Monaco n'est pas dans l'Union européenne. Monaco n'est pas dans l'Espace économique européen. Le Règlement général sur la protection des données (RGPD) ne s'applique pas directement aux traitements réalisés sur le sol monégasque. Ce qui s'applique, c'est la Loi n° 1.565 du 3 décembre 2024 relative à la protection des données personnelles — la loi qui a remplacé l'ancienne Loi 1.165 fin 2024 et qui a rapproché le régime monégasque de la protection des données du RGPD, sans pour autant l'aligner intégralement.
Pour les opérateurs marketing — agences, équipes internes, freelances qui pilotent des campagnes vers Monaco — cette distinction compte. Une simple « bannière cookies RGPD » ne suffit pas, à elle seule, à satisfaire la Loi 1.565. Une plateforme de gestion du consentement calibrée pour les juridictions UE ne suffit pas, à elle seule, aux critères d'inspection de l'APDP (Autorité de protection des données personnelles). Et les règles de transfert transfrontalier qui régissent votre CRM, vos plateformes publicitaires, vos outils analytiques et votre fournisseur d'emailing fonctionnent sur des prémisses juridiques différentes à Monaco et en France.
Ce guide est la version pratique. Ce n'est pas une opinion juridique, et ce n'est pas un substitut au conseil d'un avocat licencié à Monaco. Ce qu'il fait, c'est nommer les écarts qu'un opérateur marketing rencontrera en passant d'un modèle mental « pur RGPD » à une réalité opérationnelle Loi 1.565, et les contrôles qui les referment.
Ce qu'est réellement la Loi 1.565
La Loi 1.565 a été promulguée le 3 décembre 2024 et remplace la Loi 1.165 de 1993 (qui avait été amendée plusieurs fois, notamment en 2008 et 2021). La nouvelle loi restructure le régime monégasque de protection des données autour de principes qui sont reconnaissablement alignés sur le RGPD : base légale du traitement, droits des personnes concernées, minimisation des données, redevabilité, obligations de sécurité, notification de violation, et autorité de contrôle compétente.
L'autorité de contrôle est l'APDP. Ses pouvoirs au titre de la Loi 1.565 incluent l'instruction, l'inspection sur place, l'émission de décisions contraignantes, et l'imposition de sanctions administratives. L'APDP tient également un registre public des déclarations de traitement de données, et certaines catégories de traitement — y compris plusieurs qui touchent directement les opérations marketing — exigent une autorisation préalable plutôt que le simple modèle de notification que les opérateurs UE pourraient connaître depuis l'époque pré-RGPD.
En pratique, à Monaco, la question n'est pas seulement « avons-nous une base légale ? ». La question est aussi « avons-nous le bon dossier APDP enregistré pour cette activité de traitement ? ». Les deux questions peuvent avoir des réponses différentes.
Où la Loi 1.565 et le RGPD convergent
La convergence est significative. Les opérateurs marketing familiers du RGPD retrouveront les concepts fondateurs intacts :
- Exigence de base légale. Le traitement de données personnelles requiert toujours un fondement juridique défini — consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public, ou intérêts légitimes. La liste recouvre presque entièrement l'article 6 du RGPD.
- Droits des personnes concernées. Accès, rectification, effacement, limitation, portabilité, et opposition sont tous préservés. Les procédures et les délais sont largement comparables.
- Catégories particulières de données. Santé, origine ethnique, opinions politiques, croyances religieuses, orientation sexuelle, et données biométriques portent des restrictions renforcées, en parallèle de l'article 9 RGPD.
- Notification de violation. Les violations de données personnelles susceptibles de présenter un risque pour les personnes concernées doivent être notifiées à l'APDP sans retard injustifié.
- Redevabilité et documentation. Les responsables de traitement doivent pouvoir démontrer leur conformité — c'est-à-dire registres de traitement, analyses d'impact lorsque pertinentes, et garanties contractuelles avec les sous-traitants.
Si vous avez un programme RGPD opérationnel, environ 70 à 80 % de la machinerie opérationnelle — mentions légales, inventaire de données, contrats sous-traitants, gestion des demandes d'exercice de droits, réponse aux violations — se transfère directement. Les 20 à 30 % restants, c'est là que commence le travail spécifique à Monaco.
Où la Loi 1.565 et le RGPD divergent — et pourquoi cela compte pour le marketing
Transferts transfrontaliers de données
C'est l'écart pratique le plus important. Au titre du RGPD, les transferts depuis un responsable UE vers un pays hors UE/EEE requièrent une juridiction « adéquate » ou un mécanisme de transfert approprié (Clauses Contractuelles Types, Règles d'entreprise contraignantes, etc.). Monaco a été reconnue adéquate par la Commission européenne en 2010, ce qui signifie que les transferts UE vers Monaco peuvent s'effectuer sous cette décision d'adéquation.
Les transferts depuis Monaco vers ailleurs, en revanche, fonctionnent sous le cadre propre à la Loi 1.565. La loi distingue les transferts vers des États que Monaco reconnaît comme offrant un « niveau de protection adéquat » (liste tenue à jour par l'APDP) des transferts vers d'autres États. Pour ces autres États, le responsable doit s'appuyer sur des garanties contractuelles approuvées ou reconnues par l'APDP, sur le consentement explicite de la personne concernée, ou sur un ensemble étroit de dérogations.
Pour les opérateurs marketing, cela affecte typiquement :
- Les plateformes marketing hébergées aux États-Unis — HubSpot, Salesforce, Mailchimp, Klaviyo, Active Campaign. Les transferts depuis un responsable monégasque vers un sous-traitant US requièrent un mécanisme reconnu, même quand la plateforme est certifiée RGPD, parce que la certification RGPD ne suffit pas, en elle-même, sous la Loi 1.565.
- Les plateformes publicitaires à routage global — Meta Ads, Google Ads, LinkedIn Ads. Les Audiences Personnalisées et les Audiences Similaires soulèvent des questions de transfert parce que les identifiants cibles passent dans l'infrastructure de traitement globale de la plateforme.
- L'analytics et la gestion de tags — Google Analytics 4, Google Tag Manager, Hotjar, FullStory. Les fonctions de troncature et d'anonymisation d'IP qui ont désamorcé certaines préoccupations RGPD ne résolvent pas, à elles seules, l'analyse de transfert sous Loi 1.565.
Le pattern de remédiation est opérationnel : tenir un registre de transferts explicite, s'assurer que chaque contrat de plateforme marketing porte le langage de transfert Loi 1.565 approprié (typiquement aux côtés des CCT UE que le fournisseur proposera déjà), et, pour les activités de traitement soumises à autorisation préalable, déposer la déclaration correspondante auprès de l'APDP avant la mise en production.
Consentement — à quoi ressemble un consentement valide
La substance du consentement sous Loi 1.565 reflète étroitement le RGPD : libre, spécifique, éclairé, et démontré par un acte positif. Les attentes de granularité s'alignent également. Là où la divergence apparaît, c'est dans la charge documentaire pour les flux de consentement marketing.
La posture d'application de l'APDP, en s'appuyant sur ses pouvoirs d'inspection au titre des articles 51 à 58 de la loi, attend des responsables de traitement marketing qu'ils puissent produire, sur demande :
- Le libellé exact présenté à la personne concernée au moment du consentement
- L'historique de version de ce libellé, avec horodatage
- Les logs techniques montrant l'acte positif (le clic, la soumission de formulaire)
- L'étendue du consentement obtenu — pour quelles finalités, quels canaux, quels tiers
- Le mécanisme de retrait, avec des logs démontrant que les retraits sont traités dans la même fenêtre que la capture de consentement initiale
Pour la plupart des opérateurs marketing exploitant des plateformes de gestion du consentement de style UE, les points 1 à 4 sont typiquement déjà en place. Le point 5 — la journalisation des retraits avec la même fidélité que la capture de consentement — est l'endroit où les audits font régulièrement remonter des écarts. Une bannière de consentement qui enregistre « utilisateur a accepté » sans log d'événement de retrait correspondant échoue au test de démonstration Loi 1.565 même quand elle passerait un audit RGPD superficiel.
Marketing direct, prospection, et la distinction email/postal
La Loi 1.565 préserve la distinction monégasque ancienne entre prospection commerciale par voie électronique (qui requiert généralement un consentement opt-in sauf si une dérogation soft-opt-in s'applique pour les clients existants et produits similaires) et prospection commerciale postale (qui peut typiquement s'appuyer sur les intérêts légitimes avec un opt-out clair). La distinction recoupe étroitement le régime UE ePrivacy, avec deux différences pratiques :
- La dérogation soft-opt-in est plus étroite à Monaco que dans certains États membres UE. Les opérateurs s'appuyant sur la dérogation devraient documenter la chaîne explicitement : comment la relation client existante a été établie, quels « produits similaires » la prospection couvre, et comment le mécanisme de désabonnement a été présenté à chaque communication précédente.
- La prospection SMS et WhatsApp sont traitées comme prospection électronique par l'APDP, y compris pour les audiences B2B dans de nombreuses configurations. Les opérateurs lançant des campagnes SMS ou WhatsApp B2B vers Monaco ne devraient pas supposer que le régime B2B email plus souple s'étend à ces canaux.
Surcouches sectorielles — finance, santé, immobilier
Pour les opérateurs marketing servant des secteurs régulés à Monaco, la Loi 1.565 s'inscrit dans une pile de règles sectorielles. Les plus pertinentes opérationnellement pour le marketing sont :
- Finance et banque privée. La Loi 1.338 de 2008, le cadre LBA/FT, et le régime prudentiel supervisé par la CCAF restreignent ce qui peut être communiqué sur des produits spécifiques et à qui. L'équivalence MiFID II s'applique pour les communications des entreprises d'investissement : les supports marketing pour les produits et services d'investissement doivent satisfaire les exigences de suitability, de clarté, et de divulgation de marché cible que MiFID II impose.
- Santé et médecine esthétique. La publicité des actes médicaux est encadrée par les dispositions du Code de la santé publique applicables à Monaco. L'imagerie avant/après, les revendications comparatives, et la publicité tarifaire pour les actes médicaux portent des contraintes serrées.
- Immobilier. Le régime de la Loi 1.328 de 2007 régit les communications des agents immobiliers. La présentation des annonces, la divulgation des honoraires, et le libellé de la publicité de vente en l'état futur d'achèvement sont tous directement affectés.
Les opérateurs marketing planifiant des campagnes dans ces secteurs devraient traiter la surcouche sectorielle comme la couche dominante et la Loi 1.565 comme la fondation. La conformité à l'une sans l'autre ne produit pas une campagne conforme.
La question des dépôts APDP
La Loi 1.565 distingue les activités de traitement soumises à simple notification, les traitements soumis à autorisation préalable, et les traitements exemptés de déclaration. La classification dépend de la nature des données, des finalités, et de certaines caractéristiques opérationnelles (volume de personnes concernées, transferts transfrontaliers, prises de décision automatisées, profilage).
Scénarios marketing courants qui déclenchent typiquement les exigences d'autorisation préalable :
- Traitement de données personnelles pour profilage comportemental affectant l'accès à un service ou les conditions d'une offre
- Traitement impliquant l'évaluation systématique à grande échelle d'aspects personnels (modélisation lookalike à l'échelle, scoring prédictif sur populations sensibles)
- Combinaison de jeux de données de manière à révéler par inférence des catégories particulières (par exemple, fusion de préférences produit santé-adjacentes avec données de lieu de résidence)
- Transferts transfrontaliers vers un État absent de la liste de protection adéquate de l'APDP, où le consentement ou un mécanisme contractuel est invoqué
L'approche actuelle de l'APDP favorise l'engagement avant l'activation : déposer une demande d'autorisation est rarement instantané, et les opérateurs qui lancent des campagnes avant de finaliser le dépôt s'exposent à un risque d'application. La posture recommandée pour les équipes marketing est de cartographier l'empreinte de traitement de chaque campagne dès le cadrage, identifier les activités susceptibles de requérir une autorisation, et calibrer les dépôts dans le plan de lancement de campagne.
Une checklist de conformité pratique
Le cadre ci-dessous couvre les opérations marketing les plus susceptibles de rencontrer des questions Loi 1.565 dans les 90 premiers jours d'un engagement. Il n'est pas exhaustif, et chaque ligne devrait être validée par rapport aux faits spécifiques de votre programme.
- Cartographier vos flux de données. Pour chaque système marketing de votre stack, documentez les champs de données collectés, la base légale, le lieu de stockage, la chaîne de transfert transfrontalier, et la durée de conservation. Le résultat est un inventaire des flux de données — le document de redevabilité fondamental sous Loi 1.565.
- Auditer votre UX de consentement. Capturer le libellé exact, le versionner, journaliser les actes positifs et les retraits avec la même fidélité, et s'assurer que le chemin de retrait est présenté dans chaque communication ultérieure.
- Vérifier vos mécanismes de transfert. Pour chaque sous-traitant hors Monaco et hors liste adéquate, identifier le mécanisme contractuel en vigueur. Vérifier qu'il couvre les obligations Loi 1.565, pas seulement les équivalents RGPD ou HIPAA.
- Croiser vos dépôts APDP. Lister chaque activité de traitement. Pour chacune, identifier si elle requiert simple notification, autorisation préalable, ou aucun dépôt. Réconcilier avec les dépôts existants ; combler les écarts avant d'activer de nouvelles campagnes.
- Stratifier le régime sectoriel. Si vous opérez en finance, santé, immobilier, jeux, ou tout secteur régulé, identifier les règles marketing spécifiques au secteur et documenter comment chaque campagne les satisfait. L'audit marketing-ops devrait produire, pour chaque campagne, une matrice qui mappe les éléments de campagne aux exigences sectorielles.
- Établir la gestion des demandes d'exercice de droits. Un workflow documenté avec propriétaires, délais alignés sur la Loi 1.565, et logs d'audit. La même machinerie utilisée pour le RGPD fonctionne ici, mais le calendrier et le régulateur sont différents.
- Définir votre réponse aux violations. Qui détecte, qui décide, qui notifie l'APDP, dans quel délai, avec quel contenu. Tester le workflow en exercice avant d'en avoir besoin.
- Tout documenter. La Loi 1.565 est, comme le RGPD, un régime de redevabilité. Sans documentation contemporaine, l'absence de violation peut être difficile à démontrer.
Où ce guide s'arrête — et où commence le conseil juridique
Ce guide est un cadre marketing-opérationnel, pas une opinion juridique. L'application spécifique de la Loi 1.565 à votre activité dépend de faits qui varient au cas par cas : structure de votre groupe, localisations de vos personnes concernées, chaîne de sous-traitants, catégories de données, canaux marketing utilisés, et secteurs régulés impliqués.
Pour toute détermination contraignante — qu'un dépôt spécifique soit requis, qu'un mécanisme de transfert spécifique soit suffisant, comment cadrer une campagne particulière dans les contraintes sectorielles — l'engagement avec un avocat licencié à Monaco est le bon prochain pas. Le travail marketing-opérationnel décrit dans ce guide complète le conseil juridique ; il ne le remplace pas.
Comment Monaco Creative aborde cela
Monaco Creative est, à notre connaissance, le seul opérateur marketing à Monaco qui publie un audit à prix fixe spécifiquement cadré sur Loi 1.565 / APDP / MiFID II / règles publicitaires sectorielles. L'Audit de Conformité Marketing Monaco est un engagement de 30 jours à €5–15k (selon l'étendue) qui produit un audit écrit couvrant les sept domaines marketing-opérationnels les plus susceptibles de faire remonter des questions Loi 1.565, plus une recommandation explicite que toute certification de conformité contraignante passe par un conseil juridique.
L'audit n'est pas une opinion juridique. C'est une revue marketing-opérations qui vous donne la carte opérationnelle et les dépôts documentés pour entrer dans une revue juridique avec du matériel substantiel plutôt qu'une page blanche. Pour la plupart des équipes marketing opérant vers Monaco, c'est la manière la moins chère et la plus rapide de faire remonter les écarts avant qu'ils ne deviennent des événements d'application.
La méthodologie derrière l'audit est la même approche crawler-driven, public-data qui alimente notre Monaco Digital Benchmark — publié trimestriellement sous une licence CC BY 4.0 pour que le travail soit reproductible et citable.
Si vous opérez des programmes marketing vers Monaco et souhaitez une conversation de cadrage, l'appel de cadrage de 30 minutes est gratuit. La tarification de l'audit est fixée avant tout engagement. Le livrable atterrit dans les 30 jours du kickoff.
Dernière révision : 2026-05-08. La Loi 1.565 a été promulguée le 3 décembre 2024 et est entrée en vigueur progressivement courant 2025. Les orientations de l'APDP continuent d'évoluer ; consultez les publications APDP courantes et un avocat licencié à Monaco avant de vous appuyer sur ce guide pour toute détermination spécifique de conformité.
