Transfert hors UE : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Un transfert hors UE est la communication ou la mise à disposition de données personnelles à un organisme situé dans un pays extérieur à l'Espace économique européen. Il n'est permis que s'il est encadré par l'un des outils prévus par le RGPD.
Ce qu'il faut comprendre
Le transfert ne se limite pas à l'envoi d'un fichier. Héberger des données chez un prestataire hors de l'Espace économique européen, permettre à un support technique étranger d'y accéder à distance ou utiliser un logiciel dont les serveurs sont aux États-Unis constituent aussi des transferts. L'Espace économique européen comprend les pays de l'Union, l'Islande, le Liechtenstein et la Norvège.
Un transfert est licite dans trois cas principaux : le pays bénéficie d'une décision d'adéquation de la Commission européenne ; des garanties appropriées sont mises en place, comme les clauses contractuelles types ou les BCR ; ou, à titre exceptionnel, une dérogation s'applique, par exemple le consentement explicite de la personne pour un transfert ponctuel.
Depuis l'arrêt Schrems II de la Cour de justice de l'Union européenne, en 2020, les garanties contractuelles ne suffisent pas toujours : l'exportateur doit évaluer la législation du pays de destination et ajouter si besoin des mesures supplémentaires. L'erreur fréquente est d'ignorer que de nombreux outils courants impliquent un transfert.
Exemple concret
Une association caritative utilise un outil américain d'envoi de lettres d'information pour écrire à ses 8 000 donateurs. Les adresses sont stockées aux États-Unis : c'est un transfert hors UE. L'association vérifie que le fournisseur est certifié au Data Privacy Framework ; à défaut, elle s'appuierait sur les clauses contractuelles types. Elle le mentionne dans sa politique de confidentialité.
Textes de référence
- RGPD, art. 44
- RGPD, art. 46
- RGPD, art. 49
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
