Ce qu'il faut retenir
- Recourir à un outil hébergé hors de l'Espace économique européen suppose presque toujours un transfert de données personnelles encadré par le RGPD.
- L'article 44 pose le principe : le transfert ne doit pas compromettre le niveau de protection des personnes.
- La hiérarchie des fondements est : décision d'adéquation (article 45), garanties appropriées dont les CCT (article 46), puis dérogations strictes (article 49).
- Les clauses à retenir sont celles de la décision d'exécution 2021/914 du 4 juin 2021, modulaires selon la qualité des parties.
- La décision 2021/915 concerne l'article 28 (responsable/sous-traitant) et ne vaut pas pour les transferts hors UE.
- Depuis l'arrêt Schrems II (16 juillet 2020, C-311/18), signer ne suffit plus : il faut évaluer la protection réelle et prévoir des mesures supplémentaires.
Recourir à un outil hébergé aux États-Unis, à un support client situé hors de l'Union ou à un prestataire cloud international suppose, presque toujours, un transfert de données personnelles hors de l'Espace économique européen. Le RGPD ne l'interdit pas, mais il l'encadre strictement : le niveau de protection garanti aux personnes doit « voyager » avec les données. Les clauses contractuelles types sont l'outil le plus courant pour assurer cet encadrement, à condition d'utiliser la bonne décision et de ne pas s'arrêter à la signature. Depuis l'arrêt Schrems II, signer des clauses ne suffit plus : il faut aussi évaluer la réalité de la protection dans le pays destinataire. Cet article hiérarchise les fondements possibles et précise quelles clauses retenir.
Chaque transfert est particulier : le fondement adapté dépend du pays destinataire, de la configuration des acteurs et de la nature des données. L'analyse ci-dessous expose la méthode, non une solution prête à l'emploi.
Pourquoi un transfert hors UE doit être encadré
L'article 44 du RGPD pose le principe : un transfert vers un pays tiers ne peut avoir lieu que dans le respect des conditions du chapitre V, de manière à ne pas compromettre le niveau de protection des personnes. Un transfert réalisé sans fondement valable constitue une non-conformité, exposant le responsable comme le sous-traitant.
La hiérarchie des fondements du chapitre V
La décision d'adéquation
L'article 45 autorise le transfert vers un pays que la Commission européenne a reconnu comme offrant un niveau de protection adéquat. Aucun instrument contractuel supplémentaire n'est alors requis. Encore faut-il vérifier qu'une décision d'adéquation est bien en vigueur pour le pays concerné à la date du transfert, la liste évoluant dans le temps.
Les garanties appropriées, dont les CCT
À défaut d'adéquation, l'article 46 permet le transfert moyennant des « garanties appropriées ». Parmi elles, les clauses contractuelles types de la Commission (article 46.2.c) sont la voie la plus répandue, aux côtés des règles d'entreprise contraignantes (BCR) pour les groupes.
Les dérogations, strictement encadrées
L'article 49 prévoit enfin des dérogations pour des situations particulières (consentement explicite et éclairé, exécution d'un contrat avec la personne concernée, motifs importants d'intérêt public). Ces dérogations sont d'interprétation stricte : le considérant 111 du RGPD vise des transferts occasionnels, et elles ne peuvent fonder des transferts massifs ou répétés.
Quelles CCT utiliser ? La décision 2021/914
Les clauses à retenir pour un transfert hors UE sont celles de la décision d'exécution (UE) 2021/914 du 4 juin 2021. Elle adopte une approche modulaire : on sélectionne le module correspondant à la qualité des parties (responsable vers responsable, responsable vers sous-traitant, sous-traitant vers sous-traitant, sous-traitant vers responsable). Cette décision a remplacé les anciennes clauses, les contrats antérieurs ne bénéficiant que d'une période transitoire expirée le 27 décembre 2022.
Une confusion fréquente doit être évitée : la décision (UE) 2021/915, adoptée le même jour, concerne les clauses entre responsable et sous-traitant au titre de l'article 28. Elle ne vaut pas pour les transferts hors UE. Les deux instruments répondent à des finalités différentes et ne sont pas interchangeables.
L'exigence issue de l'arrêt Schrems II
Par son arrêt du 16 juillet 2020 (affaire C-311/18), la Cour de justice de l'Union européenne a confirmé la validité des CCT, tout en jugeant que leur seule signature ne suffit pas. L'exportateur doit évaluer si le droit du pays destinataire permet réellement de respecter les garanties prévues, notamment au regard des possibilités d'accès des autorités locales aux données. Lorsque cette protection n'est pas assurée, des mesures supplémentaires (techniques, comme le chiffrement, ou juridiques et organisationnelles) doivent être adoptées, faute de quoi le transfert doit être suspendu. La même décision a invalidé le « Privacy Shield ».
En pratique : sécuriser un transfert hors UE
- Cartographier les transferts réels, y compris les accès distants et les sous-traitants ultérieurs.
- Vérifier en priorité l'existence d'une décision d'adéquation à jour pour le pays concerné.
- À défaut, sélectionner le module pertinent des CCT 2021/914 et l'intégrer au contrat.
- Documenter une analyse d'impact du transfert et, si nécessaire, des mesures supplémentaires.
- Réserver les dérogations de l'article 49 aux cas véritablement ponctuels.
Points de vigilance
- Les CCT ne s'auto-suffisent pas : l'analyse du pays tiers fait partie intégrante de la conformité.
- Un accès depuis un pays tiers à des données stockées dans l'Union constitue déjà un transfert.
- Le bon module de CCT dépend de la qualité exacte des parties : une erreur de module fragilise le dispositif.
- La conformité s'apprécie à la date du transfert : décisions d'adéquation et lignes directrices évoluent.
Dans quels cas consulter un avocat ?
L'appui d'un avocat est précieux pour qualifier les transferts, choisir le fondement adapté, sélectionner et compléter les CCT, et formaliser l'analyse d'impact du transfert. Ces travaux s'intègrent à une stratégie globale de protection des données personnelles et de conformité RGPD. Lorsque le transfert s'opère via un prestataire, il se traite conjointement avec le contrat de sous-traitance de données personnelles.
La solution peut varier selon les faits, la rédaction du contrat et l'évolution de la jurisprudence applicable.
Ce que dit le droit
Le transfert de données hors de l'Union obéit à un principe strict : un transfert vers un pays tiers « ne peut avoir lieu que si, sous réserve des autres dispositions du présent règlement, les conditions définies dans le présent chapitre sont respectées par le responsable du traitement et le sous-traitant » (article 44 du RGPD), de manière à préserver le niveau de protection garanti par le règlement. En l'absence de décision d'adéquation de la Commission européenne, « le responsable du traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers un pays tiers ou à une organisation internationale que s'il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives » (article 46, paragraphe 1) : clauses contractuelles types, règles d'entreprise contraignantes, etc.
Sources officielles
- Article 44 du RGPD, principe général applicable aux transferts : CNIL
- Article 46 du RGPD, transferts moyennant des garanties appropriées : CNIL
Chaque situation est particulière. Pour encadrer un transfert international de données, nos avocats en RGPD vous accompagnent.
