Vous utilisez des services cloud américains ou des sous-traitants hors UE ? Découvrez le cadre légal des transferts de données internationaux et les solutions pour rester conforme au RGPD.
Le transfert de données personnelles hors de l'Union Européenne est l'un des sujets les plus complexes du RGPD. Encadre par les articles 44 à 49 du règlement, il a fait l'objet de bouleversements majeurs avec les arrets Schrems I (2015) et Schrems II (2020) de la CJUE, puis l'adoption du EU-US Data Privacy Framework en 2023.
Un transfert de données hors UE se produit chaque fois que des données personnelles sont envoyees, rendues accessibles ou stockées dans un pays situé en dehors de l'Espace Économique Européen (EEE). Cela inclut les cas ou vous utilisez un service cloud dont les serveurs sont situés hors UE, ou lorsqu'un sous-traitant étranger accede à vos données à distance.
Attention aux services courants
De nombreux services courants impliquent des transferts hors UE souvent méconnus : Google Workspace, Microsoft 365, Salesforce, Mailchimp, Slack, Zoom, AWS, les réseaux sociaux... Vérifiez systématiquement la localisation des données dans les contrats de vos prestataires.
1. Décisions d'adéquation (Article 45) : La Commission européenne peut reconnaître qu'un pays tiers offre un niveau de protection adéquat. Les pays bénéficiant d'une décision d'adéquation incluent le Royaume-Uni, le Japon, la Corée du Sud, la Suisse, le Canada (secteur commercial), Israel, la Nouvelle-Zélande et, depuis 2023, les Etats-Unis via le Data Privacy Framework.
2. Clauses contractuelles types - CCT (Article 46) : En l'absence de décision d'adéquation, les CCT adoptees par la Commission européenne sont le mécanisme le plus utilise. Les nouvelles CCT de juin 2021 sont modulaires (4 scenarios) et exigent une évaluation d'impact du transfert (TIA - Transfer Impact Assessment).
3. Regles d'entreprise contraignantes - BCR (Article 47) : Les BCR sont des politiques internes de protection des données approuvees par les autorités de contrôle. Elles permettent les transferts au sein d'un groupe multinational. La procédure d'approbation est longue et coûteuse, réservée aux grands groupes.
4. Derogations (Article 49) : En l'absence d'autre mécanisme, des derogations ponctuelles sont possibles : consentement explicite de la personne (après information sur les risques), nécessité pour l'exécution d'un contrat, motifs importants d'intérêt public, protection des intérêts vitaux. Ces derogations sont d'interpretation stricte et ne peuvent pas couvrir des transferts répétitifs et massifs.
Adopté le 10 juillet 2023 par la Commission européenne, le DPF est la 3ème tentative de cadre juridique pour les transferts UE-USA (après le Safe Harbor invalide en 2015 et le Privacy Shield invalide en 2020). Il repose sur un décret présidentiel américain limitant l'accès des services de renseignement aux données des européens et créant un mécanisme de recours.
DPF : une solution fragile ?
Le DPF fait l'objet de critiques et un recours (Schrems III ?) n'est pas exclu. La prudence recommande de prévoir des mécanismes alternatifs (CCT avec TIA) en cas d'invalidation. Vérifiez que votre sous-traitant américain est bien certifié DPF sur le site officiel du Department of Commerce.
Suivi des transferts avec DPO Manager
DPO Manager vous aide a identifier et documenter tous vos transferts hors UE : cartographie automatique via le registre des sous-traitants, vérification du mécanisme de transfert, alertes en cas de changement réglementaire et génération des documents de conformité (TIA, CCT).
Registre des traitements, gestion des droits, DPIA, incidents, sous-traitants, cookies et formation : tout en un seul outil.
Démarrer l'essai gratuit 14 joursSans carte bancaire • Configuration en 15 minutes
Le registre des traitements est la pierre angulaire de votre conformité RGPD. Découvrez comment le créer, le maintenir à jour et éviter les erreurs courantes conformément à l'article 30.
LireLe Délégué à la Protection des Données (DPO) est un acteur clé de la conformité RGPD. Découvrez ses missions, quand sa désignation est obligatoire et comment exercer ce rôle efficacement.
LireLe RGPD confere aux personnes des droits renforcés sur leurs données personnelles. Découvrez les 8 droits fondamentaux et comment mettre en place des procédures efficaces pour y répondre.
Lire