Data Privacy Framework (DPF) : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Le Data Privacy Framework est le cadre de transfert de données entre l'Union européenne et les États-Unis, reconnu par une décision d'adéquation de la Commission européenne de juillet 2023. Il couvre uniquement les entreprises américaines certifiées.
Ce qu'il faut comprendre
Les entreprises américaines qui souhaitent recevoir des données européennes peuvent s'auto-certifier auprès du département du Commerce des États-Unis. Elles s'engagent alors à respecter des principes de protection proches du RGPD. Une liste officielle et publique permet de vérifier si un fournisseur est certifié et pour quels types de données. La certification doit être renouvelée chaque année.
Le cadre succède au Safe Harbor et au Privacy Shield, tous deux invalidés par la Cour de justice de l'Union européenne. Pour répondre à ses critiques, les États-Unis ont encadré l'accès des services de renseignement aux données et créé un mécanisme de recours ouvert aux Européens. Le cadre fait l'objet de contestations ; il reste applicable tant qu'il n'est pas invalidé.
Le Data Privacy Framework ne vaut que pour les organismes certifiés. Pour un fournisseur non inscrit sur la liste, le transfert doit reposer sur une autre garantie, comme les clauses contractuelles types. L'erreur fréquente est de supposer qu'un grand éditeur américain est certifié sans le vérifier, ou d'oublier que la certification peut ne pas couvrir les données RH.
Exemple concret
Une commune souhaite utiliser un outil américain de visioconférence pour ses conseils municipaux en ligne. Le DPO vérifie sur la liste officielle que l'éditeur est certifié au Data Privacy Framework. Le transfert peut s'appuyer sur la décision d'adéquation. La commune signe le contrat de sous-traitance, paramètre l'outil pour limiter les données collectées et l'indique dans son registre.
Textes de référence
- RGPD, art. 45
- Décision d'exécution (UE) 2023/1795 de la Commission
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
