Transferts de données hors de l'Union européenne
Un transfert de données hors de l'Union européenne n'est permis par le RGPD que vers un pays reconnu comme offrant une protection adéquate ou moyennant des garanties appropriées, comme les clauses contractuelles types.
Le chapitre V du RGPD organise trois voies. La première est la décision d'adéquation, par laquelle la Commission européenne reconnaît qu'un pays tiers protège suffisamment les données. La deuxième repose sur des garanties appropriées : clauses contractuelles types adoptées par la Commission, règles d'entreprise contraignantes au sein d'un groupe, codes de conduite ou certifications. La troisième, réservée à des cas précis, admet des dérogations, comme le consentement explicite de la personne ou la nécessité du transfert pour l'exécution d'un contrat.
Le 16 juillet 2020, dans l'arrêt dit Schrems II, la Cour de justice de l'Union européenne a invalidé le Privacy Shield qui encadrait les transferts vers les États-Unis, et rappelé que les clauses contractuelles ne suffisent que si le droit du pays de destination permet de les respecter. Depuis, l'exportateur doit évaluer ce droit et, si nécessaire, ajouter des mesures techniques, comme le chiffrement.
Le 10 juillet 2023, la Commission a adopté une décision d'adéquation pour les entreprises américaines adhérant au Data Privacy Framework. Elle simplifie les transferts vers ces entreprises, mais ne couvre pas les autres.
Pour une entreprise, la question se pose dès qu'un prestataire — hébergeur, éditeur de logiciel, outil d'intelligence artificielle — traite des données depuis un pays tiers ou y donne accès, même à distance. La cartographie des sous-traitants et de leurs lieux de traitement en est le point de départ.
Aussi appelé : transferts de données, transfert de données hors UE, clauses contractuelles types, Data Privacy Framework.
Sources officielles
- Règlement (UE) 2016/679 (RGPD) ↗
- Décision d'exécution (UE) 2023/1795 (Data Privacy Framework) ↗
- CNIL — Transférer des données hors de l'UE ↗
Voir aussi
Définition maintenue par la rédaction de GRACES.community. Elle donne des repères ; elle ne remplace ni le texte applicable, ni un conseil juridique.
Suivre l'actualité de la conformité
GRACES publie chaque jour la veille réglementaire de la communauté GRC, et réunit ses offres d'emploi.