Nouveau cadre des transferts internationaux de données : à anticiper

Le nouveau cadre des transferts internationaux de données personnelles bouleverse les pratiques établies par de nombreuses directions des systèmes d'information et directions juridiques en France. Fondé sur les dispositions du Règlement général sur la protection des données (RGPD) et de la Loi Informatique et Libertés telle que modifiée, ce cadre impose de revoir les mécanismes de transfert utilisés quotidiennement – clauses contractuelles types, règles d'entreprise contraignantes, décisions d'adéquation – avant que les autorités de contrôle ne se saisissent des manquements.

En juin 2026, les signaux émis par la Commission nationale de l'informatique et des libertés (CNIL) et par le Comité européen de la protection des données (CEPD) indiquent une intensification des contrôles ciblant précisément les flux de données vers des pays tiers. La direction générale ou la DSI qui reporte la mise en conformité s'expose à des conséquences opérationnelles et financières considérables, sans qu'aucune tolérance administrative ne soit garantie.

Cette note examine ce qui change concrètement, les obligations nouvelles qui en découlent et les actions prioritaires à engager.

Pourquoi le cadre des transferts internationaux de données évolue-t-il maintenant ?

Le cadre des transferts internationaux de données personnelles évolue sous l'effet conjugué de décisions juridictionnelles majeures, d'une révision des instruments contractuels disponibles et d'une vigilance accrue des autorités de contrôle nationales et européennes. Cette évolution ne procède pas d'une réforme unique et ponctuelle : elle résulte d'une accumulation de positions doctrinales, de lignes directrices du CEPD et de jurisprudences qui redessinent progressivement les contours de ce qui est licite.

Dans notre pratique de la conformité données, nous observons que les entreprises françaises ont souvent organisé leurs flux transfrontaliers sur la base d'instruments dont la validité a depuis été remise en question ou subordonnée à des garanties complémentaires. La décision « Schrems II » de la Cour de justice de l'Union européenne a illustré avec force la fragilité des montages reposant exclusivement sur une décision d'adéquation ou sur des clauses contractuelles non assorties d'une évaluation de l'impact du transfert (Transfer Impact Assessment, TIA). Les nouvelles clauses contractuelles types adoptées par la Commission européenne ont partiellement répondu à cette exigence, mais leur mise en œuvre suppose un travail préparatoire que beaucoup d'organisations n'ont pas encore achevé.

Trois facteurs expliquent l'urgence du moment. Premièrement, les délais de grâce accordés lors de l'adoption des clauses révisées sont désormais largement expirés dans la plupart des situations. Deuxièmement, plusieurs autorités de contrôle européennes ont prononcé des sanctions substantielles précisément sur le fondement de transferts non conformes. Troisièmement, l'entrée en vigueur ou la révision de décisions d'adéquation – notamment celles concernant des partenaires commerciaux essentiels – introduit de nouvelles incertitudes que les DSI et les équipes juridiques doivent intégrer dans leur cartographie.

Le suivi de ce dossier est donc une nécessité opérationnelle, non une option de conformité.

Quel périmètre d'application : quelles entreprises et quels flux sont concernés ?

Tout transfert de données personnelles vers un pays situé hors de l'Espace économique européen (EEE) relève du régime des transferts internationaux tel qu'il résulte du RGPD. La notion de « transfert » est entendue largement par le CEPD : elle couvre non seulement les envois actifs de fichiers mais aussi les accès à distance accordés à des entités situées hors EEE, les hébergements sur des infrastructures dont les serveurs sont localisés dans des pays tiers, et les sous-traitances en cascade dès lors qu'un sous-traitant de rang inférieur intervient depuis un territoire non couvert par une décision d'adéquation.

En pratique, cette définition extensive touche la quasi-totalité des organisations de taille significative. Les services de messagerie professionnelle hébergés aux États-Unis, les outils de gestion de la relation client déployés en mode SaaS, les plateformes d'analyse de données en ligne, les progiciels de ressources humaines gérés par des éditeurs hors EEE : tous ces usages génèrent des transferts internationaux de données au sens du RGPD. La DSI qui pense n'être exposée que marginalement découvre généralement, lors d'un audit, que la cartographie de ses flux dépasse largement les quelques cas qu'elle avait identifiés.

Les groupes internationaux sont particulièrement exposés. Les transferts intragroupe vers des sociétés mères, des centres de service partagés ou des filiales situées dans des pays tiers constituent des transferts au sens du RGPD et nécessitent, à ce titre, un mécanisme de transfert valide. Les règles d'entreprise contraignantes (Binding Corporate Rules, BCR) constituent la réponse la plus structurée pour ces situations, mais leur approbation par la CNIL suppose un processus long et documenté.

Les PME et ETI qui externalisent tout ou partie de leur infrastructure informatique sont également concernées, y compris lorsqu'elles n'ont pas conscience d'opérer des transferts internationaux. Le responsable de traitement – la direction générale, en France – engage sa responsabilité dès lors qu'un transfert non couvert par un mécanisme valide est constaté, quand bien même ce transfert résulterait du choix d'un prestataire technique.

Quels mécanismes de transfert sont valides aujourd'hui ?

Le RGPD organise une hiérarchie de mécanismes permettant d'assurer un niveau de protection adéquat lors d'un transfert vers un pays tiers. Au sommet de cette hiérarchie figurent les décisions d'adéquation rendues par la Commission européenne, qui reconnaissent qu'un pays tiers assure, par son cadre législatif et ses pratiques institutionnelles, un niveau de protection substantiellement équivalent à celui garanti au sein de l'EEE.

En l'absence de décision d'adéquation, les organisations recourent principalement aux clauses contractuelles types (CCT) adoptées par la Commission européenne. Ces clauses, dans leur version révisée, intègrent désormais une obligation d'évaluation préalable de l'impact du transfert sur la protection des données dans le pays destinataire. Cette évaluation, le Transfer Impact Assessment, constitue un document clé que la CNIL peut demander lors d'un contrôle. Elle suppose d'analyser la législation du pays tiers, notamment les pouvoirs accordés aux autorités publiques en matière d'accès aux données, et de déterminer si des mesures supplémentaires – techniques, contractuelles ou organisationnelles – sont nécessaires pour compenser les lacunes identifiées.

Les règles d'entreprise contraignantes représentent une alternative adaptée aux groupes multinationaux, à condition d'avoir été approuvées par l'autorité chef de file. Les dérogations prévues par le RGPD – consentement explicite, nécessité contractuelle, motif d'intérêt public important – sont d'interprétation stricte et ne peuvent servir de base systématique aux transferts récurrents.

Dans notre accompagnement des DSI et des directions juridiques, nous observons que la principale source de non-conformité n'est pas l'absence totale de mécanisme mais l'utilisation de mécanismes obsolètes ou mal documentés : anciens modèles de CCT non mis à jour, TIA manquant ou insuffisamment étayé, BCR dont le périmètre n'a pas été révisé après une acquisition.

Quelles obligations nouvelles pèsent sur les responsables de traitement et les sous-traitants ?

Les responsables de traitement et les sous-traitants établis dans l'EEE supportent, sous le nouveau cadre, des obligations renforcées en matière de documentation, d'évaluation et de surveillance des transferts. Ces obligations ne se substituent pas à celles qui existaient déjà – registre des traitements, analyse d'impact relative à la protection des données (AIPD), clauses contractuelles avec les sous-traitants – mais s'y ajoutent et les précisent.

Premièrement, la cartographie des flux transfrontaliers doit être exhaustive et maintenue à jour. Elle constitue le socle indispensable de toute démarche de conformité : sans vision claire des pays destinataires, des catégories de données transmises et des mécanismes utilisés, il est impossible d'identifier les failles et de prioriser les corrections. Cette cartographie s'intègre naturellement dans le registre des traitements prévu par le RGPD, mais suppose un niveau de granularité supérieur pour les transferts internationaux.

Deuxièmement, l'évaluation de l'impact du transfert est désormais une obligation documentaire à part entière pour les transferts reposant sur des clauses contractuelles types. Le TIA doit être conduit avant la mise en œuvre du transfert, révisé lorsque les circonstances changent, et conservé de façon à pouvoir être produit lors d'un contrôle. Sa rédaction suppose une analyse juridique du pays destinataire qui va au-delà des capacités habituelles des seules équipes IT.

Troisièmement, les contrats conclus avec les sous-traitants et les sous-traitants ultérieurs doivent refléter fidèlement les mécanismes de transfert adoptés. Une clause contractuelle type signée au niveau du responsable de traitement ne couvre pas automatiquement les transferts opérés par un sous-traitant qui recourt lui-même à des entités hors EEE : la chaîne contractuelle doit être vérifiée jusqu'au bout.

Quatrièmement, en cas de violation de données affectant des données transférées vers un pays tiers, les obligations de notification à la CNIL et, le cas échéant, aux personnes concernées s'appliquent dans les délais prévus par le RGPD. Les obligations et conformité liées aux transferts s'inscrivent donc dans un dispositif plus large de gouvernance des données que la direction générale doit piloter globalement.

Quelles sont les conséquences pratiques d'un manquement ?

Un transfert international de données réalisé en l'absence de mécanisme valide ou sans documentation suffisante expose le responsable de traitement à plusieurs niveaux de conséquences, dont certaines dépassent la sphère réglementaire au sens strict. La CNIL dispose, dans le cadre du RGPD, d'un arsenal de mesures allant de l'avertissement à la suspension du traitement, en passant par des injonctions de mise en conformité assorties d'astreintes.

Les sanctions pécuniaires prévues par le RGPD pour les violations les plus graves – dont font partie les transferts illicites vers des pays tiers – peuvent atteindre des montants considérables, calculés en proportion du chiffre d'affaires mondial consolidé de l'entreprise. Ces seuils, qui figurent dans le texte même du règlement, ont été appliqués par plusieurs autorités européennes dans des affaires médiatisées impliquant précisément des transferts vers des pays tiers.

Au-delà des sanctions administratives, un manquement documenté peut fragiliser la position contractuelle de l'entreprise vis-à-vis de ses clients, notamment lorsque les contrats commerciaux contiennent des clauses de conformité réglementaire ou des garanties relatives au traitement des données personnelles. La résiliation pour faute ou l'activation de garanties contractuelles représente un risque concret, en particulier dans les secteurs où les clients sont eux-mêmes soumis à des obligations strictes de protection des données – secteur financier, secteur de la santé, secteur public.

Nous accompagnons régulièrement des entreprises qui découvrent, à l'occasion d'une due diligence (diligence raisonnable) menée dans le cadre d'une opération de fusion-acquisition, que leur portefeuille de transferts internationaux comporte des défauts susceptibles d'affecter la valorisation ou de conditionner la réalisation de la transaction. La mise en conformité tardive, sous contrainte d'un calendrier de cession, est toujours plus coûteuse et moins satisfaisante qu'une revue anticipée.

Quelles actions de préparation engager en priorité ?

La mise en conformité avec le nouveau cadre des transferts internationaux de données repose sur une séquence d'actions structurées que les directions concernées peuvent engager sans attendre une refonte globale de leur système d'information. L'approche la plus efficace part de l'identification des transferts les plus exposés pour concentrer les ressources là où le risque est le plus élevé.

En premier lieu, la cartographie des flux transfrontaliers constitue le point de départ incontournable. Elle doit recenser, pour chaque traitement impliquant un transfert hors EEE : le pays destinataire, la catégorie de données transférées, le mécanisme de transfert invoqué et l'état de la documentation associée. Cette cartographie peut être conduite par la DSI en lien avec la direction juridique, et doit être validée par le délégué à la protection des données (DPO) lorsque l'organisation en dispose.

En deuxième lieu, les mécanismes de transfert existants doivent être vérifiés au regard des exigences actuelles. Les clauses contractuelles types signées avant l'adoption des modèles révisés doivent être remplacées. Les TIA manquants doivent être rédigés. Les BCR dont le périmètre ne couvre pas l'ensemble des entités du groupe concernées par les transferts doivent être élargies ou complétées.

En troisième lieu, la chaîne contractuelle avec les sous-traitants doit être auditée. Il s'agit de vérifier que les contrats de sous-traitance reflètent les mécanismes de transfert adoptés et que les sous-traitants de rang inférieur sont eux-mêmes couverts par un mécanisme valide. Cette vérification passe souvent par un questionnaire adressé aux prestataires critiques.

Enfin, une procédure interne de surveillance des évolutions doit être mise en place. Les décisions d'adéquation peuvent être révisées ou invalidées à tout moment. Le suivi de l'actualité de la CNIL, du CEPD et, pour les transferts vers les États-Unis, des développements du cadre transatlantique, doit être intégré au calendrier de gouvernance des données de l'organisation. La consultation de ressources telles que l'encadrement juridique de l'intelligence artificielle illustre comment d'autres évolutions réglementaires numériques appellent la même vigilance de la part des DSI.

Matrice de préparation selon la situation :

Situation A : transferts vers un pays couvert par une décision d'adéquation en vigueur → vérifier la persistance de la décision, surveiller les révisions annoncées, maintenir la cartographie à jour.

Situation B : transferts vers un pays non couvert par une décision d'adéquation, sur la base de CCT → vérifier la version des CCT utilisées, rédiger ou mettre à jour le TIA, vérifier la chaîne sous-traitants.

Situation C : transferts intragroupe vers des entités situées dans des pays tiers → évaluer la pertinence des BCR, à défaut mettre en place des CCT intercompany, documenter les TIA.

Ce qu'il faut préparer – check-list :

• Cartographie exhaustive des flux transfrontaliers de données personnelles, intégrée au registre des traitements.
• Vérification de la version et de la validité des clauses contractuelles types en vigueur dans tous les contrats avec les sous-traitants hors EEE.
• Rédaction ou mise à jour des Transfer Impact Assessments pour chaque flux reposant sur des CCT.
• Audit de la chaîne contractuelle sous-traitants / sous-traitants ultérieurs pour les prestataires critiques.
• Mise en place d'une veille structurée sur les décisions d'adéquation et les lignes directrices du CEPD.

Idée reçue : « Notre prestataire cloud est certifié – nous n'avons rien à faire »

La certification d'un prestataire – qu'il s'agisse d'une certification ISO, d'un label de sécurité ou d'un agrément sectoriel – ne vaut pas mécanisme de transfert au sens du RGPD. Cette confusion est l'une des plus fréquentes que nous rencontrons dans notre pratique du conseil en conformité données : la direction informatique ou la direction générale considère que l'engagement contractuel du prestataire sur la sécurité technique des données couvre également la question de la licéité du transfert international.

Ces deux dimensions sont distinctes. La sécurité technique des données traite de la confidentialité, de l'intégrité et de la disponibilité des informations. La licéité du transfert international traite de la base juridique qui autorise le flux de données vers un pays tiers au regard des droits des personnes concernées. Un prestataire peut présenter des garanties techniques irréprochables et ses services peuvent néanmoins générer des transferts illicites si le mécanisme juridique approprié n'a pas été mis en place par le responsable de traitement.

Cette idée reçue est d'autant plus répandue que les prestataires cloud mettent souvent en avant leurs certifications dans leur documentation commerciale, sans préciser que la responsabilité de la mise en place du mécanisme de transfert incombe au client responsable de traitement. Le droit du numérique et la protection des données personnelles forment un ensemble cohérent mais techniquement distinct : chaque couche exige son propre traitement juridique.

De même, la conformité au regard du droit de la concurrence et des obligations sectorielles – domaines traités dans notre pratique conseil en droit de la concurrence – suppose une vigilance complémentaire lorsque des données commercialement sensibles sont transférées vers des pays tiers dans le cadre de coopérations entre entreprises.

Domaines liés

• Noms de domaine et litiges associés – protection de l'identité numérique et gestion des conflits de marque en ligne
• Encadrement juridique de l'intelligence artificielle – décryptage des nouvelles obligations pour les entreprises utilisant des systèmes d'IA