documenté — obligations de compliance imposées par le siège, obligations extraterritoriales — fournit une base robuste, à condition d’être formalisé avant l’enquête et de faire l’objet d’un test de proportionnalité.

Mettre en place les clauses contractuelles types entre l’entité tchadienne et l’entité européenne destinataire. Sans ces clauses, le transfert repose sur des dérogations d’application stricte, plus fragiles en cas de contrôle.

Informer les personnes concernées. Le signalant, le mis en cause et les témoins doivent être avisés de ce que leurs données pourront être transférées au siège. Cette information peut être aménagée pour préserver la confidentialité de l’enquête, mais elle ne peut être totalement omise sans compromettre la loyauté du traitement.

Anonymiser lorsque c’est possible. Un rapport de synthèse à destination d’un comité éthique du siège peut souvent être pseudonymisé ou anonymisé, réduisant le volume de données transférées et l’exposition aux deux régimes.

Conserver la trace des diligences ANSICE, dans la ligne posée plus haut.

Ce qu’il faut retenir

Un rapport d’enquête interne transmis à un siège hors du Tchad est un transfert international de données personnelles · côté tchadien, arts. 29 à 32 Loi n°007/PR/2015 : base juridique, garanties, formalités ANSICE (avec réserve d’effectivité) · côté européen : décision d’adéquation absente pour le Tchad, recours pratique aux clauses contractuelles types ou aux règles internes d’entreprise · sécuriser en amont : base juridique documentée, clauses en place, information des personnes, anonymisation lorsque possible · le double régime cristallise sur les rapports d’enquête un risque souvent traité comme un flux interne banal.