La question du transfert hors Union européenne se pose beaucoup plus souvent qu’on ne le croit, et elle est rarement instruite correctement.
Elle ne concerne pas seulement l’hébergement. Un support technique assuré depuis un pays tiers, une équipe d’administration délocalisée, une sauvegarde répliquée ailleurs, un assistant conversationnel dont le traitement s’effectue hors Union : tous constituent des transferts.
Le RGPD ne définit pas le terme, mais la pratique retient trois situations :
C’est le troisième cas qui échappe le plus souvent aux analyses. Un hébergement européen avec une équipe d’exploitation hors Union est un transfert, et il doit être encadré comme tel.
Le chapitre V du RGPD organise plusieurs voies. Trois concernent l’immense majorité des cas.
La Commission européenne reconnaît qu’un pays offre un niveau de protection adéquat. Le transfert est alors possible sans garantie supplémentaire.
La liste des pays concernés évolue, et certaines décisions ont été contestées ou annulées par le passé. C’est un point à revérifier au moment d’engager un contrat plutôt qu’à s’appuyer sur une connaissance de seconde main.
Des modèles adoptés par la Commission, à intégrer au contrat avec le destinataire. C’est le mécanisme le plus utilisé.
Deux erreurs fréquentes : les signer sans les lire — elles comportent des annexes à compléter décrivant les traitements et les mesures de sécurité —, et croire qu’elles suffisent à elles seules. Elles doivent être accompagnées d’une évaluation du contexte juridique du pays destinataire.
Pour les groupes multinationaux, un corpus interne approuvé par les autorités. Lourd à obtenir, pertinent pour les grandes organisations qui transfèrent massivement en interne.
Les dérogations de l’article 49 — consentement explicite, exécution d’un contrat, intérêts vitaux — existent mais sont d’interprétation stricte et réservées à des situations ponctuelles. Elles ne peuvent pas fonder un transfert structurel et régulier.
C’est l’étape la plus souvent omise, alors qu’elle est devenue centrale.
Signer des clauses contractuelles types ne suffit pas si la législation du pays destinataire permet aux autorités locales d’accéder aux données dans des conditions incompatibles avec le droit européen. Le responsable de traitement doit donc évaluer ce contexte, et le cas échéant ajouter des mesures supplémentaires.
Ces mesures peuvent être techniques — chiffrement dont les clés restent en Europe et hors de portée du destinataire, pseudonymisation robuste —, organisationnelles, ou contractuelles.
Point de lucidité : lorsque le destinataire a techniquement besoin d’accéder aux données en clair pour rendre le service, les mesures techniques ne résolvent pas le problème. Il faut alors soit accepter le risque de façon documentée, soit changer d’architecture.
La démarche pratique tient en quatre étapes.
1. Partir du registre des traitements. Il doit mentionner les transferts. S’il n’en mentionne aucun sur une organisation qui utilise des outils courants, il est incomplet.
2. Interroger les fournisseurs, par écrit. Trois questions : où sont hébergées les données, où sont-elles traitées, depuis où votre support et votre administration y accèdent-ils. La troisième révèle les transferts non déclarés.
3. Examiner la sous-traitance en cascade. Votre prestataire européen peut recourir à un sous-traitant hors Union. Le contrat doit prévoir l’information et le droit d’objection — voir les clauses indispensables.
4. Traiter les outils non déclarés. Les services utilisés sans validation constituent des transferts non encadrés. C’est un des enjeux du shadow IT, et particulièrement des assistants d’IA générative.
Pour chaque transfert identifié :
Ce dossier est ce que demandera une autorité de contrôle. Son absence est un manquement autonome, indépendant de tout incident.
Au-delà du RGPD, certaines organisations retiennent des critères de souveraineté : sensibilité des données, dépendance stratégique, exposition à des législations extraterritoriales.
En France, la qualification SecNumCloud de l’ANSSI répond partiellement à cette préoccupation, avec des exigences portant à la fois sur la sécurité et sur la protection contre l’accès par des autorités de pays tiers.
C’est un critère de sélection distinct de la conformité RGPD. Un service peut être conforme au RGPD sans satisfaire une exigence de souveraineté, et réciproquement.
Se fier à la mention « hébergé en Europe ». Elle ne dit rien du lieu de traitement, du support, ni de la nationalité de la maison mère.
Signer des clauses sans compléter les annexes. Des clauses aux annexes vides ne décrivent aucun traitement et ne garantissent rien.
Ne pas réexaminer. Le cadre juridique des transferts a connu plusieurs bouleversements. Un dossier constitué il y a trois ans peut reposer sur un fondement qui n’existe plus.
Traiter le sujet uniquement au juridique. L’identification des transferts est un travail technique : elle suppose de savoir où sont les données et qui y accède. Sans la DSI, l’inventaire sera faux.
L’identification des transferts et la constitution du dossier relèvent de nos missions de gouvernance, risques et conformité. Voir aussi la responsabilité partagée dans le cloud.
Deux politiques d’IA circulent dans les entreprises. La première tient en une phrase : « l’usage des outils d’IA générative est interdit ». La seconde fait quarante pages de principes ...
1-3 Rue d’Enghien
75010, Paris
France
Recevez les actualités du site Cyberdian.
