Règlement (UE) 2016/679, chapitre V

Transférer des données hors de l'Union européenne

Le chapitre V du règlement (UE) 2016/679 n'interdit pas les transferts : il subordonne leur licéité à ce que le niveau de protection garanti par le règlement ne soit pas compromis. Toute la difficulté tient à ce que ce niveau ne dépend pas seulement de ce que le destinataire s'engage à faire, mais aussi de ce que le droit de son pays permet aux autorités publiques d'exiger de lui.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Ce qui constitue un transfert, et ce qui n'en a pas l'air

Le règlement ne définit pas le transfert, mais la pratique des autorités retient une lecture large : il y a transfert dès lors que des données sont mises à la disposition d'un destinataire situé dans un pays tiers. Le déplacement physique n'est pas le critère.

Trois situations relèvent donc du chapitre V sans que les données quittent un serveur européen. L'accès distant d'une équipe de support ou d'administration située dans un pays tiers à une base hébergée dans l'Union. La consultation, par une société mère établie hors de l'Union, d'un outil groupe alimenté par ses filiales européennes. Et la simple possibilité d'accès conférée à un administrateur, même inutilisée, dès lors qu'elle est effective.

L'inverse est également vrai : la collecte de données auprès d'une personne située dans un pays tiers n'est pas un transfert, puisque les données entrent dans l'Union au lieu d'en sortir. Cette distinction évite de bâtir un mécanisme de transfert là où aucun n'est requis.

Les mécanismes, dans leur ordre de préférence

L'article 45 : la décision d'adéquation

Lorsque la Commission a constaté que le pays tiers, un territoire ou un secteur déterminé assure un niveau de protection adéquat, le transfert ne requiert aucune autorisation particulière. C'est le mécanisme le plus simple, et sa disponibilité se vérifie pays par pays et, le cas échéant, secteur par secteur, à la date du transfert.

L'article 46 : les garanties appropriées

À défaut d'adéquation, le transfert est possible moyennant des garanties appropriées, à condition que les personnes disposent de droits opposables et de voies de recours effectives. Les clauses contractuelles types adoptées par la Commission sont l'instrument le plus utilisé ; les règles d'entreprise contraignantes de l'article 47 sont réservées aux groupes et supposent une approbation par l'autorité compétente.

L'article 49 : les dérogations

Elles n'interviennent qu'en l'absence d'adéquation et de garanties appropriées, et sont d'interprétation stricte. Le consentement explicite du point a) suppose que la personne ait été informée des risques du transfert en l'absence de garanties ; la nécessité contractuelle du point b) ne couvre pas un transfert systématique et répété, mais des transferts occasionnels liés à un contrat déterminé.

L'analyse d'impact du transfert

Le recours aux clauses contractuelles types ne suffit pas par lui-même. Le responsable doit vérifier que la législation et les pratiques du pays de destination ne font pas obstacle au respect effectif des engagements souscrits, en particulier au regard des pouvoirs d'accès des autorités publiques. C'est l'objet de ce que la pratique nomme l'analyse d'impact du transfert.

Lorsque cette analyse conclut que le droit local peut compromettre les garanties, le transfert n'est possible que si des mesures supplémentaires rétablissent un niveau de protection substantiellement équivalent. Ces mesures doivent être efficaces au regard du risque identifié : un chiffrement dont le destinataire détient la clé ne protège pas contre une injonction adressée à ce destinataire, tandis qu'un chiffrement dont les clés restent dans l'Union et hors de portée du destinataire produit un effet réel.

L'analyse et ses conclusions se conservent : elles constituent la preuve que la vérification a eu lieu, et elles sont demandées lorsqu'un transfert est examiné.

Ce qui se documente, et où

L'article 30.1 impose d'inscrire au registre les transferts vers un pays tiers, avec l'identification de celui-ci et, dans le cas du second alinéa de l'article 49.1, les garanties appropriées. L'article 30.2 impose la même mention au sous-traitant. Les articles 13.1 f) et 14.1 f) imposent par ailleurs d'informer les personnes de l'intention de transférer, du mécanisme retenu et des moyens d'obtenir une copie des garanties.

La question la plus utile à se poser en amont n'est cependant pas documentaire : c'est celle de la nécessité du transfert. Un hébergement dans l'Union, une équipe de support européenne ou une restriction des accès administrateurs suppriment le problème plutôt qu'ils ne l'encadrent, et coûtent souvent moins qu'un dossier de transfert tenu à jour année après année.

Questions fréquentes

Un accès distant depuis un pays tiers est-il un transfert ?

Oui. La mise à disposition de données au profit d'un destinataire situé dans un pays tiers constitue un transfert au sens du chapitre V du règlement (UE) 2016/679, indépendamment du lieu de stockage. Un administrateur ou une équipe de support située hors de l'Union, accédant à une base hébergée dans l'Union, relève donc du chapitre V.

Les clauses contractuelles types suffisent-elles à elles seules ?

Non. Leur signature doit s'accompagner d'une vérification que la législation et les pratiques du pays de destination ne font pas obstacle au respect des engagements souscrits, notamment au regard des accès des autorités publiques. Lorsque ce n'est pas le cas, des mesures supplémentaires sont nécessaires, et leur efficacité doit être appréciée au regard du risque précis identifié.

Peut-on fonder un transfert sur le consentement de la personne ?

L'article 49.1 a) du règlement l'admet, mais comme dérogation d'interprétation stricte : le consentement doit être explicite et la personne doit avoir été informée des risques que le transfert comporte en l'absence de décision d'adéquation et de garanties appropriées. Cette dérogation ne convient pas à des transferts systématiques et répétés, pour lesquels un mécanisme de l'article 46 s'impose.

Les données hébergées en Europe par une société américaine sont-elles protégées ?

La localisation du serveur ne règle pas la question à elle seule : ce qui compte est de savoir qui peut accéder aux données et à quel droit ce destinataire est soumis. Si des personnels situés hors de l'Union disposent d'un accès effectif, il y a transfert, et le chapitre V s'applique. L'analyse porte sur les accès réels, pas sur l'adresse du centre de données.

Ce que ce régime déclenche ailleurs

Une entreprise établie hors de l'Union qui relève de l'article 3.2 supporte une obligation distincte de celle des transferts : celle de l'article 27.

Désigner un représentant dans l'Union

Ce qui constitue une violation, le délai de 72 heures et son point de départ, les critères qui commandent la notification et l'information des personnes.

Violation de données

Le délai d'un mois et sa prorogation, ce que chaque droit permet réellement, ses limites, et la manière de motiver un refus partiel sans ouvrir un contentieux.

Droits des personnes

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.