Peut-on transférer des données personnelles hors de l'Union européenne ?

Qu'est-ce qu'un transfert ?

Le chapitre V du RGPD encadre les transferts de données hors de l'Union, plus précisément hors de l'Espace économique européen, qui comprend les 27 États membres, l'Islande, le Liechtenstein et la Norvège. Il y a transfert lorsqu'un organisme soumis au RGPD communique ou rend accessibles des données à un organisme situé dans un pays tiers ou à une organisation internationale. Héberger ses données chez un prestataire installé hors d'Europe, utiliser un logiciel en ligne dont le support technique peut accéder aux données depuis l'étranger, envoyer un fichier à une filiale ou à un centre d'appels à l'étranger sont des transferts. La logique est simple : les données ne doivent pas perdre, en quittant l'Europe, le niveau de protection garanti par le règlement.

Les décisions d'adéquation

La Commission européenne peut constater qu'un pays tiers assure un niveau de protection adéquat (article 45). Les transferts vers ce pays sont alors possibles comme au sein de l'Union, sans autorisation spécifique. Des décisions existent notamment pour le Royaume-Uni, la Suisse, le Japon, la Corée du Sud, le Canada (pour les organismes soumis à sa loi fédérale sur le secteur privé), Israël, la Nouvelle-Zélande, l'Argentine, l'Uruguay et, depuis 2023, pour les entreprises américaines certifiées dans le cadre du Data Privacy Framework. La liste à jour est publiée par la Commission et reprise par la CNIL ; il faut la vérifier avant tout nouveau projet, car les décisions sont réexaminées périodiquement.

Le cas des États-Unis

Les transferts vers les États-Unis ont connu une histoire mouvementée. La Cour de justice a invalidé successivement le Safe Harbor en 2015 (arrêt Schrems I, affaire C-362/14) puis le Privacy Shield le 16 juillet 2020 (arrêt Schrems II, affaire C-311/18), en raison de l'accès des services de renseignement américains aux données. La Commission a adopté le 10 juillet 2023 une nouvelle décision d'adéquation, le Data Privacy Framework, qui ne couvre que les entreprises américaines inscrites sur la liste tenue par le département du Commerce. Le Tribunal de l'Union a rejeté le 3 septembre 2025 le recours en annulation formé par le député Philippe Latombe (affaire T-553/23) ; un pourvoi a été formé devant la Cour de justice le 31 octobre 2025. À la date de vérification, le cadre est donc applicable, mais il est prudent de suivre l'évolution de ce contentieux.

Les garanties appropriées

En l'absence de décision d'adéquation, le transfert peut reposer sur des garanties appropriées (article 46). La plus utilisée est la signature des clauses contractuelles types adoptées par la Commission le 4 juin 2021 (décision 2021/914), organisées en modules selon les rôles des parties (responsable vers responsable, responsable vers sous-traitant, etc.). Les groupes internationaux peuvent aussi adopter des règles d'entreprise contraignantes, dites BCR, approuvées par une autorité de contrôle (article 47). Les codes de conduite et mécanismes de certification approuvés, assortis d'engagements contraignants de l'importateur, sont également prévus mais encore peu répandus.

L'évaluation du pays de destination

Depuis l'arrêt Schrems II, la signature des clauses ne suffit pas toujours : l'exportateur doit évaluer, au besoin avec l'importateur, si la législation et les pratiques du pays tiers permettent de les respecter, notamment au regard des accès des autorités publiques. Si ce n'est pas le cas, il doit ajouter des mesures complémentaires (chiffrement dont l'exportateur seul détient les clés, pseudonymisation) ou renoncer au transfert. Le CEPD a publié des recommandations (01/2020) qui détaillent cette démarche, souvent appelée analyse d'impact des transferts.

Les dérogations de l'article 49

En l'absence de toute autre garantie, l'article 49 autorise certains transferts dans des situations particulières : consentement explicite de la personne informée des risques, transfert nécessaire à l'exécution d'un contrat avec la personne (réservation d'un hôtel à l'étranger), motifs importants d'intérêt public, constatation ou défense de droits en justice, sauvegarde des intérêts vitaux. Ces dérogations sont d'interprétation stricte et ne peuvent pas fonder des transferts massifs, répétitifs et structurels, comme l'hébergement permanent d'une base de clients.

En pratique, pour une PME

La première étape consiste à repérer, dans le registre des traitements, les outils et prestataires qui impliquent un transfert : messagerie, stockage en ligne, outils d'envoi de courriels, CRM, visioconférence, intelligence artificielle, support technique. Pour chacun, il faut vérifier la localisation des serveurs et des accès, puis l'outil juridique : certification au Data Privacy Framework, clauses contractuelles types annexées au contrat, ou option d'hébergement européen. L'information des personnes doit mentionner l'existence de ces transferts et les garanties retenues.

Les transferts invisibles

De nombreux transferts se produisent sans que l'organisme en ait conscience. L'utilisation d'un logiciel de messagerie, d'un outil de visioconférence, d'une solution de stockage en ligne, d'un service d'envoi de courriels, d'un outil de mesure d'audience, d'un service de traduction automatique ou d'un assistant d'intelligence artificielle peut impliquer un hébergement ou un accès depuis un pays tiers. Même lorsque les données sont hébergées dans l'Union, un accès à distance par les équipes de support d'un prestataire situées hors de l'Union constitue un transfert. Le recensement des transferts suppose donc d'examiner, pour chaque prestataire, la localisation de l'hébergement, des sauvegardes, des équipes de support et des sous-traitants ultérieurs, informations qui figurent généralement dans l'accord de traitement des données.

Le cadre de protection des données UE-États-Unis

Après l'invalidation du Safe Harbor en 2015 par l'arrêt Schrems I, puis du Privacy Shield en 2020 par l'arrêt Schrems II, la Commission européenne a adopté le 10 juillet 2023 une nouvelle décision d'adéquation, le Data Privacy Framework. Elle permet de transférer librement des données vers les entreprises américaines qui ont adhéré au cadre et figurent sur la liste tenue par le département du Commerce. Ce cadre repose sur des engagements pris par les États-Unis par un décret présidentiel d'octobre 2022, qui limite l'accès des services de renseignement aux données à ce qui est nécessaire et proportionné et crée un mécanisme de recours, avec une Cour de révision de la protection des données. Le Tribunal de l'Union européenne a rejeté le 3 septembre 2025 le recours en annulation formé par le député français Philippe Latombe (affaire T-553/23) ; un pourvoi a été formé devant la Cour de justice le 31 octobre 2025, et l'affaire était pendante à la date de mise à jour de ce guide.

Vérifier l'adhésion d'un prestataire

Pour s'appuyer sur le Data Privacy Framework, l'exportateur doit vérifier que son prestataire américain figure bien sur la liste officielle, que son adhésion est active et qu'elle couvre le type de données transférées, notamment les données des ressources humaines qui font l'objet d'une adhésion spécifique. À défaut, il doit recourir à d'autres garanties, comme les clauses contractuelles types. Compte tenu de l'incertitude liée au pourvoi, de nombreux organismes conservent les clauses contractuelles types en complément, afin de disposer d'une solution de repli si la décision d'adéquation venait à être invalidée.

Les clauses contractuelles types de 2021

La Commission européenne a adopté le 4 juin 2021 de nouvelles clauses contractuelles types pour les transferts, qui remplacent les anciennes clauses de 2001, 2004 et 2010. Elles adoptent une structure modulaire couvrant quatre situations : de responsable à responsable, de responsable à sous-traitant, de sous-traitant à sous-traitant et de sous-traitant à responsable. Elles intègrent les exigences de l'arrêt Schrems II, en imposant aux parties d'évaluer la législation du pays de destination, de documenter cette évaluation et de prendre des mesures supplémentaires si nécessaire. Elles imposent aussi à l'importateur de notifier les demandes d'accès des autorités publiques et de les contester lorsqu'elles sont illégales. Ces clauses ne peuvent pas être modifiées, mais elles peuvent être complétées par des clauses additionnelles qui ne les contredisent pas.

Les règles d'entreprise contraignantes

Les groupes multinationaux peuvent adopter des règles d'entreprise contraignantes, souvent désignées par leur acronyme anglais BCR, qui encadrent les transferts de données au sein du groupe. Ces règles doivent être approuvées par l'autorité de contrôle compétente, après avis du CEPD, selon la procédure de l'article 47. Elles engagent toutes les entités du groupe à respecter un niveau de protection équivalent à celui du RGPD, prévoient des droits pour les personnes concernées et des mécanismes de contrôle. Leur élaboration est longue et coûteuse, ce qui les réserve en pratique aux grands groupes, mais elles offrent une solution durable pour les flux intragroupe.

L'évaluation de l'impact du transfert

Depuis l'arrêt Schrems II, l'exportateur qui s'appuie sur des clauses contractuelles types ou des règles d'entreprise contraignantes doit vérifier que la législation et les pratiques du pays de destination permettent à l'importateur de respecter ses engagements. Cette évaluation, souvent appelée TIA d'après l'anglais transfer impact assessment, examine notamment les lois permettant aux autorités publiques d'accéder aux données, les garanties encadrant ces accès et les voies de recours ouvertes aux personnes. Les recommandations 01/2020 du CEPD décrivent une méthode en six étapes : connaître ses transferts, identifier l'outil de transfert, évaluer la législation du pays tiers, adopter des mesures supplémentaires si nécessaire, accomplir les formalités procédurales et réévaluer régulièrement. Pour les transferts vers les États-Unis couverts par le Data Privacy Framework, cette évaluation n'est pas nécessaire, mais elle le redevient si l'on recourt aux clauses contractuelles types vers un importateur non adhérent.

Les mesures supplémentaires

Lorsque l'évaluation révèle que la législation du pays tiers ne garantit pas un niveau de protection équivalent, l'exportateur doit adopter des mesures supplémentaires pour combler l'écart, ou renoncer au transfert. Les mesures techniques sont les plus efficaces : un chiffrement robuste dont les clés restent sous le contrôle exclusif de l'exportateur dans l'Union rend les données inintelligibles pour l'importateur et pour les autorités étrangères ; la pseudonymisation, lorsque la table de correspondance reste dans l'Union, limite aussi l'exposition. Les mesures contractuelles, comme l'engagement de contester les demandes d'accès ou de publier des rapports de transparence, et les mesures organisationnelles, comme des politiques internes d'accès restreint, complètent le dispositif mais ne suffisent généralement pas seules. Le CEPD reconnaît que certains scénarios, comme l'accès en clair à des données par un prestataire soumis à une surveillance de masse, ne peuvent pas être sécurisés par des mesures supplémentaires.

Les pays reconnus adéquats

La Commission européenne a reconnu un niveau de protection adéquat à une quinzaine de pays et territoires : Andorre, l'Argentine, le Canada pour les organisations soumises à la loi fédérale sur la protection des renseignements personnels, les îles Féroé, Guernesey, Israël, l'île de Man, le Japon, Jersey, la Nouvelle-Zélande, la République de Corée, la Suisse, le Royaume-Uni, l'Uruguay, ainsi que les États-Unis pour les organisations adhérant au Data Privacy Framework. La décision relative au Royaume-Uni, adoptée en 2021 pour quatre ans, a été prolongée en 2025 et a fait l'objet d'une procédure de renouvellement après l'adoption de la réforme britannique de la protection des données ; il est prudent de vérifier son statut sur le site de la Commission avant tout transfert important. Ces décisions font l'objet de réexamens périodiques et peuvent être modifiées ou retirées si le niveau de protection évolue.

Les dérogations pour situations particulières

En l'absence de décision d'adéquation et de garanties appropriées, l'article 49 autorise des transferts dans des situations particulières : consentement explicite de la personne après information sur les risques, nécessité pour l'exécution d'un contrat avec la personne ou conclu dans son intérêt, motifs importants d'intérêt public, constatation, exercice ou défense de droits en justice, sauvegarde des intérêts vitaux, ou transfert depuis un registre public. Le CEPD insiste sur le caractère exceptionnel de ces dérogations, qui doivent être interprétées strictement et ne peuvent pas fonder des transferts réguliers, massifs ou structurels. La réservation d'un hôtel à l'étranger pour un client, ou l'envoi ponctuel de documents à un avocat étranger dans le cadre d'un litige, peuvent relever de ces dérogations ; l'hébergement permanent d'une base de données dans un pays tiers ne le peut pas.

Les transferts et les demandes d'autorités étrangères

L'article 48 du RGPD prévoit qu'une décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant le transfert ou la divulgation de données ne peut être reconnue ou rendue exécutoire que si elle est fondée sur un accord international, comme un traité d'entraide judiciaire. En France, la loi dite « de blocage » du 26 juillet 1968, réformée en 2022, interdit par ailleurs de communiquer à des autorités étrangères certains renseignements d'ordre économique, commercial, industriel, financier ou technique tendant à la constitution de preuves en vue de procédures étrangères, hors des voies de l'entraide internationale. Un organisme qui reçoit une telle demande doit donc la faire examiner par un juriste avant toute réponse.

Choisir un hébergement européen

Pour réduire les risques liés aux transferts, de nombreux organismes privilégient des prestataires européens, dont les données sont hébergées et administrées dans l'Union et qui ne sont pas soumis à des législations extraterritoriales. La qualification SecNumCloud de l'ANSSI, dans sa version 3.2, intègre des critères d'immunité aux lois extraterritoriales, ce qui en fait une référence pour les données sensibles. La doctrine « cloud au centre » de l'État impose d'ailleurs aux administrations de recourir à des offres qualifiées pour les données d'une sensibilité particulière. Pour une petite entreprise, choisir un hébergeur, une messagerie ou un outil de stockage européen simplifie considérablement la conformité, en supprimant la question des transferts.

Documenter ses transferts

Les transferts doivent figurer dans le registre des traitements, avec l'identification du pays tiers et, pour les transferts fondés sur une dérogation de l'article 49, paragraphe 1, second alinéa, les documents attestant de l'existence de garanties appropriées. L'information des personnes doit mentionner l'existence du transfert, l'existence ou l'absence d'une décision d'adéquation, la référence aux garanties appropriées et les moyens d'en obtenir une copie. Conserver les clauses signées, l'évaluation de l'impact du transfert et les mesures supplémentaires adoptées permet de répondre rapidement à une demande de la CNIL ou d'une personne concernée. Cette documentation doit être revue lorsque le prestataire change de sous-traitants, de lieu d'hébergement ou de politique d'accès, et à chaque évolution significative du cadre juridique, comme une décision de la Cour de justice sur un mécanisme de transfert.

Les transferts et l'intelligence artificielle

L'usage d'outils d'intelligence artificielle proposés par des fournisseurs établis hors de l'Union pose la question des transferts. Les informations saisies dans un assistant conversationnel, les documents analysés ou les enregistrements de réunions transcrits peuvent être traités sur des serveurs étrangers. Avant d'autoriser ces outils, l'organisme doit vérifier la localisation du traitement, l'existence d'une offre professionnelle avec hébergement européen, les garanties de transfert et la politique de réutilisation des données. Beaucoup de fournisseurs proposent désormais des options de résidence des données dans l'Union pour leurs clients professionnels.