Un transfert international consiste à mettre des données personnelles à la disposition d'un destinataire situé hors de l'Espace économique européen. Ce transfert est autorisé, mais uniquement si le niveau de protection prévu par le RGPD n'est pas compromis dans les faits.
Base légale
Le chapitre V du RGPD régit les transferts de données. L'article 45 autorise les transferts vers les pays faisant l'objet d'une décision d'adéquation de la Commission européenne ; pour les États-Unis, le cadre UE-États-Unis relatif à la protection des données s'applique depuis le 10 juillet 2023, et uniquement aux organismes certifiés. L'article 46 énumère les garanties appropriées, parmi lesquelles les clauses contractuelles types de 2021 sont les plus utilisées, ainsi que les règles d'entreprise contraignantes. L'article 49 prévoit des dérogations pour des cas exceptionnels. Suite à l'arrêt Schrems II du 16 juillet 2020, un instrument seul ne suffit pas : une analyse de la législation du pays destinataire, une analyse d'impact relative au transfert sont requises, avec des mesures complémentaires si nécessaire, telles que le chiffrement avec une clé conservée en Europe.
Comment ça marche en pratique
La première étape consiste à déterminer où se trouvent les données et qui y a accès, y compris le support technique situé hors d'Europe. Ce dernier point est souvent négligé : l'accès à distance par une équipe de support constitue également un transfert de données. Le choix de l'outil et son évaluation suivent et doivent être consignés par écrit. Les contrats doivent obliger le fournisseur à notifier tout changement de lieu ou de sous-traitant.
Là où ça tourne mal
Les organisations se fient à la certification de leur fournisseur sans vérifier qu'elle couvre effectivement le service en question. Une autre erreur consiste à signer des clauses contractuelles types sans remplir les annexes, ce qui entraîne l'absence de description du traitement. Enfin, l'évaluation n'est pas documentée, alors même que le principe de responsabilité l'exige.
termes connexes
Les transferts sont liés à l’ accord de traitement des données , à l’analyse d’impact relative à la protection des données et à l’ accord SaaS.
Savez-vous où se trouvent vos données ? Nos spécialistes en droit informatique cartographient les transferts et les mesures de protection.
