La question du transfert hors Union européenne se pose beaucoup plus souvent qu’on ne le croit, et elle est rarement instruite correctement.
Elle ne concerne pas seulement l’hébergement. Un support technique assuré depuis un pays tiers, une équipe d’administration délocalisée, une sauvegarde répliquée ailleurs, un assistant conversationnel dont le traitement s’effectue hors Union : tous constituent des transferts.
Ce qui compte comme transfert
Le RGPD ne définit pas le terme, mais la pratique retient trois situations :
- Les données sont stockées en dehors de l’Union.
- Les données sont traitées en dehors de l’Union, même si le stockage reste européen.
- Les données sont accessibles depuis un pays tiers, même sans copie — un administrateur qui se connecte depuis l’étranger accède, donc transfère.
C’est le troisième cas qui échappe le plus souvent aux analyses. Un hébergement européen avec une équipe d’exploitation hors Union est un transfert, et il doit être encadré comme tel.
Les fondements possibles
Le chapitre V du RGPD organise plusieurs voies. Trois concernent l’immense majorité des cas.
La décision d’adéquation
La Commission européenne reconnaît qu’un pays offre un niveau de protection adéquat. Le transfert est alors possible sans garantie supplémentaire.
La liste des pays concernés évolue, et certaines décisions ont été contestées ou annulées par le passé. C’est un point à revérifier au moment d’engager un contrat plutôt qu’à s’appuyer sur une connaissance de seconde main.
Les clauses contractuelles types
Des modèles adoptés par la Commission, à intégrer au contrat avec le destinataire. C’est le mécanisme le plus utilisé.
Deux erreurs fréquentes : les signer sans les lire — elles comportent des annexes à compléter décrivant les traitements et les mesures de sécurité —, et croire qu’elles suffisent à elles seules. Elles doivent être accompagnées d’une évaluation du contexte juridique du pays destinataire.
Les règles d’entreprise contraignantes
Pour les groupes multinationaux, un corpus interne approuvé par les autorités. Lourd à obtenir, pertinent pour les grandes organisations qui transfèrent massivement en interne.
Les dérogations de l’article 49 — consentement explicite, exécution d’un contrat, intérêts vitaux — existent mais sont d’interprétation stricte et réservées à des situations ponctuelles. Elles ne peuvent pas fonder un transfert structurel et régulier.
L’analyse d’impact du transfert
C’est l’étape la plus souvent omise, alors qu’elle est devenue centrale.
Signer des clauses contractuelles types ne suffit pas si la législation du pays destinataire permet aux autorités locales d’accéder aux données dans des conditions incompatibles avec le droit européen. Le responsable de traitement doit donc évaluer ce contexte, et le cas échéant ajouter des mesures supplémentaires.
Ces mesures peuvent être techniques — chiffrement dont les clés restent en Europe et hors de portée du destinataire, pseudonymisation robuste —, organisationnelles, ou contractuelles.
Point de lucidité : lorsque le destinataire a techniquement besoin d’accéder aux données en clair pour rendre le service, les mesures techniques ne résolvent pas le problème. Il faut alors soit accepter le risque de façon documentée, soit changer d’architecture.
Comment identifier vos transferts
La démarche pratique tient en quatre étapes.
1. Partir du registre des traitements. Il doit mentionner les transferts. S’il n’en mentionne aucun sur une organisation qui utilise des outils courants, il est incomplet.
2. Interroger les fournisseurs, par écrit. Trois questions : où sont hébergées les données, où sont-elles traitées, depuis où votre support et votre administration y accèdent-ils. La troisième révèle les transferts non déclarés.
3. Examiner la sous-traitance en cascade. Votre prestataire européen peut recourir à un sous-traitant hors Union. Le contrat doit prévoir l’information et le droit d’objection — voir les clauses indispensables.
4. Traiter les outils non déclarés. Les services utilisés sans validation constituent des transferts non encadrés. C’est un des enjeux du shadow IT, et particulièrement des assistants d’IA générative.
Ce qu’il faut documenter
Pour chaque transfert identifié :
- Les données concernées et leur sensibilité.
- Le pays destinataire et le rôle du destinataire.
- Le fondement juridique retenu.
- L’évaluation du contexte local, lorsqu’elle est requise.
- Les mesures supplémentaires mises en œuvre.
- La date de réexamen.
Ce dossier est ce que demandera une autorité de contrôle. Son absence est un manquement autonome, indépendant de tout incident.
L’articulation avec la souveraineté
Au-delà du RGPD, certaines organisations retiennent des critères de souveraineté : sensibilité des données, dépendance stratégique, exposition à des législations extraterritoriales.
En France, la qualification SecNumCloud de l’ANSSI répond partiellement à cette préoccupation, avec des exigences portant à la fois sur la sécurité et sur la protection contre l’accès par des autorités de pays tiers.
C’est un critère de sélection distinct de la conformité RGPD. Un service peut être conforme au RGPD sans satisfaire une exigence de souveraineté, et réciproquement.
Les erreurs qui coûtent
Se fier à la mention « hébergé en Europe ». Elle ne dit rien du lieu de traitement, du support, ni de la nationalité de la maison mère.
Signer des clauses sans compléter les annexes. Des clauses aux annexes vides ne décrivent aucun traitement et ne garantissent rien.
Ne pas réexaminer. Le cadre juridique des transferts a connu plusieurs bouleversements. Un dossier constitué il y a trois ans peut reposer sur un fondement qui n’existe plus.
Traiter le sujet uniquement au juridique. L’identification des transferts est un travail technique : elle suppose de savoir où sont les données et qui y accède. Sans la DSI, l’inventaire sera faux.
Sources
- RGPD, chapitre V (articles 44 à 49) et article 30
- CNIL — transférer des données hors de l’Union européenne
- Comité européen de la protection des données — recommandations sur les mesures supplémentaires
- ANSSI — référentiel SecNumCloud
Aller plus loin
L’identification des transferts et la constitution du dossier relèvent de nos missions de gouvernance, risques et conformité. Voir aussi la responsabilité partagée dans le cloud.