Transferts de données hors de l’Union : adéquation, Data Privacy Framework et clauses types

Une organisation française qui utilise un service en ligne hébergé aux États-Unis, ou dont le support technique est assuré depuis un pays tiers, réalise un transfert de données personnelles hors de l’Union européenne. Le RGPD ne l’interdit pas, mais il l’encadre strictement : chaque transfert doit reposer sur une garantie prévue au chapitre V (articles 44 à 49), et figurer au registre.

Qu’est-ce qu’un transfert ?

Il y a transfert lorsque des données personnelles soumises au RGPD sont communiquées à un destinataire situé dans un pays tiers (hors de l’Espace économique européen) ou à une organisation internationale, ou rendues accessibles depuis ce pays. Un accès à distance par le support d’un prestataire situé hors de l’Union est donc un transfert, même si les serveurs sont en Europe.

L’Espace économique européen comprend les 27 États membres de l’Union, ainsi que l’Islande, le Liechtenstein et la Norvège.

Les garanties possibles, dans l’ordre

1. Une décision d’adéquation (article 45)

La Commission européenne peut reconnaître qu’un pays assure un niveau de protection adéquat. Les données peuvent alors y circuler comme au sein de l’Union, sans autre formalité. Des décisions d’adéquation couvrent notamment le Royaume-Uni, la Suisse, le Japon, la Corée du Sud, le Canada (pour les organisations soumises à sa loi fédérale sur la protection des données dans le secteur privé), Israël ou la Nouvelle-Zélande. La liste est publiée et tenue à jour par la Commission.

2. Le cadre UE–États-Unis (Data Privacy Framework)

Le 10 juillet 2023, la Commission a adopté une décision d’adéquation pour le cadre de protection des données UE–États-Unis. Elle ne couvre pas tout le pays : seulement les entreprises américaines qui ont adhéré au cadre et figurent sur la liste tenue par le département du Commerce des États-Unis. Pour un prestataire américain, il faut donc vérifier son adhésion, et le périmètre de celle-ci, sur le site officiel du Data Privacy Framework.

Ce cadre succède au « Privacy Shield », invalidé par la Cour de justice de l’Union européenne le 16 juillet 2020 (arrêt « Schrems II », affaire C-311/18). Le Tribunal de l’Union européenne a rejeté, le 3 septembre 2025, le recours en annulation formé contre cette décision (affaire T-553/23, Latombe c. Commission) : le cadre reste donc en vigueur. Un pourvoi contre cet arrêt a été formé devant la Cour de justice (affaire C-703/25 P) ; il est pendant à la date de rédaction de cet article. Le cadre fait aussi l’objet d’un réexamen périodique par la Commission ; un changement de situation doit conduire à revoir les transferts concernés.

3. Des garanties appropriées (article 46)

À défaut d’adéquation, le transfert peut reposer sur :

• les clauses contractuelles types adoptées par la Commission (décision d’exécution (UE) 2021/914 du 4 juin 2021), intégrées au contrat avec le destinataire ;
• des règles d’entreprise contraignantes, approuvées par une autorité de protection des données, pour les transferts au sein d’un groupe ;
• un code de conduite ou un mécanisme de certification approuvés, assortis d’engagements contraignants.

Depuis l’arrêt « Schrems II », l’exportateur doit aussi évaluer le droit et les pratiques du pays de destination (analyse d’impact des transferts) et, si nécessaire, ajouter des mesures supplémentaires : chiffrement dont l’exportateur garde la clé, pseudonymisation, minimisation des données transférées.

4. Les dérogations (article 49)

En l’absence de toute garantie, quelques dérogations permettent un transfert : consentement explicite de la personne informée des risques, exécution d’un contrat conclu avec elle (une réservation d’hôtel à l’étranger, par exemple), motifs importants d’intérêt public, constatation ou défense d’un droit en justice. Elles s’interprètent strictement et ne conviennent pas à des transferts réguliers et massifs, comme l’utilisation quotidienne d’un logiciel.

Méthode : recenser et documenter vos transferts

1. Listez vos outils et prestataires : messagerie, suite bureautique en ligne, CRM, logiciel de paie, signature électronique, visioconférence, envoi d’e-mails, support informatique.
2. Identifiez, pour chacun, où les données sont hébergées et d’où elles sont accessibles : la documentation du prestataire et son accord de traitement des données l’indiquent, avec la liste de ses propres sous-traitants.
3. Déterminez la garantie : pays adéquat, adhésion au Data Privacy Framework, clauses contractuelles types.
4. Documentez au registre : pays destinataire, garantie retenue, et pour les clauses types, la date de l’évaluation du droit du pays et les mesures supplémentaires.
5. Informez les personnes : la politique de confidentialité mentionne les transferts et les garanties (articles 13 et 14).
6. Réexaminez à chaque changement de prestataire ou d’évolution du cadre juridique.

Les points d’attention

• Un prestataire européen peut lui-même recourir à des sous-traitants situés hors de l’Union : vérifiez la liste de ses sous-traitants ultérieurs.
• L’adhésion d’une entreprise américaine au Data Privacy Framework peut ne couvrir que certaines données (données de ressources humaines ou non) : vérifiez son périmètre.
• Choisir un hébergement dans l’Union et un prestataire européen reste la manière la plus simple de limiter les transferts.

Sources

• Règlement (UE) 2016/679 (RGPD), articles 44 à 49, EUR-Lex.
• Décision d’exécution (UE) 2023/1795 du 10 juillet 2023 relative au niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE–États-Unis.
• Décision d’exécution (UE) 2021/914 du 4 juin 2021 relative aux clauses contractuelles types.
• Cour de justice de l’Union européenne, 16 juillet 2020, Data Protection Commissioner c. Facebook Ireland et Schrems, C-311/18.
• Tribunal de l’Union européenne, 3 septembre 2025, Latombe c. Commission, T-553/23 ; pourvoi pendant devant la Cour de justice, C-703/25 P.
• CNIL, « Transférer des données hors de l’UE », cnil.fr.