Nouveau cadre des transferts internationaux de données : qui est concerné et que faire
Le cadre applicable aux transferts internationaux de données personnelles évolue. Pour toute direction ou direction des systèmes d'information qui s'appuie sur des prestataires établis hors de l'Espace économique européen, la question n'est plus théorique : quelles flux sont concernés, quelles obligations nouvelles s'appliquent, et quelles actions engager sans tarder ?
En juin 2026, les équipes juridiques et techniques d'un nombre croissant d'entreprises françaises examinent leur cartographie des transferts à la lumière des dernières évolutions décisionnelles et réglementaires issues du Règlement général sur la protection des données (RGPD) et de la jurisprudence des autorités de contrôle européennes. La question porte moins sur le principe général – tout transfert vers un pays tiers doit reposer sur un mécanisme approprié – que sur les nouvelles exigences d'application concrète qui s'imposent aux responsables de traitement et à leurs sous-traitants.
Cette note décrit ce qui change, qui est concerné, et quelles étapes de préparation s'imposent.
Ce que le cadre des transferts internationaux de données couvre réellement
Un transfert international de données désigne, au sens du RGPD, tout flux de données personnelles à destination d'un pays ou territoire situé en dehors de l'Espace économique européen, ou vers une organisation internationale. Le principe cardinal est celui de la protection continue : le niveau de protection dont bénéficient les données ne doit pas être abaissé du simple fait du changement de lieu de traitement.
Dans notre pratique, nous observons régulièrement que les entreprises sous-estiment l'étendue de ce périmètre. Il ne se limite pas aux envois explicites de fichiers. Il couvre aussi l'accès à distance accordé à un sous-traitant étranger, l'hébergement de bases de données sur des serveurs localisés hors de l'EEE, les sauvegardes dans des environnements de cloud dont les centres de données principaux ou de secours sont situés dans des pays tiers, ainsi que les outils de collaboration ou d'analyse hébergés chez des éditeurs dont la maison mère peut accéder techniquement aux données.
Le RGPD articule trois catégories de mécanismes de transfert : la décision d'adéquation adoptée par la Commission européenne pour certains pays tiers, les garanties appropriées au sens du règlement (clauses contractuelles types, règles d'entreprise contraignantes, codes de conduite approuvés, mécanismes de certification), et les dérogations pour des situations spécifiques. L'enjeu pratique tient au fait que la validité de ces mécanismes est susceptible d'être remise en cause par l'évolution de la jurisprudence, notamment celle de la Cour de justice de l'Union européenne et des décisions des autorités nationales de contrôle.
Quelles évolutions récentes affectent les mécanismes de transfert ?
Le paysage des transferts internationaux de données est traversé depuis plusieurs années par une instabilité juridique qui tient à la confrontation entre, d'une part, les exigences du droit européen en matière de protection des données et, d'autre part, les législations de pays tiers qui peuvent imposer aux entreprises locales de divulguer des données à des autorités publiques sans recours effectif pour les personnes concernées.
Les clauses contractuelles types représentent aujourd'hui l'instrument de transfert le plus utilisé par les entreprises françaises qui ne peuvent pas s'appuyer sur une décision d'adéquation. Leur nouvelle version, adoptée par la Commission européenne, a introduit une obligation d'analyse d'impact dite « Transfer Impact Assessment » (TIA) – que l'on peut traduire par évaluation d'impact sur le transfert. Cette évaluation oblige le responsable de traitement à examiner, pour chaque transfert, si le droit du pays de destination est de nature à compromettre le niveau de protection offert par les clauses.
L'obligation n'est pas formelle : une TIA insuffisante peut être sanctionnée. Les autorités de contrôle – dont la Commission nationale de l'informatique et des libertés (CNIL) en France – ont indiqué qu'elles examineront la qualité de ces analyses lors de leurs contrôles. Dans notre pratique du conseil en conformité aux données, nous accompagnons des directions juridiques qui découvrent que leurs DPA (Data Processing Agreements – accords de traitement de données) en place ne comportent pas les modules des nouvelles clauses contractuelles types, ni la documentation d'une TIA.
Par ailleurs, les décisions d'adéquation présentent un risque d'annulation ou de suspension que l'histoire récente a illustré. Toute organisation qui s'appuie sur une telle décision doit surveiller son maintien et prévoir une solution de repli.
Pour examiner l'application des mécanismes de transfert à vos flux de données actuels, écrivez-nous à contact@vernaylestang.com.
Nous analysons la cartographie de vos transferts, identifions les mécanismes applicables et vous assistons dans la rédaction ou la mise à jour des clauses contractuelles types et des évaluations d'impact sur le transfert.
Qui est concrètement concerné par le nouveau cadre ?
Toute organisation soumise au RGPD qui transfère des données personnelles vers un pays tiers est concernée. Le périmètre est donc très large : il inclut aussi bien les grandes entreprises que les ETI, les PME en croissance, les filiales françaises de groupes étrangers, et les organisations qui utilisent des services numériques dont les serveurs ou les accès techniques sont localisés hors de l'EEE.
Les directions et directions des systèmes d'information (DSI) sont en première ligne pour plusieurs raisons. Ce sont elles qui contractualisent avec les prestataires de services cloud, de logiciels en mode SaaS, d'outils d'analyse ou de gestion. Ce sont elles qui configurent les accès à distance. Ce sont elles qui décident de l'architecture technique des traitements. Pourtant, la conformité au regard du RGPD engage la responsabilité du responsable de traitement, c'est-à-dire l'entreprise elle-même, et non le seul prestataire.
Plusieurs catégories de flux méritent une attention spécifique :
- Les contrats avec des éditeurs de logiciels dont les serveurs ou les équipes de support sont situés aux États-Unis, en Inde, au Royaume-Uni ou dans tout autre pays tiers – y compris ceux qui bénéficient d'une décision d'adéquation dont la pérennité n'est pas garantie.
- Les accès accordés à des équipes ou à des prestataires situés hors de l'EEE, même pour des opérations de maintenance ponctuelle.
- Les transferts intra-groupe vers des entités situées dans des pays tiers, qui ne sont pas automatiquement exonérés et doivent reposer sur un mécanisme validé.
- Les outils d'analyse de trafic web ou d'optimisation marketing qui transmettent des données de navigateurs à des serveurs hors de l'EEE.
- Les sauvegardes externalisées ou les plans de continuité qui reposent sur des infrastructures localisées hors de l'EEE.
Le critère n'est pas la nationalité du prestataire, mais la localisation effective du traitement ou l'accessibilité des données depuis un pays tiers. Une entreprise dont le prestataire est nominalement établi dans l'EEE mais dont les données sont accessibles depuis une entité mère américaine est potentiellement dans une situation de transfert soumise au cadre du RGPD.
Quelles obligations nouvelles pèsent sur les responsables de traitement ?
Les obligations en matière de transferts internationaux de données peuvent être regroupées en trois dimensions : la documentation, la contractualisation et l'évaluation continue.
La documentation exige que le registre des activités de traitement – outil central de la gouvernance des données personnelles – fasse apparaître, pour chaque traitement, les transferts éventuels vers des pays tiers et les mécanismes sur lesquels ils reposent. Ce registre n'est pas une formalité statique : il doit refléter la réalité des flux à un instant donné et être mis à jour lors de toute modification significative.
La contractualisation impose que tout transfert vers un sous-traitant situé dans un pays tiers repose sur un accord de traitement des données incorporant les clauses contractuelles types appropriées, dans leur version en vigueur. Les anciens accords, rédigés sur la base de versions antérieures des clauses, doivent être remplacés ou amendés. Dans notre pratique, nous observons que cette mise à jour contractuelle est souvent différée, notamment lorsque les accords sont nombreux ou lorsqu'ils ont été conclus avec des prestataires qui n'ont pas spontanément proposé leur mise à jour.
L'évaluation continue repose sur la TIA. Elle implique une analyse du droit du pays de destination – notamment les dispositions relatives à l'accès des autorités publiques aux données – et une appréciation du risque pour les personnes concernées. Si cette analyse conclut à un risque résiduel, des mesures supplémentaires (chiffrement, pseudonymisation, mesures organisationnelles) doivent être mises en place, ou le transfert doit être suspendu.
Les obligations et conformité en matière de transferts sont également liées aux droits des personnes : l'information sur les transferts figure dans les mentions légales et les politiques de confidentialité. Leur mise à jour est un signal de conformité que les autorités de contrôle examinent.
Si une démarche antérieure de mise en conformité a produit un résultat incomplet ou si votre cartographie des transferts n'a pas été révisée depuis plusieurs mois, un second regard permet d'identifier les lacunes et de prioriser les actions restantes.
Pour un premier avis sur votre dossier de conformité transferts, adressez-nous un message à contact@vernaylestang.com.
Quelles actions de préparation engager en priorité ?
La première action est la cartographie. Sans une vision précise des flux de données personnelles qui franchissent les frontières de l'EEE, il est impossible de prioriser les efforts de mise en conformité. Cette cartographie doit être conduite conjointement par les équipes juridiques, la DSI et les directions métiers, car les flux techniques ne sont pas toujours visibles des seules équipes juridiques.
La cartographie accomplie, la priorité se déplace vers l'analyse des mécanismes en place pour chaque flux. Trois questions structurent cette analyse :
- Le transfert repose-t-il sur un mécanisme valide (décision d'adéquation en vigueur, clauses contractuelles types dans leur version actuelle, règles d'entreprise contraignantes approuvées, dérogation justifiée) ?
- La TIA a-t-elle été conduite et documentée pour les transferts soumis à des clauses contractuelles types ?
- Les accords contractuels avec les sous-traitants concernés sont-ils à jour ?
Lorsque la cartographie révèle des flux sans mécanisme approprié ou avec des mécanismes devenus caducs, la correction peut emprunter plusieurs voies. La première est la renégociation contractuelle avec le prestataire pour intégrer les nouvelles clauses. La deuxième est la mise en place de mesures techniques supplémentaires (chiffrement de bout en bout, pseudonymisation) permettant de réduire le risque résiduel identifié dans la TIA. La troisième, parfois nécessaire, est la reconfiguration de l'architecture technique pour éliminer le transfert – en rapatriant les données dans l'EEE ou en substituant un prestataire établi dans l'EEE.
Enfin, la mise à jour des documents d'information des personnes concernées – politiques de confidentialité, mentions légales, notices RGPD – doit refléter la réalité des transferts documentés. Une politique de confidentialité qui mentionne des transferts vers des pays sans décision d'adéquation sans décrire le mécanisme applicable est une source de risque lors d'un contrôle de la CNIL.
Illustration pratique
Lors d'un accompagnement récent (Bordeaux, printemps 2026), nous avons assisté une ETI du secteur des services professionnels dans la révision de sa cartographie des transferts. L'analyse a révélé que plusieurs outils SaaS utilisés par les équipes commerciales transmettaient des données de contacts à des serveurs situés hors de l'EEE sans TIA documentée et sur la base d'accords antérieurs aux nouvelles clauses contractuelles types. Nous avons conduit la renégociation des DPA avec les prestataires concernés et rédigé les TIA manquantes, permettant à l'entreprise de clore le point avant l'audit de son comité de direction.
Matrice de décision : quel mécanisme pour quel flux ?
Les situations rencontrées en pratique se déclinent selon quelques configurations types :
Situation A – Transfert vers un pays bénéficiant d'une décision d'adéquation en vigueur → mécanisme : la décision d'adéquation suffit → délai de mise en conformité : immédiat, sous réserve de la vérification du maintien de la décision → niveau de vigilance : modéré, mais surveillance continue du statut d'adéquation nécessaire.
Situation B – Transfert vers un pays sans décision d'adéquation, prestataire sous-traitant → mécanisme : clauses contractuelles types (version actuelle) + TIA documentée → délai de mise en conformité : plusieurs semaines, selon la complexité des accords et le nombre de prestataires → niveau de vigilance : élevé.
Situation C – Transfert intra-groupe vers une entité hors EEE → mécanisme : règles d'entreprise contraignantes (binding corporate rules) approuvées par une autorité de contrôle, ou clauses contractuelles types → délai de mise en conformité : plusieurs mois pour les BCR ; plus court pour les clauses contractuelles types → niveau de vigilance : élevé, avec TIA requise dans les deux cas.
Situation D – Transfert ponctuel, dérogation invocable → mécanisme : dérogation pour nécessité contractuelle ou consentement explicite de la personne concernée → délai : immédiat si conditions remplies → niveau de vigilance : modéré, mais les dérogations ne peuvent pas couvrir des transferts structurels ou répétitifs.
Ce qu'il faut préparer – check-list :
- Cartographie complète des flux de données personnelles vers des pays tiers, incluant les accès distants et les outils SaaS.
- Inventaire des mécanismes de transfert en place et vérification de leur validité actuelle (décision d'adéquation en vigueur, version des clauses contractuelles types).
- Rédaction ou mise à jour des TIA pour chaque flux relevant des clauses contractuelles types.
- Révision des DPA et des accords de sous-traitance avec les prestataires concernés.
- Mise à jour des politiques de confidentialité et des mentions légales pour refléter les transferts réels et leurs mécanismes.
Domaines liés
- Gouvernance des données personnelles – mise en place du registre, DPO externalisé et politique interne de protection des données
- Nouveau cadre des transferts : impact pratique – analyse approfondie des conséquences opérationnelles pour les entreprises françaises
FAQ – Nouveau cadre des transferts internationaux de données
1. Quelles sanctions en cas de non-conformité ?
Le non-respect des obligations relatives aux transferts internationaux de données expose le responsable de traitement aux sanctions prévues par le RGPD, dont le montant peut atteindre un pourcentage du chiffre d'affaires annuel mondial, selon les dispositions du règlement relatives aux violations graves. En France, la CNIL dispose d'un pouvoir de sanction administrative, de mise en demeure, et peut prononcer des injonctions de cesser un transfert non conforme. Au-delà du risque financier, une mise en demeure publique ou une décision de sanction publiée affecte la réputation de l'organisation auprès de ses partenaires et de ses clients. Pour évaluer votre exposition, consultez notre page gouvernance des données personnelles.
2. Quelles démarches engager en priorité ?
La première démarche est l'établissement ou la mise à jour de la cartographie des transferts : identifier quels flux de données personnelles franchissent les frontières de l'EEE, vers quels pays, sur la base de quel mécanisme. La deuxième démarche est la vérification de la validité des mécanismes en place – décisions d'adéquation toujours en vigueur, clauses contractuelles types dans leur version actuelle. La troisième est la rédaction des TIA manquantes. Ces trois étapes peuvent être conduites de manière séquentielle sur une période de plusieurs semaines, en priorisant les flux portant sur des catégories sensibles de données ou un volume important de personnes concernées.
3. Quels documents ou process mettre à jour ?
Les documents à mettre à jour comprennent le registre des activités de traitement (pour refléter les transferts et leurs mécanismes), les DPA et accords de sous-traitance avec les prestataires établis hors de l'EEE (pour incorporer les nouvelles clauses contractuelles types), les TIA pour chaque flux relevant de ces clauses, et les politiques de confidentialité ainsi que les mentions légales destinées aux personnes concernées. Les processus internes à adapter incluent le circuit de validation de tout nouveau prestataire situé hors de l'EEE et la revue périodique de la cartographie des transferts.
4. Le Royaume-Uni est-il toujours un pays adéquat pour les transferts de données ?
Le statut du Royaume-Uni au regard des transferts de données depuis l'UE repose sur une décision d'adéquation adoptée par la Commission européenne. Ce statut est susceptible d'évoluer en fonction des modifications apportées par le Royaume-Uni à son propre cadre législatif en matière de protection des données. Toute organisation qui s'appuie sur cette décision d'adéquation doit surveiller son maintien et prévoir, par précaution, un mécanisme de substitution – notamment des clauses contractuelles types prêtes à être activées – si la décision venait à être suspendue ou annulée.
5. Les obligations en matière de transferts s'appliquent-elles aux sous-traitants établis en France qui font appel à des sous-sous-traitants hors EEE ?
Oui. Un sous-traitant au sens du RGPD qui recourt à un autre sous-traitant situé hors de l'EEE doit s'assurer que ce transfert repose sur un mécanisme approprié, sous réserve de l'autorisation préalable du responsable de traitement. Les clauses contractuelles types imposent au sous-traitant des obligations en cascade : il doit faire souscrire aux mêmes engagements à ses propres sous-traitants, et informer le responsable de traitement de tout recours à un sous-traitant établi dans un pays tiers. Ce point est fréquemment omis dans les chaînes de sous-traitance, notamment dans les secteurs du numérique et des services informatiques.
Vernay & Lestang – Avocats d'affaires, Paris
Notre pratique en propriété intellectuelle, numérique et données couvre la conformité au RGPD, la gouvernance des données personnelles, les transferts internationaux et la protection des actifs immatériels. Nous accompagnons régulièrement des directions juridiques et des DSI dans la cartographie de leurs transferts, la rédaction des clauses contractuelles types et des évaluations d'impact, ainsi que dans la préparation aux contrôles de la CNIL. Notre approche est fondée sur l'analyse concrète de votre architecture technique et contractuelle, sans recours à des solutions standardisées.
Pour une analyse de votre situation au regard du cadre des transferts internationaux de données, écrivez-nous à contact@vernaylestang.com. Honoraires définis après analyse du dossier.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Léa Caron – Analyste juridique au sein de Vernay & Lestang, Léa Caron traite les dossiers de propriété intellectuelle, numérique, protection des données et conformité. Voir sa présentation.
Publié le 8 juin 2026
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.