Transferts de données hors Union européenne : le cadre
En bref
Un transfert hors Union européenne existe dès que des données deviennent accessibles depuis un pays tiers, y compris pour une simple maintenance à distance. Il doit être encadré par l'un des mécanismes prévus par le RGPD : décision d'adéquation, clauses contractuelles types, règles d'entreprise contraignantes ou, selon les cas, une dérogation d'application restreinte.
Choisir un outil en ligne revient souvent à décider, sans le savoir, où vivront vos données. Le RGPD n'interdit pas de les faire sortir de l'Union européenne, mais il exige que le niveau de protection les suive. Voici comment repérer un transfert et l'encadrer. Cet article donne des repères généraux et ne constitue pas un conseil juridique.
Qu'est-ce qu'un transfert, exactement ?
La notion est plus large que le déplacement d'un fichier. Il y a transfert dès que des données deviennent accessibles depuis un pays situé hors de l'Union européenne et de l'Espace économique européen.
- un hébergement dont les serveurs se trouvent hors d'Europe ;
- un support technique qui consulte votre base depuis un autre continent ;
- une sauvegarde répliquée dans une région lointaine ;
- un outil d'envoi d'e-mails ou de statistiques dont l'éditeur exploite les données depuis un pays tiers ;
- une filiale du groupe qui accède à l'annuaire du personnel.
Le stockage annoncé en Europe ne règle donc pas tout : la question porte aussi sur les accès. Un service hébergé en France mais administré depuis l'étranger organise bien un transfert.
Les mécanismes d'encadrement
| Mécanisme | Principe | Usage courant |
|---|---|---|
| Décision d'adéquation | La Commission européenne a reconnu qu'un pays offre un niveau de protection adéquat. | Aucune formalité supplémentaire, mais la liste des pays concernés évolue. |
| Clauses contractuelles types | Un modèle de contrat adopté par la Commission, signé entre les parties. | Le cas le plus fréquent avec un prestataire établi hors d'Europe. |
| Règles d'entreprise contraignantes | Des règles internes approuvées par une autorité, applicables au sein d'un groupe. | Groupes internationaux, après une procédure d'approbation longue. |
| Dérogations | Situations particulières prévues par le règlement. | Interprétation restrictive : elles ne conviennent pas à des flux réguliers. |
Signer des clauses ne suffit pas toujours. Vous devez apprécier si le droit du pays de destination permet réellement de les respecter, et ajouter si nécessaire des mesures complémentaires, techniques ou organisationnelles. Le chiffrement dont vous seul détenez les clés en est l'exemple le plus cité.
Le point de vigilance des lois étrangères
Certains États permettent à leurs autorités de réclamer des données à des entreprises relevant de leur droit, y compris pour des informations stockées ailleurs. Un prestataire soumis à un tel régime peut donc se trouver en tension avec ses engagements européens, même quand ses serveurs sont installés en France. Notre article sur le Cloud Act et vos données hébergées détaille ce point. Un hébergement souverain, chez un prestataire relevant du seul droit européen, supprime la question plutôt que de la gérer.
Que vérifier avant de choisir un outil
- Où sont les serveurs, et peut-on choisir la région d'hébergement ?
- Depuis quels pays le prestataire accède-t-il aux données, support et administration compris ?
- Quels sous-traitants ultérieurs interviennent, et où sont-ils situés ?
- Quel mécanisme encadre le transfert, et les documents sont-ils fournis sur demande ?
- Quelles mesures complémentaires sont mises en place, et qui détient les clés de chiffrement ?
- Que prévoit le contrat en cas de demande d'une autorité étrangère : information du client, contestation ?
- Comment récupérer vos données si vous changez d'avis ?
Consignez les réponses dans votre registre et votre documentation contractuelle. Elles seront demandées en cas de contrôle.
Ce qu'il faut dire aux personnes
L'information doit mentionner l'existence de transferts hors de l'Union européenne, les pays concernés et le mécanisme qui les encadre, avec le moyen d'en obtenir copie. Une formule vague ne répond pas à cette exigence.
Selon les cas, l'appréciation du droit d'un pays tiers demande une analyse juridique : reportez-vous aux publications de la CNIL et du comité européen de la protection des données. NexSecure peut cartographier vos flux et privilégier des solutions européennes dans le cadre de son offre de conformité RGPD.
Questions fréquentes
Un hébergement en France suffit-il à éviter tout transfert ?
Pas toujours. Si le prestataire administre les serveurs ou assure le support depuis un pays tiers, il y a accès depuis l'étranger, donc transfert. Interrogez votre fournisseur sur les accès, pas seulement sur l'emplacement des serveurs.
Les clauses contractuelles types suffisent-elles ?
Elles constituent le cadre, mais vous devez vérifier que le droit du pays de destination permet de les respecter. Si ce n'est pas le cas, des mesures complémentaires sont nécessaires, comme un chiffrement dont vous gardez la maîtrise des clés.
Qu'est-ce qu'une décision d'adéquation ?
Une décision par laquelle la Commission européenne reconnaît qu'un pays assure un niveau de protection adéquat. Les transferts vers ce pays ne requièrent alors pas d'outil supplémentaire. Ces décisions peuvent être révisées ou remises en cause.
Faut-il informer les personnes des transferts ?
Oui. Votre information doit indiquer l'existence du transfert, les pays concernés, le mécanisme qui l'encadre et la façon d'obtenir une copie des garanties. Une mention générale sans précision ne répond pas à l'exigence.
Sources
Service lié
Articles liés
Rédigé par l'équipe NexSecure. Responsable de la publication : Yohann Toumine. Dernière mise à jour le 11 septembre 2026.
Une question sur votre situation ? Parler de votre projet