Loi n° 1.565 : ce que l'hébergement de données implique pour les entreprises monégasques
Guide pratique pour les entreprises de Monaco qui hébergent un site, un portail ou une application. Situation au 30.09.2026. Ce guide n'est pas un avis juridique.
Réponse courte
- 1La loi n° 1.565 du 3 décembre 2024 relative à la protection des données personnelles a été publiée au Journal de Monaco du 13 décembre 2024. Elle remplace la loi n° 1.165 et crée l'APDP, qui succède à la CCIN.
- 2Si un hébergeur traite des données personnelles pour votre compte, vous êtes le responsable du traitement : l'article 26 exige que le sous-traitant présente des garanties suffisantes et que la relation soit encadrée par un contrat.
- 3Une violation de données doit être notifiée à l'autorité de protection dans les meilleurs délais et, si possible, dans un délai maximum de 72 heures (article 32).
- 4Les serveurs de 4hosting sont à Francfort, pas à Monaco : les articles 97 à 100 sur les transferts vers un pays tiers sont à lire avec votre conseil avant de fixer le lieu d'hébergement.
Le cadre : la loi n° 1.565 et l'APDP
La loi n° 1.565 du 3 décembre 2024 relative à la protection des données personnelles est consultable sur Legimonaco et au Journal de Monaco. Elle organise la protection des données dans la Principauté et institue l'Autorité de protection des données personnelles (APDP), qui succède à la Commission de contrôle des informations nominatives (CCIN). L'APDP publie sa documentation sur apdp.mc.
Pour un hébergement, le point central est l'article 26. Lorsque le responsable du traitement a recours aux services d'un sous-traitant, celui-ci doit présenter des garanties suffisantes, et le traitement est encadré par un contrat qui définit notamment l'objet et la durée du traitement, sa nature et ses finalités. C'est ce que recouvre, en pratique, un contrat de sous-traitance.
Violation de données et transferts
L'article 32 prévoit que le responsable du traitement notifie à l'autorité de protection, dans les meilleurs délais et si possible dans un délai maximum de soixante-douze heures, la violation de données qu'il constate. Le contrat avec l'hébergeur doit donc prévoir comment et à qui l'incident est signalé.
Les articles 97 à 100 traitent des transferts de données vers un pays tiers : décision d'adéquation, absence de décision d'adéquation, autorisation par l'autorité de protection. Les serveurs de 4hosting se trouvent à Francfort, donc hors de Monaco. Nous ne tranchons pas ici la qualification juridique de ce cas : faites-la valider par votre conseil ou auprès de l'APDP.
Cette page ne mentionne ni montants de sanctions ni délais transitoires : nous ne les citons que lorsque nous les avons lus dans le texte officiel. Reportez-vous à la loi et à l'APDP pour ces points.
Trois situations concrètes
Une agence de yachting avec un portail client
Le portail stocke des contrats et des pièces d'identité sur un VPS. L'agence est responsable du traitement. Avant de signer, elle demande le contrat de sous-traitance, la liste des intervenants, la localisation des serveurs et le contact à prévenir en cas d'incident.
Un cabinet de gestion de patrimoine
Le cabinet héberge une application interne de suivi de dossiers. Il consigne dans sa documentation où sont les données (Francfort), qui y accède et comment les sauvegardes sont faites, puis fait valider l'ensemble par son conseil.
Une boutique en ligne monégasque
La boutique collecte noms, adresses et historiques de commande. Elle prévoit, avec son hébergeur, la procédure d'alerte en cas de violation, pour pouvoir respecter le délai de l'article 32 sans chercher qui appeler le jour de l'incident.
Erreurs courantes
- Confier des données à un hébergeur sans contrat écrit de sous-traitance : l'article 26 prévoit précisément cet encadrement.
- Ignorer l'emplacement physique des serveurs et des sauvegardes, alors que les règles sur les transferts (articles 97 à 100) en dépendent.
- Découvrir le délai de 72 heures le jour de l'incident, sans procédure ni contact prévus d'avance.
- Penser qu'une aide technique de l'hébergeur vaut garantie de conformité : elle ne remplace ni votre analyse ni votre documentation.
- Continuer à se référer à l'ancienne loi n° 1.165 et à la CCIN : l'autorité est désormais l'APDP.
Comment 4hosting vous aide
- Infrastructure dans l'Union européenne, à Francfort. Il n'y a pas de centre de données à Monaco : nous le disons clairement pour que vous puissiez le documenter.
- Contrat de traitement (DPA) au titre de l'article 28 du RGPD et clauses contractuelles types pour les transferts lorsqu'ils sont nécessaires. Il ne s'agit pas d'un contrat de droit monégasque : faites-le relire par votre conseil.
- Alignement sur ISO 27001. Ce n'est pas un certificat ISO 27001.
- Heures DevOps et cybersécurité incluses dans les abonnements : Hardening & Compliance, WAF & DDoS, SIEM & Incident Response, sauvegardes. Ces services soutiennent vos mesures de sécurité, ils ne les remplacent pas.
- 4hosting ne certifie pas votre conformité et ne signe pas de conformité juridique à votre place. Nous ne détenons pas de certification NIS2, ISO ou SOC 2.
- Migration gratuite vers 4hosting ; support en anglais et en roumain.
Questions fréquentes
La loi n° 1.565 a-t-elle remplacé la loi n° 1.165 ?
Oui, d'après les publications officielles, la loi n° 1.565 du 3 décembre 2024 remplace la loi n° 1.165 du 23 décembre 1993 et institue l'APDP, qui succède à la CCIN.
Mes données peuvent-elles être hébergées hors de Monaco ?
La loi encadre les transferts vers un pays tiers aux articles 97 à 100. Les serveurs de 4hosting sont dans l'Union européenne ; le statut exact de ce cas se vérifie avec votre conseil et auprès de l'APDP.
4hosting garantit-elle ma conformité à la loi monégasque ?
Non. 4hosting fournit l'infrastructure, un contrat de traitement et des services DevOps et cybersécurité. La conformité de votre entreprise reste de votre responsabilité.