rgpd-offshore-check

A small GDPR checklist for outsourcing customer-service or call-centre processing outside the EU/EEA, for example to Morocco, Tunisia or Madagascar. You describe your set-up in a JSON answers file; the tool compares it with a built-in checklist and prints a gap report. Python 3.9+, standard library only, no network access, no file written.

Not legal advice. Not a certification. This is a checklist to prepare discussions with your Data Protection Officer (DPO) or legal counsel. A report without blocking gap is not a finding of compliance: it only means that your declared answers show no blocking gap. The controller remains accountable for GDPR compliance wherever the data is processed (Art. 5(2), Art. 24).

English | Français

What it does

The checklist is tied to the official texts and cites article numbers:

The tool is fail-closed: only a clear JSON true satisfies a check. A missing, null, unknown or malformed answer (for example the string "true", or a number) is reported as to_verify, never as compliant. A blocking gap is a blocking item that is either declared absent (gap) or not demonstrated (to_verify).

Quick start

python3 rgpd_offshore_check.py examples/answers.json            # Markdown report (English)
python3 rgpd_offshore_check.py examples/answers.json --lang fr  # Rapport en français
python3 rgpd_offshore_check.py examples/answers.json --json     # machine-readable output
python3 rgpd_offshore_check.py examples/answers_minimal.json    # almost nothing answered
python3 -m unittest discover -s tests -v                        # run the tests

Run it once per destination country. Options: --json, --lang en|fr (default en), --help, --version.

Input format

A JSON object. Every key is optional; every missing key is reported as to_verify. Keys starting with _ are free comments and ignored. Unrecognised keys are ignored with a warning in the report (a typo never passes silently). Duplicate keys, NaN and a non-object file are rejected.

A short fictitious example (see examples/answers.json for the complete one):

{
  "label": "Fictitious retailer, support team in Morocco",
  "destination_country": "Morocco",
  "adequacy_decision": false,
  "safeguards": ["scc"],
  "tia_documented": false,
  "art28_contract": {
    "in_writing": true,
    "clauses": { "subprocessor_prior_authorisation": false }
  },
  "breach_notification_procedure": true
}

Output example

python3 rgpd_offshore_check.py examples/answers.json (excerpt):

## Summary

- Result: BLOCKING GAP(S) FOUND
- Blocking: 2 declared gap(s), 0 answer(s) to verify
- Recommended controls open: 2
- Informational items open: 1
- Counts: OK 22 | GAP 5 | TO VERIFY 0 | N/A 0

### Blocking items

- [GAP] `TRANSFER-TIA` Transfer impact assessment documented when relying on an Art. 46 tool (Schrems II)
- [GAP] `ART28-SUBPROCESSOR-PRIOR-AUTHORISATION` Contract clause: Prior specific or general written authorisation for engaging sub-processors

With --json the output has a stable schema (schema_version: 1): tool, version, schema_version, lang, disclaimer, input, summary (result, exit_code, blocking_total, blocking_gaps, blocking_to_verify, recommended_open, informational_open, counts), findings (each with id, category, articles, severity, status, reason, title, detail, action), warnings, notes, sources. Finding order is fixed and identical between runs. status is one of ok, gap, to_verify, not_applicable; reason is a language-independent code.

Exit codes

Limits

• The tool only reads what you declare. It does not inspect contracts, systems or sites, and a true is not verified.
• It does not assess the law or surveillance practices of the destination country. The transfer impact assessment must be done by people; the tool only records whether one is documented.
• It ships no list of adequacy decisions, on purpose: lists change. Check the Commission's current list and the scope of the decision.
• It covers outsourcing abroad only. It does not cover a data protection impact assessment (Art. 35), records of processing (Art. 30), information notices (Art. 13-14), joint controllership (Art. 26), telephone or e-mail marketing rules, call recording, employment or sector-specific rules, or the national law of the destination country.
• The Art. 28 checklist follows the text of Art. 28(2)-(4) and (9). Your supervisory authority or counsel may expect more.
• A recommended or informational item never changes the exit code. ISO/IEC 27001 is evidence about information-security management, not proof of GDPR compliance.
• Statements about EDPB documents (Guidelines 2/2018 on Art. 49, Recommendations 01/2020 on supplementary measures) are pointers; read the originals.

Official sources

• GDPR, Regulation (EU) 2016/679: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Standard Contractual Clauses, Commission Implementing Decision (EU) 2021/914: https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj
• CJEU, Case C-311/18 (Schrems II): https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:62018CJ0311 (also on https://curia.europa.eu/)

Related article (English): https://altavista360.com/en/blog/gdpr-offshore-outsourcing-guide/

Français

Avertissement

Ceci n'est pas un avis juridique ni une certification. C'est une checklist pour préparer les échanges avec votre délégué à la protection des données (DPO) ou votre conseil juridique. Un rapport sans écart bloquant n'est pas un constat de conformité : il signifie seulement que vos réponses déclarées ne montrent aucun écart bloquant. Le responsable du traitement reste responsable du respect du RGPD où que les données soient traitées (art. 5, par. 2, et art. 24).

Ce que fait l'outil

Petite checklist RGPD pour l'externalisation d'un service client ou d'un centre d'appels hors UE/EEE, par exemple au Maroc, en Tunisie ou à Madagascar. Vous décrivez votre montage dans un fichier de réponses JSON ; l'outil le compare à une checklist intégrée et affiche un rapport d'écarts. Python 3.9+, bibliothèque standard uniquement, aucun accès réseau, aucun fichier écrit.

La checklist s'appuie sur les textes officiels et cite les articles :

L'outil est fail-closed (échec par défaut) : seul un true JSON explicite satisfait un contrôle. Une réponse absente, null, inconnue ou mal formée (par exemple la chaîne "true" ou un nombre) est signalée to_verify (à vérifier), jamais comme conforme. Un écart bloquant est un point bloquant déclaré absent (gap) ou non démontré (to_verify).

Démarrage rapide

python3 rgpd_offshore_check.py examples/answers.json --lang fr  # rapport Markdown en français
python3 rgpd_offshore_check.py examples/answers.json --json     # sortie lisible par machine
python3 rgpd_offshore_check.py examples/answers_minimal.json    # presque rien de renseigné
python3 -m unittest discover -s tests -v                        # lancer les tests

Lancez l'outil une fois par pays de destination. Options : --json, --lang en|fr (défaut en), --help, --version.

Format d'entrée

Un objet JSON. Toutes les clés sont facultatives ; une clé absente est signalée to_verify. Les clés commençant par _ sont des commentaires libres, ignorés. Les clés non reconnues sont ignorées avec un avertissement dans le rapport (une faute de frappe ne passe jamais en silence). Les clés dupliquées, NaN et un fichier dont la racine n'est pas un objet sont rejetés.

Exemple fictif court (le complet : examples/answers.json) :

{
  "label": "Détaillant fictif, équipe support au Maroc",
  "destination_country": "Maroc",
  "adequacy_decision": false,
  "safeguards": ["scc"],
  "tia_documented": false,
  "art28_contract": {
    "in_writing": true,
    "clauses": { "subprocessor_prior_authorisation": false }
  },
  "breach_notification_procedure": true
}

Exemple de sortie

python3 rgpd_offshore_check.py examples/answers.json --lang fr (extrait) :

## Synthèse

- Résultat : ÉCART(S) BLOQUANT(S) TROUVÉ(S)
- Bloquants : 2 écart(s) déclaré(s), 0 réponse(s) à vérifier
- Mesures recommandées ouvertes : 2
- Éléments informatifs ouverts : 1
- Décompte : OK 22 | ÉCART 5 | À VÉRIFIER 0 | N/A 0

### Éléments bloquants

- [ÉCART] `TRANSFER-TIA` Évaluation de l'impact du transfert documentée lorsqu'un outil de l'article 46 est utilisé (Schrems II)
- [ÉCART] `ART28-SUBPROCESSOR-PRIOR-AUTHORISATION` Clause du contrat : Autorisation écrite préalable, spécifique ou générale, pour le recours à des sous-traitants ultérieurs

Avec --json, le schéma est stable (schema_version: 1) ; les identifiants, statuts et codes reason ne dépendent pas de la langue.

Codes de sortie

Limites

• L'outil ne lit que ce que vous déclarez. Il n'inspecte ni les contrats, ni les systèmes, ni les sites, et un true n'est pas vérifié.
• Il n'évalue ni le droit ni les pratiques de surveillance du pays de destination. L'évaluation de l'impact du transfert doit être faite par des personnes ; l'outil enregistre seulement si elle est documentée.
• Il n'embarque aucune liste de décisions d'adéquation, volontairement : les listes évoluent. Consultez la liste à jour de la Commission et le champ de la décision.
• Il ne couvre que l'externalisation à l'étranger. Il ne couvre pas l'analyse d'impact relative à la protection des données (art. 35), le registre des traitements (art. 30), l'information des personnes (art. 13 et 14), la responsabilité conjointe (art. 26), les règles de prospection téléphonique ou par courriel, l'enregistrement des appels, les règles sociales ou sectorielles, ni le droit national du pays de destination.
• La checklist de l'art. 28 suit le texte de l'art. 28, par. 2 à 4 et 9. Votre autorité de contrôle ou votre conseil peuvent attendre davantage.
• Un point recommandé ou informatif ne modifie jamais le code de sortie. L'ISO/IEC 27001 est un élément de preuve sur le management de la sécurité de l'information, pas une preuve de conformité au RGPD.
• Les mentions de documents du CEPD (lignes directrices 2/2018 sur l'art. 49, recommandations 01/2020 sur les mesures supplémentaires) sont des repères ; lisez les originaux.

Sources officielles

• RGPD, règlement (UE) 2016/679 : https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Clauses contractuelles types, décision d'exécution (UE) 2021/914 de la Commission : https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj
• CJUE, affaire C-311/18 (Schrems II) : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:62018CJ0311 (aussi sur https://curia.europa.eu/)

Article associé (français) : https://altavista360.com/blog/rgpd-externalisation-offshore/

Created by ALTA VISTA360, S.L.U. (kanibal-studio).

• Altavista360
• Altavista Conseil
• Kanibal Studio

Licensed under the MIT License.