Module 6 sur 8 · Environ 15 minutes
Transferts internationaux
Comment des données personnelles peuvent légalement quitter l’Espace économique européen.
La règle
Le chapitre V du RGPD n’autorise les transferts hors de l’Espace économique européen que si le niveau de protection n’est pas compromis. Un transfert inclut l’accès à distance depuis un pays tiers, et pas seulement la copie de fichiers à l’étranger. Le DPO doit savoir où vont les données, y compris via les fournisseurs cloud et d’IA et leurs sous-traitants ultérieurs.
Les outils de transfert
- Décisions d’adéquation (article 45) : la Commission a constaté qu’un pays ou un cadre assure une protection adéquate — par exemple le cadre de protection des données UE–États-Unis pour les organisations américaines certifiées (2023).
- Garanties appropriées (article 46) : le plus souvent les clauses contractuelles types de la Commission (2021), avec une évaluation de l’impact du transfert sur le droit et les pratiques du pays de destination et, si nécessaire, des mesures supplémentaires.
- Règles d’entreprise contraignantes (article 47) pour les transferts au sein d’un groupe, approuvées par une autorité de contrôle.
- Dérogations (article 49), comme le consentement explicite ou la nécessité pour un contrat, pour des situations particulières — pas pour des transferts réguliers et à grande échelle.
En pratique
Recensez les transferts dans le registre, vérifiez la liste des sous-traitants ultérieurs et les lieux d’hébergement de chaque fournisseur, consignez l’outil de transfert retenu et réexaminez-le lorsque la loi ou les fournisseurs changent. Confrontez les promesses de localisation des données à l’accès du support et à la télémétrie, qui impliquent souvent eux aussi des transferts.
L’essentiel
- L’accès à distance depuis l’extérieur de l’EEE est un transfert.
- D’abord l’adéquation ; à défaut, des clauses contractuelles types avec une évaluation d’impact, ou des BCR au sein d’un groupe.
- Les dérogations de l’article 49 sont réservées à des situations ponctuelles et particulières.
- Sachez où chaque fournisseur et sous-traitant ultérieur traite les données.
Vérifiez votre compréhension
Un technicien du support aux États-Unis peut consulter vos données clients hébergées dans l’UE. Est-ce un transfert ?
Voir la réponse: Oui. L’accès à distance depuis un pays tiers est un transfert et nécessite un outil de transfert.
Peut-on s’appuyer sur le consentement explicite de l’article 49 pour des transferts quotidiens de paie vers un pays sans adéquation ?
Voir la réponse: Non. Les dérogations visent des situations particulières, pas des transferts réguliers et à grande échelle.