Les transferts de données au titre du RGPD en France nécessitent un mécanisme juridique approprié, une évaluation des risques et des garanties adaptées. Découvrez comment les décisions d’adéquation, les CCT, Schrems II, les TIA, les orientations de la CNIL, les services cloud et les sous-traitants influencent la conformité des transferts internationaux
Les organisations en France transfèrent régulièrement des données à caractère personnel au-delà des frontières par l’intermédiaire de services cloud, de systèmes RH internationaux, de plateformes SaaS, de bases de données clients, d’outils d’analyse et d’infrastructures de groupe. Ces transferts sont souvent sous-estimés, car les données peuvent sembler rester hébergées en Europe tout en étant accessibles, administrées, assistées techniquement ou autrement traitées depuis un autre pays.
La gestion des transferts de données au titre du RGPD en France exige que les organisations identifient les transferts en dehors de l’EEE, déterminent le mécanisme juridique approprié et évaluent si les données à caractère personnel bénéficieront d’un niveau de protection essentiellement équivalent.
Le chapitre V du RGPD constitue le cadre de référence. Selon le pays de destination et les circonstances du transfert, les organisations peuvent devoir examiner les décisions d’adéquation, les clauses contractuelles types (CCT), les exigences découlant de l’arrêt Schrems II, les évaluations d’impact relatives aux transferts, les mesures supplémentaires, les mécanismes applicables aux transferts vers les États-Unis ainsi que les relations avec les sous-traitants et sous-traitants ultérieurs.
Les attentes de la CNIL, la tenue d’une documentation précise et la surveillance continue sont également essentielles à une conformité efficace.
Les transferts internationaux ne sont pas automatiquement interdits par le RGPD. Ils sont autorisés lorsque les conditions applicables au transfert sont respectées et que l’organisation est en mesure de démontrer la mise en place de garanties appropriées ainsi que le respect de ses obligations de responsabilité.
Une problématique de transfert international peut se poser lorsque des données à caractère personnel protégées par le Règlement général sur la protection des données, règlement (UE) 2016/679 sont mises à la disposition d’un responsable du traitement ou d’un sous-traitant distinct établi dans un pays tiers ou auprès d’une organisation internationale.
L’analyse ne doit pas se limiter à l’emplacement physique du serveur. Un transfert peut également résulter d’un accès à distance ou d’un traitement ultérieur. Cela peut notamment concerner l’accès à un système européen par une équipe de support située hors de l’EEE, le partage de dossiers de salariés avec une société mère établie à l’étranger, le recours à un fournisseur SaaS situé hors de l’EEE, l’intervention d’un sous-traitant international ou encore l’accès aux données par un sous-traitant ultérieur établi dans un pays tiers.
Le chapitre V du RGPD, et en particulier ses articles 44 à 49, encadre les transferts effectués en dehors de l’Espace économique européen, et non simplement ceux réalisés en dehors de la France.
Un transfert de la France vers l’Allemagne ou l’Espagne ne relève donc pas de la même situation qu’un transfert de la France vers les États-Unis, l’Inde ou un autre pays tiers.
Un fournisseur peut héberger des données en France tout en permettant à des équipes de support situées hors de l’EEE d’y accéder, en traitant certains journaux à l’échelle mondiale, en répliquant des sauvegardes à l’étranger ou en accordant un accès à des sous-traitants ultérieurs établis hors de l’EEE.
Les organisations doivent donc cartographier les flux de données réels, les lieux depuis lesquels les accès sont effectués et les relations de traitement, plutôt que de se fier uniquement à des arguments commerciaux tels que « hébergement dans l’UE ».
Le RGPD ne repose pas sur un mécanisme unique pour transférer des données à caractère personnel en dehors de l’EEE. Le chapitre V prévoit au contraire plusieurs voies juridiques selon le pays de destination, la relation entre les parties et les circonstances du transfert.
Les principaux mécanismes comprennent les décisions d’adéquation prévues à l’article 45, les garanties appropriées prévues à l’article 46, les règles d’entreprise contraignantes pour certains transferts intragroupe ainsi que les dérogations limitées prévues à l’article 49. La Commission européenne présente une vue d’ensemble officielle de ces règles applicables aux transferts internationaux de données.
Les organisations doivent d’abord déterminer si le pays de destination bénéficie d’une décision d’adéquation en vigueur.
Lorsqu’aucune décision d’adéquation ne s’applique, l’étape suivante consiste à évaluer si une garantie prévue à l’article 46 peut être utilisée, par exemple les clauses contractuelles types ou les règles d’entreprise contraignantes.
Les dérogations de l’article 49 doivent généralement être considérées comme des mécanismes exceptionnels destinés à des situations particulières, et non comme le fondement par défaut de transferts professionnels réguliers ou répétitifs.
L’existence d’un mécanisme de transfert valide ne rend pas automatiquement l’ensemble du traitement conforme au RGPD.
Les organisations doivent également respecter les exigences générales du RGPD relatives à la licéité, à la transparence, à la limitation des finalités, à la minimisation des données, à la sécurité, à la gouvernance des sous-traitants et au principe de responsabilité.
Par exemple, la signature de clauses contractuelles types ne rend pas conforme un traitement excessif, insuffisamment sécurisé ou autrement illicite. Le mécanisme de transfert répond à la problématique du transfert international, tandis que le traitement sous-jacent doit, de manière indépendante, respecter l’ensemble des autres exigences du RGPD.
En vertu de l’article 45 du RGPD, la Commission européenne peut constater qu’un pays tiers, un territoire, un secteur déterminé ou une organisation internationale assure un niveau de protection adéquat des données à caractère personnel.
Lorsqu’une décision d’adéquation en vigueur s’applique, les données à caractère personnel peuvent généralement être transférées vers la destination couverte sans recourir à un mécanisme distinct prévu à l’article 46, tel que les clauses contractuelles types ou les règles d’entreprise contraignantes. La Commission européenne tient à jour la liste des décisions d’adéquation.
Une décision d’adéquation ne supprime pas les autres responsabilités de l’organisation au titre du RGPD.
Le responsable du traitement doit toujours vérifier que le traitement sous-jacent est licite, que le destinataire relève effectivement du champ d’application de la décision d’adéquation, que les dispositions appropriées applicables aux sous-traitants sont en place et que les données à caractère personnel transférées sont nécessaires à la finalité déclarée.
L’adéquation répond à la question du mécanisme de transfert international. Elle ne fait pas disparaître les autres exigences du RGPD.
Les décisions d’adéquation ne doivent pas être considérées comme des acquis permanents. Elles peuvent faire l’objet d’un réexamen, d’un renouvellement, d’une modification ou être affectées par des évolutions juridiques et réglementaires.
Les organisations doivent donc tenir à jour un registre des destinations et des destinataires couverts, et vérifier périodiquement que le fondement juridique du transfert reste valable.
Cette vigilance est particulièrement importante pour les transferts récurrents et les relations de long terme avec des fournisseurs, car une classification obsolète d’un pays comme « adéquat » pourrait conduire l’organisation à s’appuyer sur une évaluation de transfert qui n’est plus valable.
Renforcez votre expertise pratique en RGPD et protection des données
Développez vos connaissances en gouvernance RGPD, responsabilités du DPO, gestion des risques liés aux données personnelles et supervision de la conformité. Acquérez des compétences pratiques pour soutenir des décisions plus solides en matière de protection des données.
Découvrir la formation DPO →Schrems II reste l’un des arrêts les plus importants en matière de transferts internationaux de données au titre du RGPD. Le 16 juillet 2020, la Cour de justice de l’Union européenne a rendu sa décision dans l’affaire C-311/18, Data Protection Commissioner contre Facebook Ireland et Maximillian Schrems.
Cet arrêt a eu deux conséquences majeures. Premièrement, il a invalidé l’ancienne décision d’adéquation relative au bouclier de protection des données UE-États-Unis. Deuxièmement, il a confirmé que les clauses contractuelles types peuvent rester un mécanisme de transfert valable, mais que les organisations ne peuvent pas s’y fier de manière automatique.
Les exportateurs de données doivent évaluer si les lois et les pratiques du pays de destination permettent aux garanties prévues par les clauses contractuelles types d’assurer, en pratique, un niveau de protection essentiellement équivalent. Lorsque ces garanties sont insuffisantes, des mesures supplémentaires peuvent être nécessaires.
L’arrêt Schrems II n’a pas instauré d’interdiction générale des transferts vers les États-Unis ou vers d’autres pays tiers.
Il impose plutôt aux organisations qui utilisent des mécanismes tels que les clauses contractuelles types d’examiner le contexte spécifique du transfert et de déterminer si la législation du pays tiers ou les pratiques d’accès des autorités publiques sont susceptibles de compromettre les protections contractuelles sur lesquelles elles s’appuient.
L’arrêt demeure central pour les évaluations d’impact relatives aux transferts, les mesures supplémentaires, la mise en œuvre des clauses contractuelles types, les diligences à l’égard des fournisseurs et l’évaluation des risques liés à l’accès des autorités publiques.
Le cadre de protection des données UE-États-Unis adopté ultérieurement a modifié le fondement juridique disponible pour certains transferts vers les États-Unis, mais il n’a pas rendu Schrems II sans objet. Les organisations qui s’appuient sur les garanties prévues à l’article 46 doivent toujours évaluer si le mécanisme de transfert choisi assure une protection effective compte tenu des circonstances du transfert.
Les clauses contractuelles types, ou CCT, sont des clauses contractuelles adoptées par la Commission européenne qui peuvent constituer des garanties appropriées au titre de l’article 46 du RGPD pour certains transferts de données à caractère personnel vers des destinataires situés en dehors de l’EEE.
La Commission a adopté les CCT modernisées actuellement en vigueur en juin 2021. Ces clauses sont conçues pour couvrir différentes relations de transfert et intègrent les exigences découlant du RGPD ainsi que de l’arrêt Schrems II. Le cadre officiel est disponible sur la page de la Commission européenne consacrée aux clauses contractuelles types pour les transferts internationaux.
Les CCT modernes reposent sur différents modules en fonction des rôles respectifs de l’exportateur et de l’importateur au titre du RGPD.
|
Relation de transfert |
Module des CCT |
|
Responsable du traitement vers responsable du traitement |
Module 1 |
|
Responsable du traitement vers sous-traitant |
Module 2 |
|
Sous-traitant vers sous-traitant |
Module 3 |
|
Sous-traitant vers responsable du traitement |
Module 4 |
Les organisations doivent sélectionner le module approprié en fonction des rôles réellement exercés par les parties au titre du RGPD, et non se fier uniquement aux qualifications figurant dans le contrat.
Les CCT doivent être complétées avec soin. Les informations pertinentes comprennent notamment l’identité des parties, la description du transfert, les catégories de données à caractère personnel, les personnes concernées, les finalités du traitement, les modalités de conservation, les mesures de sécurité, l’autorité de contrôle compétente et, le cas échéant, les informations relatives aux sous-traitants ultérieurs.
Des annexes incomplètes ou trop génériques peuvent affaiblir la capacité de l’organisation à démontrer que le transfert a fait l’objet d’une évaluation appropriée.
Non. La signature de CCT ne rend pas automatiquement tout transfert international conforme au RGPD.
Les organisations doivent toujours évaluer le contexte du transfert, notamment les lois et pratiques pertinentes du pays tiers concerné. Lorsque les CCT ne permettent pas, à elles seules, d’assurer une protection suffisante, des garanties supplémentaires de nature technique, contractuelle ou organisationnelle peuvent être nécessaires.
Une évaluation d’impact relative aux transferts, ou TIA, permet d’évaluer si des données à caractère personnel transférées en dehors de l’EEE au moyen d’un mécanisme prévu à l’article 46 bénéficieront d’un niveau de protection essentiellement équivalent à celui garanti par le droit de l’Union européenne.
La CNIL a publié la version définitive de son guide pratique sur les TIA le 9 juillet 2025. Les orientations de la CNIL proposent une méthodologie permettant d’évaluer le transfert, les lois et pratiques du pays de destination ainsi que la nécessité éventuelle de mettre en place des mesures supplémentaires.
Selon la CNIL, un exportateur soumis au RGPD, qu’il agisse en tant que responsable du traitement ou sous-traitant, doit réaliser une TIA avant de transférer des données à caractère personnel en dehors de l’EEE lorsque le transfert repose sur un outil prévu à l’article 46, tel que les CCT ou les règles d’entreprise contraignantes. L’importateur doit contribuer à cette évaluation.
Les principales exceptions concernent les transferts couverts par une décision d’adéquation en vigueur et ceux reposant sur une dérogation applicable prévue à l’article 49. Le guide de la CNIL sur l’évaluation d’impact relative aux transferts présente ce cadre officiel.
Le processus commence par une description du transfert et l’identification du mécanisme juridique utilisé. L’exportateur doit ensuite examiner les lois et pratiques du pays de destination susceptibles d’affecter l’efficacité des garanties prévues, notamment en ce qui concerne un éventuel accès des autorités publiques aux données.
Il convient ensuite d’évaluer si des mesures supplémentaires de nature technique, contractuelle ou organisationnelle sont nécessaires. La décision doit être documentée et réévaluée périodiquement lorsque les lois, les pratiques ou les circonstances du transfert évoluent.
Les exportateurs ont souvent besoin d’obtenir de leurs fournisseurs ou d’autres entités du groupe des informations concernant les demandes d’accès émanant d’autorités publiques, l’architecture technique, la localisation des données, le chiffrement, les pratiques de transparence et les politiques internes.
Des déclarations non étayées telles que « nous sommes conformes au RGPD » ne suffisent pas. L’évaluation doit reposer sur des éléments probants permettant d’étayer la conclusion documentée de l’exportateur.
Des mesures supplémentaires peuvent être nécessaires lorsque le mécanisme de transfert utilisé au titre de l’article 46 ne permet pas, à lui seul, d’assurer une protection suffisante dans les circonstances spécifiques d’un transfert international.
À la suite de l’arrêt Schrems II, les organisations doivent évaluer si des garanties techniques, contractuelles ou organisationnelles supplémentaires peuvent permettre d’atteindre un niveau de protection essentiellement équivalent. Les Recommandations 01/2020 de l’EDPB relatives aux mesures supplémentaires proposent une méthodologie structurée pour mener cette évaluation.
Les garanties techniques peuvent notamment inclure un chiffrement robuste, un contrôle effectif des clés de chiffrement, la pseudonymisation, la minimisation des données et le traitement réparti.
Le chiffrement est particulièrement utile lorsque la menace identifiée ne peut pas, en pratique, le contourner. Par exemple, la protection peut être affaiblie si l’importateur de données ou les autorités du pays de destination peuvent obtenir à la fois les données chiffrées et les clés nécessaires à leur déchiffrement.
Des mesures supplémentaires peuvent inclure des engagements de notification en cas de demande d’accès par des autorités publiques, des obligations de transparence, des procédures permettant de contester les demandes de divulgation, des restrictions internes d’accès et des politiques de sécurité documentées.
Toutefois, des engagements contractuels ne peuvent pas, à eux seuls, neutraliser une législation contraire d’un pays tiers. Ils doivent compléter, et non remplacer, des protections techniques et organisationnelles effectives.
Si l’organisation ne peut pas démontrer l’existence d’une protection effective après avoir évalué le transfert et les garanties disponibles, elle peut devoir suspendre le transfert, restructurer le traitement, changer de fournisseur ou adopter une architecture technique différente.
L’objectif n’est pas d’accumuler les garanties, mais de démontrer que les mesures mises en place répondent effectivement au risque identifié pour le transfert.
La Commission européenne a adopté, le 10 juillet 2023, la décision d’adéquation relative au cadre de protection des données UE-États-Unis. Lorsqu’un destinataire établi aux États-Unis participe à ce cadre et relève effectivement de son champ d’application, les données à caractère personnel peuvent être transférées depuis l’EEE sur le fondement de cette décision d’adéquation, sans qu’il soit nécessaire de recourir aux CCT pour le transfert concerné.
Les organisations ne doivent pas supposer que toutes les entreprises américaines sont automatiquement couvertes. Avant de s’appuyer sur ce cadre, elles doivent vérifier que le destinataire est un participant actif et confirmer que le type de données concerné ainsi que l’activité de traitement relèvent bien du périmètre de sa certification. La liste officielle du Data Privacy Framework distingue les participants actifs et inactifs et fournit des informations sur leur certification.
D’autres mécanismes de transfert prévus par le RGPD peuvent rester disponibles. Par exemple, les organisations peuvent recourir aux CCT lorsque les conditions juridiques applicables sont remplies. Dans ce cas, l’exportateur doit réaliser l’évaluation du transfert requise et envisager, si nécessaire, des garanties supplémentaires, plutôt que de considérer le Data Privacy Framework comme une solution générale applicable à tous les transferts vers les États-Unis.
Les dispositifs encadrant les transferts vers les États-Unis doivent faire l’objet d’une surveillance dans le temps. Les évolutions pertinentes peuvent notamment concerner le statut de certification du destinataire, le mécanisme de transfert utilisé, les évolutions réglementaires ainsi que les décisions juridictionnelles importantes susceptibles d’affecter le cadre applicable.
Le cadre officiel de la Commission européenne relatif aux transferts de données entre l’UE et les États-Unis doit être utilisé comme source de référence principale pour vérifier la situation juridique en vigueur. La Commission procède également à des réexamens périodiques du fonctionnement de ce cadre.
Les règles d’entreprise contraignantes, ou BCR, constituent un mécanisme de transfert prévu à l’article 46 du RGPD, principalement destiné aux transferts internationaux de données à caractère personnel au sein de groupes multinationaux ou de groupes d’entreprises exerçant une activité économique conjointe.
Elles peuvent être particulièrement utiles lorsque des données à caractère personnel circulent régulièrement entre des entités affiliées situées dans plusieurs juridictions. Plutôt que d’encadrer chaque transfert intragroupe récurrent au moyen d’accords contractuels distincts, les BCR établissent un cadre de gouvernance plus large définissant la manière dont les données à caractère personnel doivent être protégées dans l’ensemble du groupe.
Les clauses contractuelles types sont des outils contractuels utilisés pour encadrer des relations de transfert spécifiques entre exportateurs et importateurs de données.
Les BCR fonctionnent différemment. Elles établissent des règles applicables à l’ensemble du groupe pour encadrer les transferts internationaux de données et doivent être approuvées dans le cadre de la procédure applicable auprès de l’autorité de contrôle compétente avant de pouvoir être utilisées comme mécanisme de transfert.
La mise en œuvre de BCR nécessite un niveau important de gouvernance, de documentation, de coordination et d’examen réglementaire. Elle mobilise donc généralement davantage de ressources que le recours aux CCT.
Pour les grands groupes multinationaux qui réalisent fréquemment des transferts internes, cet investissement peut être justifié. En revanche, pour une organisation qui n’effectue que des transferts internationaux occasionnels, les CCT ou un autre mécanisme approprié seront généralement plus pratiques.
L’article 49 du RGPD prévoit un nombre limité de dérogations pouvant autoriser certains transferts internationaux de données dans des circonstances spécifiques lorsqu’aucune décision d’adéquation ni garantie prévue à l’article 46 n’est disponible.
Selon la situation, ces dérogations peuvent notamment concerner le consentement explicite de la personne concernée, la nécessité du transfert pour l’exécution ou la conclusion de certains contrats, des motifs importants d’intérêt public, la constatation, l’exercice ou la défense de droits en justice, la protection des intérêts vitaux ainsi que certains transferts effectués à partir de registres publics.
Ces dérogations sont soumises à des conditions juridiques précises et doivent être utilisées avec prudence.
Les dérogations prévues à l’article 49 n’ont pas vocation à remplacer les décisions d’adéquation, les CCT, les règles d’entreprise contraignantes ou les autres garanties prévues à l’article 46 pour des transferts professionnels habituels, systématiques ou répétitifs.
Par exemple, une organisation ne doit pas se fonder sur le consentement d’un salarié comme solution de facilité pour encadrer un transfert RH mondial récurrent sans avoir d’abord vérifié que ce consentement est réellement explicite, éclairé et librement donné, et que les conditions pertinentes de l’article 49 sont remplies.
En pratique, les organisations doivent documenter les raisons pour lesquelles une dérogation s’applique, limiter son utilisation aux circonstances spécifiques autorisées par le RGPD et éviter de considérer l’article 49 comme une alternative générale aux mécanismes structurés de transfert international.
Les sous-traitants peuvent fréquemment créer des risques de transfert international par l’intermédiaire des sous-traitants ultérieurs auxquels ils font appel pour fournir leurs services. Les situations courantes concernent notamment l’hébergement cloud, le support technique, les services d’analyse, la surveillance de la sécurité, le service client et l’infrastructure logicielle.
Pour les organisations françaises, cela signifie que l’analyse des transferts ne doit pas se limiter au fournisseur principal. Un sous-traitant peut être établi dans l’EEE tout en faisant appel à des sous-traitants ultérieurs ou à des équipes de support situés dans d’autres pays.
Les organisations doivent savoir où le sous-traitant est établi, quels sous-traitants ultérieurs interviennent, depuis quels pays les données à caractère personnel peuvent être consultées, quel mécanisme de transfert s’applique à chaque transfert pertinent et comment les modifications apportées à la chaîne de traitement sont communiquées.
Cette analyse est particulièrement importante lorsque plusieurs fournisseurs interviennent dans la fourniture d’un même service.
Un accord de traitement des données conforme à l’article 28 ne dispense pas de respecter le chapitre V du RGPD lorsque des données à caractère personnel sont transférées en dehors de l’EEE.
De même, la mise en place de CCT ne remplace pas les exigences contractuelles applicables aux sous-traitants en matière d’instructions de traitement, de confidentialité, de sécurité et de recours à des sous-traitants ultérieurs. Ces deux ensembles d’obligations doivent être respectés.
Les organisations doivent mettre en place un processus de revue pour les nouveaux pays, les nouveaux fournisseurs, les changements de mécanismes de transfert et les modifications significatives des traitements.
Cette vigilance est particulièrement importante pour les fournisseurs cloud et SaaS, dont les listes de sous-traitants ultérieurs peuvent évoluer dans le temps et faire apparaître de nouveaux risques de transfert qui n’existaient pas lors de l’évaluation initiale.
L’architecture cloud peut rendre les transferts internationaux de données difficiles à identifier, car les données à caractère personnel peuvent circuler à travers plusieurs couches techniques et opérationnelles, même lorsque l’emplacement principal d’hébergement se situe en Europe.
Les organisations doivent examiner bien plus que le centre de données principal. Les points de transfert pertinents peuvent notamment inclure les environnements de reprise après sinistre, les sauvegardes, les sites de support technique, les opérations de sécurité, les sous-traitants ultérieurs, les services de télémétrie et les accès administratifs.
Un service cloud hébergé dans l’Union européenne peut néanmoins impliquer un transfert international lorsque des données à caractère personnel sont mises à la disposition d’un destinataire distinct situé en dehors de l’EEE.
Par exemple, un fournisseur peut stocker les données de production en France tout en autorisant des équipes de support situées hors de l’EEE à accéder à l’environnement, en traitant des journaux via une plateforme de sécurité mondiale ou en faisant appel à des sous-traitants ultérieurs établis à l’étranger.
L’évaluation doit donc suivre les flux de données réels et le modèle d’accès effectivement mis en œuvre, plutôt que de se fonder uniquement sur un engagement de « résidence des données dans l’UE ».
Avant d’intégrer un fournisseur cloud, les organisations doivent déterminer où les données sont stockées, où se trouvent les équipes de support, quels sous-traitants ultérieurs interviennent et quels mécanismes de transfert s’appliquent.
Les équipes chargées des achats et de la protection des données doivent également vérifier si des CCT sont disponibles lorsque cela est nécessaire, comment le fournisseur contribue aux évaluations d’impact relatives aux transferts, quelles informations il fournit concernant les demandes d’accès émanant d’autorités publiques et comment les changements de sous-traitants ultérieurs ou de localisation des données sont communiqués.
L’intégration de ces questions dans le processus d’entrée en relation avec les fournisseurs permet d’identifier les risques de transfert avant la mise en service du service cloud.
Les organisations ne peuvent pas gérer efficacement les transferts internationaux de données sans savoir précisément où ces transferts ont lieu. Un programme de conformité solide doit donc s’appuyer sur la documentation RGPD existante et l’enrichir afin d’obtenir une vision claire des flux de données transfrontaliers.
Les principaux points de départ peuvent inclure les registres des activités de traitement, les listes de sous-traitants et de sous-traitants ultérieurs, les inventaires de services cloud, les plateformes RH, les systèmes clients, les outils marketing, les services de sécurité et les flux de données entre entités d’un même groupe. Ces sources peuvent aider à identifier des transferts qui resteraient autrement dissimulés dans les processus opérationnels courants.
Pour chaque transfert significatif, il convient de consigner l’exportateur et l’importateur de données, les pays concernés, les rôles au titre du RGPD, la finalité du traitement, les catégories de données à caractère personnel, les personnes concernées, le mécanisme de transfert utilisé, le statut de la TIA, les mesures supplémentaires mises en place et la date de la prochaine revue.
Le registre doit également préciser quelle relation avec un sous-traitant ou un sous-traitant ultérieur encadre le transfert et où sont conservés les contrats ou évaluations justificatifs.
Lorsque les ressources sont limitées, les organisations doivent accorder la priorité aux transferts présentant les risques les plus élevés en matière de protection des données ou de conformité réglementaire.
Cela peut notamment concerner les transferts impliquant des données sensibles, des volumes importants de données, des données relatives à des enfants ou à des salariés, des informations de santé, une surveillance systématique ou des destinations présentant des risques juridiques ou d’accès par les autorités publiques plus importants.
Un registre des transferts tenu à jour constitue une base pratique pour revoir les CCT, réaliser les TIA, surveiller les sous-traitants ultérieurs et démontrer le respect du principe de responsabilité auprès des parties prenantes internes ou des autorités de contrôle.
Le délégué à la protection des données doit apporter un conseil indépendant et assurer une mission de surveillance concernant les transferts internationaux de données, plutôt que d’assumer personnellement l’ensemble des décisions opérationnelles.
Ses activités peuvent notamment inclure l’examen des inventaires de transferts, le conseil sur le mécanisme de transfert approprié, la revue des évaluations d’impact relatives aux transferts, la surveillance des évaluations des fournisseurs, le conseil sur les mesures supplémentaires et la vérification du caractère à jour et complet de la documentation relative aux transferts.
Le DPO doit également contribuer à garantir que les décisions relatives aux transferts restent cohérentes avec les principes plus larges du RGPD, notamment le principe de responsabilité, la transparence, la sécurité et la gouvernance des sous-traitants.
Les transferts internationaux sont, par nature, transversaux. Les équipes achats peuvent gérer l’entrée en relation avec les fournisseurs, les équipes informatiques peuvent maîtriser l’architecture des systèmes et les lieux d’accès, les équipes sécurité peuvent évaluer le chiffrement et les autres garanties techniques, tandis que les équipes juridiques peuvent examiner les CCT et les clauses contractuelles.
Le rôle du DPO consiste à relier ces différentes activités aux exigences du RGPD et à identifier les lacunes qui nécessitent une attention particulière.
Certains transferts doivent faire l’objet d’un examen renforcé avant leur approbation. Cela peut notamment concerner les transferts impliquant des données sensibles, des législations complexes dans le pays de destination, des opérations d’externalisation importantes, des risques significatifs d’accès par les autorités publiques ou des situations dans lesquelles des mesures supplémentaires efficaces ne peuvent pas être mises en œuvre.
Des critères d’escalade clairs permettent d’éviter que des transferts à haut risque soient approuvés dans le cadre de procédures d’achat ordinaires sans évaluation suffisante des enjeux de protection des données.
Un programme efficace de conformité des transferts internationaux de données doit suivre une séquence cohérente afin de maintenir le lien entre les mécanismes juridiques, les évaluations des risques et les contrôles opérationnels.
Identifiez les données à caractère personnel qui quittent l’EEE ou qui sont rendues accessibles à des destinataires distincts situés en dehors de l’EEE. Incluez les accès à distance, les services cloud, les sous-traitants ultérieurs et les transferts intragroupe.
Confirmez si chaque partie agit en tant que responsable du traitement, sous-traitant ou sous-traitant ultérieur pour l’activité de traitement concernée.
Vérifiez d’abord si une décision d’adéquation en vigueur s’applique. Dans le cas contraire, examinez les garanties prévues à l’article 46, telles que les CCT ou les règles d’entreprise contraignantes.
Évaluez l’environnement juridique du pays de destination, les risques liés à l’accès des autorités publiques et les circonstances concrètes du transfert.
Lorsque cela est nécessaire, ajoutez des garanties techniques, organisationnelles ou contractuelles capables de répondre aux risques identifiés.
Complétez les annexes des CCT, les contrats avec les sous-traitants, les registres de transferts, les TIA, les évaluations des mesures supplémentaires et les éléments probants relatifs aux approbations.
Veillez à ce que les mentions d’information décrivent avec exactitude les transferts internationaux pertinents ainsi que les garanties sur lesquelles l’organisation s’appuie.
Examinez les changements concernant les pays, les sous-traitants ultérieurs, les conditions des fournisseurs, les décisions d’adéquation, les décisions de justice, les pratiques d’accès des autorités publiques et l’architecture technique.
Définissez à l’avance des procédures d’escalade et de suspension. Si l’organisation n’est plus en mesure de démontrer l’existence d’une protection effective, elle doit être prête à suspendre le transfert, changer de fournisseur ou revoir l’architecture du traitement.
Cette séquence permet de transformer les exigences du chapitre V du RGPD en un processus opérationnel reproductible, plutôt qu’en un simple exercice contractuel ponctuel.
Utilisez cette liste de contrôle synthétique pour vérifier que les transferts internationaux de données sont identifiés, reposent sur un fondement juridique approprié et sont correctement documentés.
Cartographie et périmètre : Tous les transferts internationaux ont-ils été identifiés ? L’analyse couvre-t-elle les accès à distance, les fournisseurs cloud, les sous-traitants ultérieurs, les plateformes SaaS, les transferts entre entités d’un même groupe et les équipes de support situées à l’étranger ? L’exportateur, l’importateur et les pays concernés sont-ils clairement consignés ?
Mécanisme et évaluation : Chaque transfert est-il couvert par une décision d’adéquation en vigueur, des CCT, des règles d’entreprise contraignantes ou une dérogation applicable au titre de l’article 49 ? Une évaluation d’impact relative au transfert a-t-elle été réalisée lorsque cela est requis ? Lorsque des risques subsistent, les mesures supplémentaires de nature technique, contractuelle ou organisationnelle sont-elles efficaces ?
Contrats et éléments probants : Les CCT sont-elles correctement complétées, avec des annexes précises ? Les clauses applicables aux sous-traitants au titre de l’article 28 sont-elles en place lorsque cela est requis ? Les engagements de l’importateur et des sous-traitants ultérieurs sont-ils documentés ? L’organisation peut-elle démontrer pourquoi le mécanisme de transfert et les garanties retenus sont appropriés ?
Surveillance : Chaque transfert significatif dispose-t-il d’une date de réexamen ? Les changements concernant les destinataires, les lieux de traitement, la législation du pays de destination, le statut d’adéquation, les sous-traitants ultérieurs et l’architecture technique font-ils l’objet d’une surveillance ?
Une liste de contrôle efficace doit conduire à des éléments probants à jour. Lorsqu’un transfert ne peut pas être justifié par une documentation valide et des garanties effectives, il doit faire l’objet d’une escalade et d’une remédiation avant de se poursuivre.
Un hébergement dans l’Union européenne n’exclut pas automatiquement tout risque de transfert international. Meilleure approche : examiner les accès à distance, les équipes de support situées à l’étranger, les sous-traitants ultérieurs, les sauvegardes et les autres lieux de traitement.
Les CCT ne constituent pas, à elles seules, une solution complète de conformité. Meilleure approche : évaluer, lorsque cela est requis, le contexte du transfert, la législation du pays de destination et les risques concrets susceptibles d’affecter le niveau de protection.
Des clauses contractuelles anciennes ou des références à l’ancien bouclier de protection des données UE-États-Unis peuvent créer d’importantes lacunes de conformité. Meilleure approche : utiliser les mécanismes de transfert actuellement reconnus par la Commission européenne.
Tous les destinataires établis aux États-Unis ne participent pas au cadre. Meilleure approche : vérifier que l’organisation dispose d’une certification active et que le transfert concerné relève bien du périmètre couvert.
Les dérogations n’ont pas vocation à servir de mécanisme par défaut pour des transferts professionnels répétitifs. Meilleure approche : ne les utiliser que lorsque les conditions juridiques spécifiques applicables sont effectivement remplies.
Les risques liés aux transferts peuvent évoluer. Meilleure approche : réévaluer les changements significatifs concernant la législation, les fournisseurs, les sous-traitants ultérieurs et les traitements.
L’entrée en relation avec un fournisseur peut créer des risques de transfert qui restent difficiles à identifier. Meilleure approche : intégrer l’évaluation des transferts internationaux au processus d’achat et d’approbation contractuelle.
Les transferts internationaux de données exigent bien plus que l’ajout de clauses contractuelles dans les accords conclus avec les fournisseurs. Les professionnels de la protection des données doivent maîtriser les rôles définis par le RGPD, les mécanismes de transfert, les évaluations d’impact relatives aux transferts, les relations avec les sous-traitants, l’évaluation des risques et les attentes réglementaires.
La formation Data Protection Officer (DPO) Training du French Compliance Institute aide les professionnels à développer une compréhension pratique de la gouvernance du RGPD, des responsabilités en matière de protection des données et des processus de conformité.
Ces connaissances peuvent contribuer à renforcer la surveillance des transferts internationaux, des fournisseurs cloud, des sous-traitants, des sous-traitants ultérieurs et des flux de données transfrontaliers.
Cette formation doit s’inscrire dans un cadre plus large de développement professionnel et de conformité, et ne doit pas être considérée comme une garantie de conformité au RGPD ni comme une validation universelle des compétences d’un DPO.
Les transferts internationaux de données à caractère personnel sont autorisés par le RGPD, mais les organisations doivent identifier chaque transfert et appliquer le mécanisme approprié prévu au chapitre V.
Les décisions d’adéquation peuvent simplifier les transferts qu’elles couvrent, tandis que les CCT et les autres garanties prévues à l’article 46 nécessitent une évaluation plus approfondie. L’arrêt Schrems II reste pertinent, car les organisations doivent examiner si les lois et pratiques du pays de destination sont susceptibles de compromettre les protections contractuelles. Pour les organisations françaises, les orientations de la CNIL sur les évaluations d’impact relatives aux transferts fournissent un cadre pratique pour documenter cette analyse.
Les fournisseurs cloud et les sous-traitants ultérieurs nécessitent une attention particulière, car l’accès aux données et leur traitement peuvent intervenir dans plusieurs juridictions.
Les organisations doivent maintenir un registre des transferts à jour, compléter correctement les CCT, documenter les TIA, mettre en œuvre des mesures supplémentaires efficaces lorsque cela est nécessaire et réévaluer les transferts lorsque les circonstances évoluent.
Les organisations qui associent une cartographie précise des flux de données, des mécanismes de transfert appropriés et des évaluations des risques documentées seront mieux placées pour démontrer la conformité de leurs transferts internationaux de données au titre du RGPD.
Élaborez un plan de réponse aux incidents en France pour respecter les obligations de signalement RGPD, CNIL et NIS 2, gérer les cyberincidents et assurer...
Liste de contrôle de la sécurité alimentaire en restaurant destinée aux responsables en France, couvrant l'hygiène quotidienne, l'HACCP, le PMS, la tenue des registres, la...
ISO 37001 aide les organisations à renforcer leurs dispositifs anticorruption grâce à la gouvernance, l’évaluation des risques, la diligence raisonnable, la formation, le suivi et...