Aller au contenu principal
Quel logiciel RGPD

Vos données partent hors d’Europe : quoi vérifier, en dehors des États-Unis ?

Pour qui : Un prestataire héberge, assure le support ou développe depuis un pays hors de l’Europe, ou une filiale y consulte vos données. Vous devez savoir s’il y a transfert au sens du RGPD et quel outil s’applique, peut-être aussi trancher entre clauses types et règles de groupe.

Commencez par une question de fait : une autre entité, dans un pays hors de l’Espace économique européen, reçoit-elle vos données ou peut-elle les consulter ? Si oui, il y a en principe transfert, même depuis un simple écran de support. Vérifiez ensuite le pays sur la liste de la Commission, et non sur l’onglet du modèle de la CNIL.

Pays couvert et traitement dans le champ de la décision : aucun autre outil n’est demandé. Sinon, signez les clauses types de la Commission et menez une analyse d’impact du transfert : la CNIL l’exige avec tout outil de l’article 46. Les dérogations de l’article 49 restent réservées à des situations particulières.

Notre avis

Listez les pays d’accès de vos prestataires, y compris le support, puis vérifiez chacun sur la page de la Commission. Sans décision applicable, signez les clauses types et menez l’analyse. N’engagez des règles d’entreprise contraignantes que pour un groupe qui transfère régulièrement et qui a le temps d’une approbation.

Pourquoi

  • Le lieu d’hébergement ne suffit pas : un accès à distance par une autre entité peut constituer un transfert.
  • Le modèle de registre de la CNIL classe encore le Japon, la Corée du Sud et le Brésil en non adéquat et omet le Royaume-Uni, alors que la Commission les reconnaît.
  • Une décision peut avoir un champ limité : le pays ne suffit pas à conclure.
  • Des clauses types signées sans analyse laissent le travail à moitié fait : la CNIL exige l’analyse avec tout outil de l’article 46.

Ce qui change le choix

Si le destinataire est lui-même soumis au RGPD, les clauses de 2021 ne sont pas prévues pour ce cas selon la Commission : demandez comment le prestataire encadre le flux. Peu de flux dans un groupe : clauses seules. Transferts réguliers et implantation dans plusieurs pays de l’Union : les règles d’entreprise contraignantes entrent dans la discussion.

L’ordre à suivre

  1. Pas d’autre entité dans le pays : pas de transfert au sens du CEPD, le risque reste à prendre en compte.
  2. Pays couvert par une décision et dans son champ : aucun autre outil de transfert.
  3. Pays hors décision : clauses types de la Commission, avec analyse d’impact du transfert.
  4. Groupe à flux réguliers, implanté dans plusieurs pays de l’Union : envisager les règles d’entreprise contraignantes.
  5. Situation ponctuelle sans outil possible : dérogation de l’article 49, à justifier.

Y a-t-il transfert ?

Le CEPD retient trois critères cumulatifs : l’exportateur est soumis au RGPD pour ce traitement, il communique les données ou les rend accessibles à un autre responsable ou sous-traitant, et cet importateur se trouve dans un pays tiers, qu’il soit ou non soumis au RGPD.

Donc un support technique étranger qui voit vos données sur son écran entre dans la définition, comme un hébergement en nuage hors d’Europe chez un prestataire. Le guide de la CNIL dit la même chose pour les entités juridiquement distinctes, y compris au sein d’un même groupe. En revanche, votre salarié qui se connecte à la base de son employeur pendant un voyage ne réalise pas de transfert : il reste la même entité. Le CEPD rappelle que ce traitement peut quand même présenter des risques accrus, à prendre en compte dans vos mesures.

La liste à utiliser, et pourquoi pas celle du modèle CNIL

Au 5 novembre 2026, la Commission indique reconnaître : Andorre, Argentine, Brésil, Canada (organisations commerciales), îles Féroé, Guernesey, Israël, île de Man, Japon, Jersey, Nouvelle-Zélande, République de Corée, Suisse, Royaume-Uni, États-Unis (organisations participantes), Uruguay et Organisation européenne des brevets. Le Royaume-Uni a vu ses décisions renouvelées le 19 décembre 2025, et le Brésil a obtenu la sienne fin janvier 2026.

Le fichier de modèle de registre de la CNIL téléchargé le 5 novembre 2026, daté de février 2020 dans ses métadonnées, classe encore le Japon, la Corée du Sud et le Brésil en non adéquat et ne contient pas le Royaume-Uni. Corrigez cet onglet avant d’y choisir un pays.

Une décision peut aussi être limitée. La CNIL cite le Canada, pour le seul secteur privé en activités commerciales, et le Japon, qui exclut notamment la presse et les universités. Vérifiez que votre destinataire y entre et revenez à la liste régulièrement, comme le recommande la CNIL.

Sans décision d’adéquation : clauses et analyse

Les clauses de transfert de la Commission datent du 4 juin 2021. Elles diffèrent des clauses de sous-traitance de l’article 28, publiées le même jour. Selon la Commission, elles visent un importateur hors de l’Espace économique européen non soumis au RGPD, et d’autres jeux de clauses sont en préparation pour les importateurs soumis au RGPD.

L’analyse d’impact du transfert évalue si le droit du pays de destination permet de respecter ces clauses. Il ne s’agit pas de l’analyse d’impact sur la protection des données de l’article 35. Selon la CNIL, elle incombe à l’exportateur, avec l’aide de l’importateur, avant le transfert, et elle n’est pas requise en cas de décision d’adéquation ni pour une dérogation de l’article 49. Son guide n’est pas obligatoire, l’analyse l’est.

Si c’est votre prestataire qui exporte vers son propre sous-traitant, c’est à lui de mener cette analyse. Selon la CNIL, un simple résumé ne suffit pas, et la décision de garder ce prestataire vous revient. Exigez les éléments concrets.

Groupe international : clauses types ou règles d’entreprise contraignantes

Notre avis : commencez par les clauses types. Passez aux règles d’entreprise contraignantes, les BCR, seulement si votre groupe transfère régulièrement et dispose du temps nécessaire. Comptez d’abord les flux entre entités : peu de flux, clauses seules.

Deux outils pour les flux internes à un groupe
CritèreClauses typesRègles d’entreprise contraignantes (BCR)
Ce que c’estModèle de la Commission, à signer entre les parties.Politique interne de groupe, juridiquement contraignante pour ses entités.
AutorisationAucune autorisation particulière d’une autorité (article 46, paragraphe 2).Approbation par l’autorité compétente, avec saisine du CEPD (article 47 ; CNIL).
Pour quiTout exportateur soumis au RGPD vers un importateur non soumis.Selon la CNIL : organismes implantés dans plusieurs pays de l’Union transférant régulièrement hors de l’Union.
Analyse du transfertRequise (CNIL).Requise (CNIL).
Notre avisLe point de départ.Si les flux sont réguliers et le groupe prêt à porter l’approbation dans la durée.

Limites de cette page

Nous ne donnons pas la durée ni le coût d’une approbation de règles d’entreprise contraignantes : nous n’avons pas lu de chiffres fiables. Nous n’analysons le droit d’aucun pays. Les clauses de 2021 ont été lues par leur présentation, sans leur texte. La liste de la Commission change : vérifiez à la date de votre décision. Pour un pays à risque ou des données sensibles, l’analyse du transfert justifie un conseil spécialisé.

Prochaine action

Listez les pays d’accès de vos trois principaux prestataires, support compris, et demandez-leur la base de chaque transfert. Vérifiez chaque pays sur la page de la Commission. Dans un groupe, comptez aussi les flux entre entités.

Preuves et sources

Lu le 5 novembre 2026 : la page de la Commission européenne sur les décisions d’adéquation et celle sur les clauses types, le chapitre V du RGPD dans le texte publié par la CNIL, les lignes directrices 05/2021 du CEPD (version 2.0), le guide de la CNIL sur l’analyse d’impact des transferts (janvier 2025), sa page de présentation du 9 juillet 2025, sa page non datée sur les règles d’entreprise contraignantes, et le modèle de registre de la CNIL.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Déclaration de l’éditeur. Selon les lignes directrices 05/2021 du CEPD, un transfert suppose trois critères cumulatifs : un exportateur soumis au RGPD pour le traitement, une communication ou mise à disposition à un autre responsable ou sous-traitant, et un importateur dans un pays tiers, soumis ou non au RGPD.

    Portée : Version 2.0, adoptée le 14 février 2023.

    Réserve : Interprétation du CEPD.

  • Déclaration de l’éditeur. Selon le CEPD, l’accès à distance depuis un pays tiers, même par simple affichage à l’écran pour un support, et le stockage en nuage hors de l’Espace économique européen par un prestataire constituent un transfert si les trois critères sont réunis ; l’accès à distance d’un salarié de la même entité pendant un voyage ne l’est pas.

    Portée : Version 2.0, section 2.2 et exemple 8.

    Réserve : Si ce salarié transmet les données à une autre entité dans le pays, l’analyse change. Le CEPD signale que l’absence de transfert n’efface pas les risques liés au pays (section 4).

  • Déclaration de l’éditeur. Selon le guide de la CNIL, l’accès à distance depuis un pays tiers et le stockage en nuage hors de l’Espace économique européen constituent un transfert lorsqu’ils sont réalisés par une entité juridiquement différente, et une mise à disposition entre deux entités d’un même groupe peut en constituer un.

    Portée : Guide pratique, version finale de janvier 2025, section 2.1.

    Réserve : Guide non obligatoire.

  • Fait lu. La Commission européenne indique reconnaître Andorre, l’Argentine, le Brésil, le Canada pour les organisations commerciales, les îles Féroé, Guernesey, Israël, l’île de Man, le Japon, Jersey, la Nouvelle-Zélande, la République de Corée, la Suisse, le Royaume-Uni, les États-Unis pour les organisations participant au Data Privacy Framework, l’Uruguay et l’Organisation européenne des brevets.

    Portée : Page lue le 5 novembre 2026.

    Réserve : Liste évolutive, date de la page non relevée.

  • Fait lu. La Commission a renouvelé les décisions pour le Royaume-Uni le 19 décembre 2025, et a adopté une décision pour le Brésil annoncée le 27 janvier 2026, le document étant daté du 26 janvier 2026.

    Portée : Rubrique d’actualité et documents de la page de la Commission.

    Réserve : La page affiche deux dates proches pour le Brésil : d’où « fin janvier 2026 ».

  • Fait lu. L’onglet 5 du modèle de registre de la CNIL classe le Japon, la Corée du Sud et le Brésil en non adéquat et ne contient pas le Royaume-Uni ; le fichier porte la date de métadonnée du 18 février 2020.

    Portée : Fichier ODS téléchargé le 5 novembre 2026.

    Réserve : La métadonnée date le fichier, sans dire qu’aucune autre révision n’a eu lieu. Un organisme a pu corriger sa copie.

  • Déclaration de l’éditeur. Selon le guide de la CNIL, les décisions d’adéquation peuvent avoir un champ limité, comme celle du Canada pour les organisations du secteur privé en activités commerciales et celle du Japon, qui exclut notamment la presse, les universités, les institutions religieuses et les organismes politiques, et il est recommandé de vérifier régulièrement la liste.

    Portée : Guide pratique, section 2.2.

    Réserve : Exemples, à lire dans la décision du pays concerné.

  • Fait lu. L’article 44 soumet tout transfert au chapitre V, transferts ultérieurs compris ; l’article 46 prévoit, sans décision d’adéquation, des garanties appropriées avec droits opposables et voies de droit effectives, dont des clauses types et des règles d’entreprise contraignantes, sans autorisation particulière d’une autorité ; l’article 49 prévoit des dérogations pour des situations particulières.

    Portée : Chapitre V du RGPD.

    Réserve : Texte reproduit par la CNIL, numéros de paragraphe rétablis.

  • Fait lu. Selon la Commission, les clauses du 4 juin 2021 visent les transferts vers des responsables ou sous-traitants établis hors de l’Espace économique européen et non soumis au RGPD, et d’autres jeux de clauses sont en préparation pour les importateurs directement soumis au RGPD.

    Portée : Page de la Commission lue le 5 novembre 2026.

    Réserve : Texte des clauses non lu. Statut de ces nouveaux jeux à vérifier à la date de décision.

  • Déclaration de l’éditeur. Selon la CNIL, l’analyse d’impact du transfert doit être réalisée par l’exportateur, avec l’assistance de l’importateur, avant un transfert fondé sur un outil de l’article 46, sauf décision d’adéquation ou dérogation de l’article 49 ; l’utilisation de son guide n’est pas obligatoire.

    Portée : Guide de janvier 2025 et page du 9 juillet 2025.

    Réserve : La CNIL met en garde contre la confusion avec l’analyse d’impact de l’article 35.

  • Déclaration de l’éditeur. Selon le guide de la CNIL, lorsqu’un sous-traitant exporte vers un sous-traitant ultérieur, il lui incombe de réaliser l’analyse, la transmission d’une simple conclusion ou d’un résumé sans éléments concrets ne suffit pas, et la décision finale d’engager ou de maintenir ce sous-traitant appartient au responsable.

    Portée : Guide pratique, cas 2.

    Réserve : Guide non obligatoire.

  • Fait lu. Selon la CNIL, les règles d’entreprise contraignantes sont une politique intra-groupe s’adressant aux organismes implantés dans plusieurs pays de l’Union qui transfèrent régulièrement hors de l’Union, et leur approbation passe par une saisine du CEPD ; l’article 47 prévoit leur approbation par l’autorité compétente selon le mécanisme de cohérence et leur caractère juridiquement contraignant.

    Portée : Page CNIL non datée et article 47 du RGPD.

    Réserve : Durée et coût d’approbation non lus.

  • Notre avis. Commencer par les clauses types et réserver les règles d’entreprise contraignantes aux groupes à flux réguliers disposant du temps nécessaire est notre avis.

    Portée : Groupes internationaux.

    Réserve : Un groupe déjà titulaire de ces règles peut raisonner autrement.