Décision d'adéquation RGPD : la liste des pays en 2026

Un outil d'emailing américain, une filiale au Maroc : dès qu'une donnée personnelle quitte l'Espace économique européen, le chapitre V du RGPD régit les transferts hors UE et pose une première question simple : le pays de destination bénéficie-t-il d'une décision d'adéquation ? Si oui, le transfert ne demande aucune formalité supplémentaire ; si non, il faut l'encadrer autrement.

Cet article fait le point sur la liste officielle en octobre 2026, sur les États-Unis et sur les outils à mobiliser sans décision.

Qu'est-ce qu'une décision d'adéquation au sens de l'article 45 ?

Une décision d'adéquation RGPD est un acte par lequel la Commission européenne constate qu'un pays tiers, un territoire, un secteur ou une organisation internationale assure un niveau de protection des données substantiellement équivalent à celui de l'Union. Elle est prévue à l'article 45 du règlement. Son effet est direct : les données peuvent circuler vers cette destination sans autorisation ni garantie contractuelle supplémentaire.

La Commission examine notamment l'état de droit et le respect des droits fondamentaux, l'existence d'une autorité de contrôle indépendante et effective, et les engagements internationaux du pays (article 45, paragraphe 2). La décision n'est jamais acquise : un examen périodique a lieu au moins tous les quatre ans, et la Commission peut l'abroger, la modifier ou la suspendre (article 45, paragraphes 3 et 5). Le chapitre V est consultable sur le site de la CNIL.

L'adéquation ne dispense d'aucune autre obligation : le sous-traitant étranger doit être lié par un contrat conforme à l'article 28, les personnes informées du transfert, le traitement inscrit au registre.

Quels pays bénéficient d'une décision d'adéquation en 2026 ?

À la date de rédaction, la Commission européenne reconnaît seize pays ou territoires et une organisation internationale comme offrant une protection adéquate. La liste de référence est publiée sur la page de la Commission consacrée aux décisions d'adéquation : c'est elle qui fait foi, et elle évolue.

Avant de vous appuyer sur une décision d'adéquation RGPD, vérifiez la page de la Commission à la date du transfert et notez cette vérification : elle démontre votre diligence en cas de contrôle. Les décisions britanniques illustrent cette instabilité : adoptées en 2021 pour une durée limitée, prolongées jusqu'au 27 décembre 2025, puis renouvelées en décembre 2025 après avis du CEPD. Le Brésil, lui, a rejoint la liste en janvier 2026, explique la CNIL.

États-Unis : où en est le Data Privacy Framework ?

Les États-Unis ne sont pas adéquats en tant que pays : seules les entreprises américaines qui participent au Data Privacy Framework (DPF) sont couvertes par la décision du 10 juillet 2023. Pour les autres, le transfert se traite comme vers un pays sans décision.

Ce cadre a succédé au Privacy Shield, invalidé par la Cour de justice en 2020, et a lui-même été contesté : par un arrêt du 3 septembre 2025 (affaire T-553/23), le Tribunal de l'Union européenne a rejeté le recours en annulation, en jugeant notamment que la juridiction américaine de recours (Data Protection Review Court) présentait des garanties d'indépendance suffisantes. Un pourvoi a été introduit devant la Cour de justice le 31 octobre 2025 (affaire C-703/25 P). À notre connaissance, la Cour ne s'est pas encore prononcée : la décision reste en vigueur, son avenir dépend de cet arrêt.

La leçon du Privacy Shield est claire : une décision d'adéquation RGPD peut disparaître à la suite d'un arrêt. Beaucoup d'entreprises conservent donc des clauses contractuelles types signées en parallèle de la certification DPF de leur prestataire.

Que faire quand aucune décision n'existe ?

Sans décision, l'article 46 du RGPD impose d'apporter des garanties appropriées avant tout transfert hors UE. Les outils les plus utilisés sont les clauses contractuelles types adoptées par la Commission et, pour les groupes, les règles d'entreprise contraignantes (BCR). Codes de conduite et certifications approuvés complètent la liste.

1. 1Cartographier — Listez chaque destinataire de données personnelles, son pays et les données concernées.
2. 2Qualifier — Vérifiez sur la page de la Commission si une décision couvre chaque destination, et avec quelle restriction.
3. 3Encadrer — Sans décision, signez les clauses contractuelles types de la Commission ou appuyez-vous sur les BCR.
4. 4Évaluer et documenter — Analysez le droit du pays de destination, ajoutez si nécessaire des mesures complémentaires et conservez l'analyse.

Les clauses contractuelles types n'exigent pas d'autorisation de la CNIL, rappelle sa page sur le cadre général des transferts. Elles ne suffisent toutefois pas seules : le responsable de traitement doit évaluer si le droit du pays de destination permet réellement de les respecter, et ajouter des mesures techniques si nécessaire. Les BCR sont approuvées par l'autorité de contrôle compétente (article 47) et conviennent aux groupes qui transfèrent en interne. Dans ce schéma, l'absence de décision d'adéquation RGPD ne bloque pas le transfert, elle en déplace la charge sur l'entreprise.

Les dérogations de l'article 49 (consentement explicite, exécution d'un contrat, motifs importants d'intérêt public, entre autres) restent réservées à des cas ponctuels : la CNIL précise qu'elles ne s'appliquent que dans des situations particulières et sous des conditions spécifiques. Enfin, chaque décision d'adéquation RGPD suit son propre calendrier de révision : une revue annuelle de votre cartographie des transferts évite de découvrir un changement au moment d'un contrôle.

À retenir

• Article 45 : vers un pays reconnu adéquat, le transfert ne demande aucune garantie supplémentaire, mais le contrat de sous-traitance et l'information des personnes restent dus.
• Seize pays ou territoires et une organisation internationale sont reconnus en octobre 2026 ; la liste de la Commission fait foi.
• États-Unis : seules les entreprises participant au Data Privacy Framework sont couvertes ; décision validée par le Tribunal en septembre 2025, pourvoi pendant.
• Sans décision, l'article 46 impose des garanties appropriées : clauses contractuelles types ou BCR, avec une évaluation documentée.