Transfert de données hors UE : le cadre RGPD en 2026

Un transfert de données hors UE désigne toute mise à disposition de données personnelles à un organisme situé en dehors de l’Espace économique européen. Le RGPD l’autorise à trois conditions : un pays reconnu adéquat, des garanties contractuelles encadrées, ou une dérogation exceptionnelle. Sans l’un de ces trois fondements, le transfert est illicite.

Ce que le RGPD range derrière le mot « transfert »

Le règlement ne définit nulle part cette notion. Le chapitre V, articles 44 à 50, en fixe le régime sans en poser la définition. Le Comité européen de la protection des données a comblé ce vide avec ses lignes directrices 05/2021, adoptées dans leur version définitive en février 2023.

Un transfert existe quand trois critères cumulatifs sont réunis :

• l’exportateur, responsable de traitement ou sous-traitant, est soumis au RGPD ;
• il transmet les données ou les met à disposition d’un autre organisme, l’importateur ;
• cet importateur se trouve dans un pays tiers ou constitue une organisation internationale.

Si l’un des trois manque, le chapitre V ne s’applique pas. Le reste du règlement continue de s’imposer intégralement, y compris les obligations de sécurité des données en entreprise.

Cette lecture élargit fortement le périmètre concerné. Un simple accès à distance compte, sans qu’aucun fichier ne quitte physiquement un serveur européen. Voici les situations les plus fréquentes dans une entreprise française :

• l’hébergement d’une base clients sur un serveur situé aux États-Unis ou en Asie ;
• l’accès d’une équipe de support basée en Inde à votre outil de ticketing ;
• la synchronisation d’un CRM européen vers une maison mère nord-américaine ;
• le stockage des sauvegardes chez un prestataire dont les centres de données sortent de l’EEE ;
• l’envoi de fichiers de paie à un cabinet comptable installé hors Europe.

Une nuance compte pour les entreprises internationales : un salarié qui saisit lui-même ses données depuis un pays tiers ne réalise pas un transfert, faute d’exportateur distinct de la personne concernée. Le critère décisif reste l’existence de deux organismes séparés.

Le risque financier ne se discute pas. Les manquements au chapitre V relèvent du plafond haut de l’article 83 : 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.

Pays adéquats : la voie sans formalité supplémentaire

L’article 45 autorise la Commission européenne à constater qu’un pays tiers offre un niveau de protection substantiellement équivalent à celui de l’Union. Une fois cette décision d’adéquation adoptée, les données circulent vers ce pays comme vers l’Allemagne ou l’Espagne : aucun contrat spécifique, aucune autorisation préalable, aucune analyse complémentaire.

Une quinzaine de pays et territoires figurent parmi les pays adéquats : Andorre, Argentine, Brésil, Canada pour les organismes commerciaux, Corée du Sud, îles Féroé, Guernesey, île de Man, Israël, Japon, Jersey, Nouvelle-Zélande, Royaume-Uni, Suisse et Uruguay.

Deux mouvements récents méritent attention. La CNIL indique que la Commission européenne et le Brésil ont adopté des décisions d’adéquation mutuelles le 27 janvier 2026, ouvrant la circulation des données dans les deux sens. Côté britannique, la Commission a renouvelé ses décisions le 21 décembre 2025, après deux prolongations techniques liées à la réforme du droit national.

Ce statut n’est jamais acquis définitivement. L’article 45 impose à la Commission un réexamen périodique, au moins tous les quatre ans, et l’autorise à suspendre une adéquation devenue infondée. Une entreprise qui bâtit toute sa chaîne de traitement sur une adéquation unique s’expose donc à un revirement, comme l’ont vécu les milliers d’organisations accrochées au Safe Harbor puis au Privacy Shield.

Le cadre UE-États-Unis, validé mais toujours sous surveillance

La Commission a adopté le 10 juillet 2023 la décision d’exécution 2023/1795 établissant le cadre de protection des données UE-États-Unis. Ce texte succède au Privacy Shield, invalidé par la Cour de justice de l’Union européenne le 16 juillet 2020 dans l’arrêt Schrems II, affaire C-311/18.

Le mécanisme ne couvre pas les États-Unis en bloc. Seules les organisations américaines auto-certifiées auprès du département du Commerce et inscrites sur la liste du Data Privacy Framework en bénéficient. Trois vérifications s’imposent avant de s’y appuyer :

• la présence effective du prestataire sur la liste officielle, sous sa raison sociale exacte ;
• le statut actif de la certification, qui se renouvelle chaque année ;
• le périmètre couvert, la certification pouvant exclure les données de ressources humaines.

Le cadre a résisté à sa première contestation. Le Tribunal de l’Union européenne a rejeté le 3 septembre 2025 le recours en annulation formé par le député français Philippe Latombe, affaire T-553/23, jugeant que l’appréciation portée par la Commission sur le droit américain n’était pas entachée d’erreur manifeste. Un pourvoi a été formé devant la Cour de justice, qui n’a pas encore statué.

Le passif du dossier invite à la prudence. Deux cadres transatlantiques ont déjà été annulés en dix ans. Garder des clauses contractuelles types signées en second rideau évite de reconstruire l’ensemble de ses contrats dans l’urgence si le troisième tombait.

Encadrer par le contrat : clauses types et règles de groupe

Sans décision d’adéquation, l’article 46 exige des garanties appropriées. Deux outils dominent très largement la pratique des entreprises françaises.

Les quatre modules des clauses contractuelles types

La décision d’exécution 2021/914 du 4 juin 2021 a remplacé les jeux de clauses antérieurs, dont certains dataient de 2001. Sa structure modulaire couvre quatre configurations : responsable vers responsable, responsable vers sous-traitant, sous-traitant vers sous-traitant, sous-traitant vers responsable. Vous assemblez le tronc commun et le module correspondant à votre situation réelle, puis vous complétez les annexes décrivant les traitements et les mesures de sécurité.

Signer ne suffit pas. L’arrêt Schrems II a maintenu la validité des clauses tout en imposant à l’exportateur de vérifier, au cas par cas, que le droit du pays destinataire n’en compromet pas l’effet utile. L’autorité irlandaise de protection des données a sanctionné Meta de 1,2 milliard d’euros en mai 2023, précisément pour avoir maintenu des transferts vers les États-Unis sur la seule base de clauses types jugées insuffisantes face aux programmes de surveillance américains.

Les règles d’entreprise contraignantes, réservées aux groupes

L’article 47 ouvre une seconde voie, celle des règles d’entreprise contraignantes, connues sous le sigle BCR. Il s’agit d’une politique interne de protection des données, juridiquement contraignante pour toutes les entités d’un même groupe, qui encadre les flux intragroupes hors de l’Union. Deux formes coexistent : les BCR responsable de traitement et les BCR sous-traitant.

L’approbation passe par une autorité chef de file, la CNIL pour les groupes pilotés depuis la France, puis par un avis du Comité européen de la protection des données. La procédure mobilise des mois de travail documentaire et une gouvernance dédiée. Elle se justifie pour une multinationale aux dizaines de filiales, rarement pour une PME de trente salariés.

L’analyse d’impact du transfert, l’étape que la CNIL attend

Choisir un outil de l’article 46 ouvre une obligation supplémentaire : évaluer si cet outil résiste réellement au droit du pays destinataire. Cette analyse d’impact du transfert, désignée par le sigle AITD, découle directement de l’arrêt Schrems II et pèse sur l’exportateur, qu’il soit responsable de traitement ou sous-traitant.

La CNIL a publié le 9 juillet 2025 la version finale de son guide pratique, après une consultation qui avait recueilli 34 contributions, émanant principalement de délégués à la protection des données, d’avocats et de consultants. Le guide déroule six étapes :

• connaître son transfert, ses données, ses acteurs, ses finalités et les pays traversés ;
• identifier l’outil de transfert mobilisé ;
• évaluer la législation et les pratiques du pays de destination ;
• identifier les mesures supplémentaires nécessaires ;
• mettre en œuvre ces mesures ;
• réévaluer le niveau de protection à intervalles appropriés.

Les mesures supplémentaires se déclinent sur trois registres. Technique : chiffrement dont les clés de déchiffrement restent conservées dans l’Union, pseudonymisation robuste, traitement fractionné entre plusieurs prestataires. Contractuel : engagement du fournisseur à contester toute demande d’accès d’une autorité étrangère, obligation de notification, droit d’audit. Organisationnel : politique interne de traitement des réquisitions, publication d’un rapport de transparence, formation des équipes concernées.

Ne confondez pas l’AITD avec l’analyse d’impact relative à la protection des données. La CNIL rappelle que les deux exercices ne poursuivent pas le même objectif : la première évalue un risque juridique lié à un pays, la seconde un risque pour les droits et libertés des personnes. Documenter ces analyses au fil de l’eau devient beaucoup plus tenable quand la démarche s’appuie sur l’automatisation de la conformité RGPD.

Les dérogations de l’article 49, strictement exceptionnelles

Quand ni l’adéquation ni les garanties appropriées ne sont mobilisables, l’article 49 ouvre une liste fermée de dérogations :

• consentement explicite de la personne, après information sur les risques précis encourus ;
• nécessité pour l’exécution d’un contrat conclu avec la personne concernée ;
• nécessité pour un contrat conclu dans l’intérêt de la personne concernée ;
• motifs importants d’intérêt public reconnus par le droit de l’Union ou national ;
• constatation, exercice ou défense de droits en justice ;
• sauvegarde des intérêts vitaux quand la personne se trouve dans l’incapacité de consentir ;
• communication depuis un registre public légalement accessible.

Le Comité européen de la protection des données a fixé sa doctrine dans ses lignes directrices 2/2018 du 25 mai 2018. Sa lecture reste volontairement restrictive : ces fondements visent des transferts occasionnels et non répétitifs, survenant en dehors du cours normal des activités, à des intervalles aléatoires.

Un exemple tranche le débat. Envoyer le dossier médical d’un salarié accidenté à un hôpital canadien relève de la sauvegarde des intérêts vitaux. Héberger la messagerie de toute l’entreprise chez un fournisseur non européen en invoquant le consentement des collaborateurs ne passe pas ce test : la régularité du flux exclut mécaniquement la dérogation. Le rapport hiérarchique fragilise de surcroît la liberté du consentement salarié.

SaaS hébergé hors UE : la démarche concrète pour une PME

La dépendance est structurelle. Selon Synergy Research Group, les fournisseurs européens pèsent environ 15 % du marché européen des services d’infrastructure cloud, quand Amazon, Microsoft et Google en captent près de 70 %. Ce marché représentait 36 milliards d’euros sur le seul premier semestre 2025. Une PME française travaille donc presque toujours avec au moins un outil concerné.

Sept actions à mener dans l’ordre :

• recenser chaque outil SaaS réellement utilisé, service par service, y compris ceux souscrits hors du circuit informatique officiel ;
• localiser l’hébergement et les accès distants du support, en interrogeant le fournisseur par écrit ;
• identifier le mécanisme invoqué par le prestataire, adéquation, clauses types ou règles de groupe ;
• récupérer la documentation contractuelle et l’annexe consacrée aux transferts hors UE ;
• conduire une AITD pour tout flux non couvert par une décision d’adéquation ;
• inscrire ces transferts au registre des traitements, comme l’exige l’article 30 ;
• informer les personnes concernées, l’article 13 imposant de mentionner l’existence du transfert et le mécanisme retenu.

Un précédent éclaire l’enjeu. Le 10 février 2022, la CNIL a mis en demeure un gestionnaire de site français de cesser d’utiliser Google Analytics dans ses conditions d’alors, faute de garanties suffisantes sur les transferts vers les États-Unis, avec un délai d’un mois pour se conformer. Le raisonnement vaut pour tout outil de mesure d’audience, de chat en ligne ou de marketing automation.

La chaîne de sous-traitance mérite un dernier mot. Un prestataire qui transfère lui-même vers un sous-traitant ultérieur hors de l’Espace économique européen doit obtenir votre autorisation et répercuter les mêmes garanties dans son propre contrat. La chaîne se documente jusqu’au dernier maillon, sous peine de laisser un trou béant dans le dossier de conformité. Cette cartographie recoupe largement celle qu’exigent déjà les obligations RGPD des entreprises et le pilotage du service informatique d’une PME.

Prochaine étape

Le contrôle porte rarement sur la théorie juridique. Il porte sur la capacité à produire, le jour de la visite, la liste des flux sortants et la preuve de leur encadrement. La CNIL a prononcé 486 839 500 euros d’amendes en 2025 pour 83 sanctions, selon son bilan annuel, avec une montée en puissance de la procédure simplifiée qui touche aussi les petites structures.

Commencez par les cinq outils qui traitent le plus de données personnelles : messagerie, CRM, paie, mesure d’audience, stockage de fichiers. Pour chacun, notez le pays d’hébergement, le mécanisme de transfert et la date de la dernière vérification. Ce tableau de bord tient sur une page et se construit en deux demi-journées. Il servira de socle aux AITD à conduire ensuite.