Un cabinet d'architectes de six personnes, un site vitrine, un formulaire de contact. Derrière la façade, trois outils américains : la lettre d'information part depuis un service d'emailing, les devis sont classés dans un espace de stockage partagé, et une bulle de chat en bas à droite gère les questions des visiteurs. Chaque fois qu'un prospect laisse son nom et son adresse, ses données quittent l'Union européenne. Le gérant a entendu dire que « les transferts vers les États-Unis ne sont plus autorisés ». Ce n'est pas ce que dit le règlement. Le RGPD encadre les transferts, et il prévoit trois voies pour les rendre licites. Cet article les décrit une par une, puis donne une méthode en cinq étapes pour une PME.
Avertissement : cet article est fourni à titre informatif et ne constitue pas un conseil juridique. Les textes cités sont ceux en vigueur à la date de rédaction ; pour une situation particulière, consultez un professionnel du droit.
Avant de lire la suite, posez ces trois questions à chacun de vos prestataires. Les réponses décident de la voie à suivre.
Le chapitre V du RGPD, intitulé « Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales », commence par un principe général. L'article 44 du RGPD dispose qu'un transfert « ne peut avoir lieu que si […] les conditions définies dans le présent chapitre sont respectées par le responsable du traitement et le sous-traitant », y compris pour les transferts ultérieurs depuis le pays tiers. Le règlement ne définit pas le mot « transfert ». Le Comité européen de la protection des données a comblé ce vide dans ses lignes directrices 05/2021 (version 2.0, adoptées le 14 février 2023), avec trois critères cumulatifs :
Le même document précise qu'un accès à distance depuis un pays tiers, même limité à l'affichage de données à l'écran pour du support ou de l'administration, ainsi que le stockage dans un cloud situé hors de l'Espace économique européen, constituent un transfert dès lors que les trois critères sont réunis. Pour le cabinet d'architectes, les trois outils sont donc concernés : l'outil d'emailing héberge les adresses aux États-Unis, l'espace de stockage aussi, et le chat de support donne à une équipe hors UE un accès aux conversations.
Un point rassurant pour finir : le pays de domiciliation d'une société n'est pas le critère. Ce qui compte, c'est l'endroit où les données sont accessibles pour ce traitement précis. Un prestataire américain qui propose un hébergement européen, sans accès depuis l'extérieur, peut ne pas transférer du tout. Il faut le lui demander par écrit.
L'article 45, paragraphe 1, du RGPD autorise un transfert « lorsque la Commission a constaté par voie de décision que le pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers […] assure un niveau de protection adéquat ». Un tel transfert « ne nécessite pas d'autorisation spécifique ». C'est la voie la plus simple : rien à signer, rien à évaluer soi-même.
Pour les États-Unis, cette décision existe : la décision d'exécution (UE) 2023/1795 de la Commission du 10 juillet 2023, relative au cadre de protection des données UE–États-Unis (Data Privacy Framework, DPF). Son article 1er est précis : les États-Unis assurent un niveau de protection adéquat pour les données transférées « à des organisations situées aux États-Unis qui figurent sur la "liste du cadre de protection des données" », tenue et publiée par le ministère américain du Commerce. Trois conséquences pratiques :
Cette décision a été contestée devant le Tribunal de l'Union européenne. Par son arrêt du 3 septembre 2025 dans l'affaire T-553/23, le Tribunal (dixième chambre élargie) a rejeté le recours. À la date de rédaction, la décision 2023/1795 est donc en vigueur. L'article 45, paragraphe 3, du RGPD prévoit par ailleurs que toute décision d'adéquation fait l'objet d'un réexamen périodique, au moins tous les quatre ans : la situation peut évoluer, et c'est une raison de plus pour dater vos vérifications.
Quand le prestataire n'est pas sur la liste DPF, ou quand il se trouve dans un autre pays sans décision d'adéquation, on passe à l'article 46 du RGPD. Son paragraphe 1 permet le transfert si le responsable ou le sous-traitant « a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives ». Le paragraphe 2, point c), cite parmi ces garanties « des clauses types de protection des données adoptées par la Commission ».
Ces clauses sont celles de la décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021. Elles sont organisées en quatre modules selon les rôles des parties ; pour une PME qui confie ses données à un outil en ligne, c'est le module deux (responsable du traitement vers sous-traitant) qui s'applique le plus souvent. En pratique, les clauses ne se négocient pas : le prestataire les intègre à son annexe de traitement des données (le « DPA », data processing addendum), et le client les accepte en signant ou en cochant une case. Le travail de la PME consiste à retrouver cette annexe, à vérifier qu'elle renvoie bien à la décision 2021/914, et à en conserver une copie.
Les clauses ne suffisent pas à elles seules. Par son arrêt du 16 juillet 2020 dans l'affaire C-311/18, la Cour de justice (grande chambre) a jugé que l'évaluation du niveau de protection « doit, notamment, prendre en considération » à la fois les stipulations contractuelles convenues et, pour ce qui concerne un éventuel accès des autorités publiques du pays tiers aux données, « les éléments pertinents du système juridique de celui-ci ». C'est l'origine de ce qu'on appelle l'analyse d'impact des transferts. Le Comité européen a détaillé la démarche dans ses recommandations 01/2020 (version 2.0, 18 juin 2021). Pour une PME, la version raisonnable de cette analyse tient sur une page par prestataire : quel pays, quelles données, quel outil de transfert, quelles mesures techniques du prestataire (chiffrement, hébergement européen), et une date.
L'article 49 du RGPD s'ouvre sur une condition : il ne joue qu'« en l'absence de décision d'adéquation […] ou de garanties appropriées ». Il liste ensuite des situations précises, parmi lesquelles le consentement explicite de la personne, informée des risques, et le transfert « nécessaire à l'exécution d'un contrat entre la personne concernée et le responsable du traitement ». La CNIL rappelle sur sa page consacrée aux transferts que ces exceptions « ne peuvent être mobilisées que dans des situations particulières ».
Pour une PME, la conclusion est simple : l'article 49 n'est pas une voie pour un outil utilisé tous les jours. Une lettre d'information envoyée chaque mois à toute la base n'est pas une situation particulière. La dérogation peut servir pour un cas isolé ; elle ne remplace ni la liste DPF ni les clauses types.
Une fois la voie choisie, trois articles du règlement demandent d'en garder une trace visible.
Le tableau ci-dessous reprend les trois outils du cabinet d'architectes et les situations les plus courantes. Il ne remplace pas la vérification prestataire par prestataire.
| Situation | Transfert ? | Voie à privilégier | Où le noter |
|---|---|---|---|
| Outil d'emailing américain, prestataire inscrit sur la liste DPF | Oui | Décision d'adéquation, article 45 du RGPD et décision 2023/1795 | Politique de confidentialité, registre, capture datée de la liste |
| Espace de stockage américain, prestataire absent de la liste DPF | Oui | Clauses types, article 46 du RGPD et décision 2021/914, dans le DPA | Politique de confidentialité, registre, copie du DPA, fiche d'analyse d'une page |
| Chat de support hébergé en UE, mais équipe de support hors UE | Oui, par l'accès à distance | Liste DPF si le prestataire y figure, sinon clauses types (article 46 du RGPD) | Politique de confidentialité, registre, copie du DPA |
| Hébergeur américain avec option de région européenne activée et accès limité à l'UE, confirmé par écrit | Non, si les trois critères ne sont pas réunis | Aucune ; conserver la confirmation écrite du prestataire | Registre (lieu d'hébergement), contrat article 28 du RGPD |
La vérification gratuite Sitetals examine votre page d'accueil et signale, entre autres, l'absence d'une page de mentions légales ou de politique de confidentialité accessible, ainsi que les services tiers chargés par votre site. C'est un point de départ pour la relecture décrite ci-dessus, pas un substitut à celle-ci.
À lire également :
Sources : Règlement (UE) 2016/679, articles 13, 28, 30, 44, 45, 46 et 49 · Décision d'exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 · Décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021 · CJUE, arrêt du 16 juillet 2020, affaire C-311/18 · Tribunal de l'UE, arrêt du 3 septembre 2025, affaire T-553/23 · CEPD, lignes directrices 05/2021, version 2.0 · CEPD, recommandations 01/2020, version 2.0 · CNIL, « Transférer des données hors de l'UE » · Méthodologie Sitetals.
Rédaction Sitetals