Décision d'adéquation : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Une décision d'adéquation est un acte de la Commission européenne qui reconnaît qu'un pays tiers assure un niveau de protection des données essentiellement équivalent à celui de l'Union. Les transferts vers ce pays n'exigent alors aucune garantie supplémentaire.
Ce qu'il faut comprendre
Avec une décision d'adéquation, les données circulent vers le pays concerné comme à l'intérieur de l'Union : pas de clauses contractuelles types ni d'autorisation particulière. Les autres obligations du RGPD restent applicables : base légale, information des personnes, contrat avec le sous-traitant, sécurité. La politique de confidentialité doit d'ailleurs mentionner le transfert et le pays de destination, en précisant qu'il repose sur une décision d'adéquation.
La Commission a adopté de telles décisions pour plusieurs pays, dont la Suisse, le Royaume-Uni, le Japon, le Canada pour les organismes soumis à sa loi fédérale, la Corée du Sud ou Israël. Pour les États-Unis, l'adéquation ne couvre que les entreprises certifiées au Data Privacy Framework. La liste à jour est publiée par la Commission et reprise par la CNIL.
Une décision d'adéquation n'est pas définitive. Elle est réexaminée périodiquement et peut être invalidée par la Cour de justice de l'Union européenne, comme l'ont été le Safe Harbor en 2015 puis le Privacy Shield en 2020. L'erreur fréquente est de croire que tout transfert vers les États-Unis est couvert, alors que seuls les organismes certifiés le sont.
Exemple concret
Une PME lyonnaise de logiciels confie son support client de nuit à un prestataire installé au Canada, soumis à la loi fédérale canadienne sur la protection des renseignements personnels. Grâce à la décision d'adéquation visant le Canada, elle n'a pas à signer de clauses contractuelles types. Elle conclut néanmoins un contrat de sous-traitance conforme au RGPD et informe ses clients.
Textes de référence
- RGPD, art. 45
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
