Guide Transferts de données hors UE : comment se mettre en conformité ?

· Mis à jour le · Par Bertrand BucelleBertrand Bucelle · 6 min de lecture

Guide Transferts de données hors UE : comment se mettre en conformité ?

En bref

  • Un transfert de données hors UE se produit dès qu'une donnée personnelle est rendue accessible depuis un pays tiers : cloud américain, support technique à l'étranger, filiale hors Union. Se mettre en conformité, c'est identifier ces transferts et les encadrer par un mécanisme valable, sous peine d'illicéité et de sanctions parmi les plus lourdes du RGPD.

Qu'est-ce qu'un transfert hors UE ?

Un transfert de données hors UE désigne toute communication ou mise à disposition de données personnelles vers un pays situé en dehors de l'Espace économique européen. La notion est large : il n'est pas nécessaire de « déplacer » les données, un simple accès à distance depuis un pays tiers suffit.

Concrètement, vous transférez des données hors UE si vous utilisez un cloud dont les serveurs ou le support sont hors Union, si un prestataire accède à vos données depuis l'étranger, ou si vous partagez des données avec une filiale hors UE. Ces situations sont extrêmement fréquentes.

Le RGPD n'interdit pas les transferts, mais les encadre strictement : ils ne sont licites que s'ils reposent sur un mécanisme valable garantissant un niveau de protection essentiellement équivalent à celui de l'UE.

Les mécanismes de transfert

Le RGPD prévoit une hiérarchie de mécanismes. Il faut en choisir un valable pour chaque transfert.

MécanismeQuand l'utiliser
Décision d'adéquationPays reconnu par la Commission comme offrant une protection adéquate
Clauses contractuelles types (CCT)Mécanisme le plus courant en l'absence d'adéquation
Règles d'entreprise contraignantes (BCR)Transferts intragroupe, après approbation
Data Privacy FrameworkVers des entreprises US certifiées au titre du cadre UE-US
Dérogations (art. 49)Cas ponctuels et limités (consentement explicite, contrat)

Les dérogations de l'article 49 sont d'interprétation stricte et ne peuvent fonder des transferts massifs ou réguliers.

L'héritage de Schrems II

L'arrêt Schrems II a durci les exigences : recourir à un mécanisme ne suffit pas toujours, il faut vérifier son effectivité au regard du droit du pays destinataire.

  • Les CCT restent valables, mais leur seule signature peut être insuffisante.
  • Une analyse d'impact du transfert (TIA) évalue le droit et les pratiques du pays destinataire.
  • Des mesures supplémentaires (chiffrement, pseudonymisation, garanties techniques) peuvent être requises.
  • Le Data Privacy Framework a été mis en place pour sécuriser les transferts vers les États-Unis.

Les transferts « invisibles » à ne pas manquer

La plupart des transferts non maîtrisés proviennent d'outils du quotidien. Les repérer est la moitié du travail.

  • Outils SaaS (CRM, messagerie, analytics, support) hébergés ou opérés hors UE.
  • Support technique ou infogérance assurés depuis un pays tiers.
  • Filiales, maisons mères ou prestataires accédant aux données depuis l'étranger.
  • Sauvegardes ou services cloud dont la localisation réelle est hors UE.

Quelles sanctions en cas de non-conformité ?

Les transferts illicites relèvent des manquements aux principes du RGPD, donc du plafond de sanction le plus élevé. Les autorités européennes sont particulièrement attentives à ce sujet.

ManquementPlafondExemple
Transfert sans mécanisme valable20 M€ ou 4 % du CA mondialCloud hors UE sans CCT ni adéquation
Mécanisme ineffectif (Schrems II)20 M€ ou 4 % du CA mondialCCT sans mesures supplémentaires requises
Défaut d'information sur les transferts10 M€ ou 2 % du CA mondialMentions d'information incomplètes

Comment se mettre en conformité : la feuille de route en 6 étapes

Étape 1 — Cartographier vos flux internationaux

Identifiez tous les transferts hors UE, y compris les accès à distance et les outils SaaS. Pour chacun, notez le pays destinataire, les données concernées et le prestataire.

Cette cartographie révèle presque toujours des transferts insoupçonnés via des outils courants.

  • Recensez outils SaaS, prestataires et filiales hors UE.
  • Repérez les accès à distance depuis des pays tiers.
  • Notez pays destinataire et données transférées.

Étape 2 — Qualifier chaque transfert

Pour chaque flux, vérifiez s'il existe une décision d'adéquation ; sinon, déterminez le mécanisme approprié (CCT, DPF pour les États-Unis, BCR intragroupe).

Écartez les dérogations de l'article 49 pour les flux réguliers ou massifs.

  • Vérifiez l'existence d'une décision d'adéquation.
  • Choisissez le mécanisme adapté à chaque flux.
  • Réservez les dérogations aux cas ponctuels.

Étape 3 — Mettre en place les garanties

Signez les clauses contractuelles types ou vérifiez la certification Data Privacy Framework du destinataire américain. Intégrez ces garanties à vos contrats de sous-traitance.

Assurez-vous que la version des CCT est à jour et complétée des annexes.

  • Signez des CCT à jour et complétez leurs annexes.
  • Vérifiez la certification DPF le cas échéant.
  • Intégrez les garanties aux contrats de sous-traitance.

Étape 4 — Réaliser l'analyse d'impact du transfert (TIA)

Lorsque le mécanisme repose sur des garanties (CCT, BCR), évaluez le droit et les pratiques du pays destinataire (accès des autorités, recours possibles) et déterminez les mesures supplémentaires nécessaires.

La TIA est l'exigence issue de Schrems II la plus souvent négligée.

  • Évaluez le cadre juridique du pays destinataire.
  • Déterminez les mesures supplémentaires nécessaires.
  • Documentez la TIA et ses conclusions.

Étape 5 — Appliquer des mesures supplémentaires

Si nécessaire, ajoutez des mesures techniques et organisationnelles : chiffrement robuste, pseudonymisation, cloisonnement, contrôle des accès. Elles peuvent conditionner la licéité du transfert.

Ces mesures visent à neutraliser les risques identifiés par la TIA.

  • Déployez chiffrement et pseudonymisation adaptés.
  • Renforcez le contrôle des accès et le cloisonnement.
  • Reliez chaque mesure au risque qu'elle couvre.

Étape 6 — Documenter et informer

Reliez vos transferts au registre des traitements, informez les personnes dans vos mentions et tenez la documentation prête pour la CNIL. Réévaluez en cas d'évolution des outils ou du droit applicable.

La transparence et la traçabilité sont indispensables : ce domaine évolue vite.

  • Reliez les transferts au registre des traitements.
  • Informez les personnes dans vos mentions.
  • Réévaluez à chaque évolution d'outil ou de cadre juridique.

Les erreurs fréquentes à éviter

  • Ignorer les transferts « invisibles » réalisés via des outils SaaS courants.
  • Croire qu'un simple accès à distance depuis l'étranger n'est pas un transfert.
  • Signer des CCT sans réaliser l'analyse d'impact du transfert (TIA) exigée depuis Schrems II.
  • S'appuyer sur les dérogations de l'article 49 pour des flux réguliers ou massifs.
  • Oublier d'informer les personnes de l'existence de transferts hors UE.
  • Ne pas réévaluer les transferts alors que le cadre juridique évolue rapidement.

Comment Data Comply One vous accompagne

Data Comply One vous aide à cartographier vos transferts hors UE — y compris ceux, invisibles, réalisés via vos outils SaaS — et à les relier à votre registre des traitements dans une plateforme unique.

Deux modes s'offrent à vous : gérer vos transferts vous-même avec le logiciel, ou les externaliser à nos experts — un DPO externalisé — qui qualifient chaque flux, sécurisent les mécanismes (CCT, Data Privacy Framework, BCR), réalisent les analyses d'impact du transfert et définissent les mesures supplémentaires, directement sur la plateforme.

Vous maîtrisez ainsi l'un des sujets les plus techniques et les plus surveillés du RGPD, et gardez une documentation prête à présenter, même quand le cadre juridique évolue.

Où en êtes-vous ? ·

Passez à l’action

Passez à l'action avec Data Comply One : logiciel de conformité tout-en-un et experts DPO/RSSI externalisés.

Découvrir le logiciel RGPD →La réglementation RGPD →

Questions fréquentes

Qu'est-ce qui compte comme transfert hors UE ?

Toute mise à disposition de données personnelles vers un pays hors Espace économique européen, y compris un simple accès à distance. Utiliser un cloud opéré hors UE ou un support technique à l'étranger constitue un transfert.

Les clauses contractuelles types suffisent-elles ?

Pas toujours. Depuis l'arrêt Schrems II, il faut aussi évaluer, via une analyse d'impact du transfert, si le droit du pays destinataire n'annule pas les garanties des CCT, et ajouter le cas échéant des mesures supplémentaires (chiffrement, pseudonymisation).

Puis-je transférer des données vers les États-Unis ?

Oui, notamment vers des entreprises certifiées au titre du Data Privacy Framework UE-US, ou via des CCT complétées d'une analyse d'impact. Le cadre a beaucoup évolué : il faut vérifier la solution en vigueur au moment du transfert.

Qu'est-ce qu'une TIA ?

La Transfer Impact Assessment est l'analyse d'impact du transfert : elle évalue le droit et les pratiques du pays destinataire (accès des autorités, recours) pour déterminer si des mesures supplémentaires sont nécessaires. Elle découle de l'arrêt Schrems II.

Que risque-t-on pour un transfert illicite ?

Un transfert sans mécanisme valable relève des manquements aux principes du RGPD, donc du plafond le plus élevé : 20 M€ ou 4 % du chiffre d'affaires mondial. C'est un sujet particulièrement surveillé par les autorités. Maîtrisez vos flux internationaux, même quand le cadre bouge.