Comment encadrer le transfert de données hors Union européenne : guide pratique
Transférer des données personnelles vers un pays situé hors de l'Union européenne déclenche, dès le premier octet transmis, les obligations posées par le Règlement général sur la protection des données (RGPD) : l'entreprise expéditrice doit justifier d'un mécanisme de transfert valide avant toute communication. En mars 2026, la Commission nationale de l'informatique et des libertés (CNIL) maintient une surveillance active sur ces flux, et les sanctions prononcées en Europe rappellent que l'absence de cadre formel constitue un risque opérationnel majeur pour toute direction ou direction des systèmes d'information (DSI).
Ce guide détaille, étape par étape, la procédure pour encadrer le transfert de données hors Union européenne : prérequis, mécanismes disponibles, séquencement des actes, check-list documentaire et erreurs à éviter.
Pourquoi le transfert de données hors UE exige-t-il un cadre juridique spécifique ?
Le RGPD interdit, par principe, tout transfert de données à caractère personnel vers un pays tiers qui n'assure pas un niveau de protection équivalent à celui garanti au sein de l'Union européenne. Ce principe de prohibition s'applique quel que soit le support du transfert – cloud, messagerie, API, accès distant par un prestataire –, et quel que soit le volume de données concerné.
La logique est celle d'un niveau de protection substantiellement équivalent : l'entreprise exportatrice reste responsable des données même après leur acheminement vers le pays destinataire. En pratique, la CNIL et ses homologues européens réunis au sein du Comité européen de la protection des données (CEPD) ont développé une doctrine exigeante, notamment depuis les arrêts rendus par la Cour de justice de l'Union européenne (CJUE) sur les transferts vers les États-Unis.
Dans notre pratique, nous observons que les directions juridiques sous-estiment régulièrement deux catégories de transferts : les accès distants accordés à des prestataires techniques établis hors UE, et les sauvegardes automatiques vers des serveurs dont la localisation n'a pas été vérifiée au moment de la souscription. Ces flux passent inaperçus jusqu'au moment d'un audit ou d'une plainte.
La procédure pour encadrer le transfert de données hors Union européenne repose sur une séquence en quatre temps : cartographier, qualifier, sélectionner le mécanisme approprié, puis documenter. Aucune de ces étapes ne peut être sautée sans exposer l'entreprise à un risque de non-conformité sanctionnable au titre des obligations RGPD.
Vous cartographiez vos flux de données transfrontaliers pour la première fois ?
La procédure décrite ci-dessus vaut pour les situations courantes. Votre dossier suppose l'examen des actes, des délais et de la pratique des autorités de contrôle compétentes. Pour un premier avis sur votre cartographie et le choix du mécanisme adapté, adressez-nous un message à contact@vernaylestang.com.
Étape 1 : cartographier les flux de données à caractère personnel vers les pays tiers
Avant de sélectionner un mécanisme de transfert, l'entreprise doit disposer d'une cartographie exhaustive de l'ensemble des flux sortants. Cette étape préliminaire conditionne la validité de toute la démarche : un mécanisme correctement choisi mais appliqué à un périmètre incomplet laisse subsister des transferts non encadrés.
La cartographie porte sur quatre dimensions :
- L'identification des destinataires hors UE/EEE : sous-traitants, filiales, partenaires commerciaux, fournisseurs de services cloud, sociétés mères.
- La nature des données transférées : données courantes ou données sensibles au sens du RGPD (données de santé, données biométriques, données révélant l'origine raciale ou ethnique).
- Le pays de destination : pays ayant fait l'objet d'une décision d'adéquation de la Commission européenne, ou pays tiers sans décision.
- Le support du transfert : application SaaS, VPN, messagerie, API, transfert de fichiers, accès direct à un système.
La cartographie s'appuie sur le registre des activités de traitement, que tout responsable du traitement doit tenir à jour en application du RGPD. Nous accompagnons régulièrement des DSI qui disposent d'un registre formel mais incomplet, notamment sur les flux hébergés dans des environnements cloud multi-régions dont la configuration géographique n'a pas été fixée par contrat.
À l'issue de cette étape, l'entreprise dispose d'une liste de flux classés selon deux critères : pays de destination et qualification du destinataire (responsable conjoint, sous-traitant, tiers). Cette classification détermine le mécanisme applicable à l'étape suivante.
Étape 2 : vérifier si une décision d'adéquation couvre le pays destinataire
Le mécanisme le plus simple pour encadrer un transfert de données hors Union européenne est la décision d'adéquation : la Commission européenne a constaté que le pays tiers assure un niveau de protection équivalent à celui de l'UE, et aucun acte supplémentaire n'est requis de la part de l'entreprise exportatrice.
La liste des pays reconnus adéquats est publiée et régulièrement mise à jour par la Commission européenne. Au 1er mars 2026, plusieurs pays européens non membres de l'EEE, ainsi que certains États d'Asie-Pacifique et d'Amérique latine, bénéficient d'une décision d'adéquation. Pour les transferts vers les États-Unis, un cadre spécifique – le Data Privacy Framework – a été adopté, mais son périmètre est limité aux entreprises américaines qui y adhèrent formellement : l'entreprise exportatrice doit vérifier, avant tout transfert, que son partenaire américain figure bien sur la liste de certification.
Lorsqu'une décision d'adéquation couvre le pays destinataire et, le cas échéant, le destinataire lui-même (pour les régimes à certification individuelle), la documentation du transfert se limite à :
- La mention du mécanisme retenu dans le registre des activités de traitement.
- La vérification périodique du maintien de la décision d'adéquation (la CJUE peut en prononcer l'invalidité).
- La conservation de la preuve de la vérification de la certification du destinataire, pour les régimes à certification individuelle.
Dans notre pratique, nous insistons sur la nécessité de documenter la date de vérification de la liste de certification : en cas de contrôle, l'absence de preuve de vérification périodique peut être assimilée à un défaut de diligence.
Quels mécanismes utiliser en l'absence de décision d'adéquation ?
En l'absence de décision d'adéquation couvrant le pays destinataire, l'entreprise doit recourir à l'un des mécanismes prévus par le RGPD pour garantir des garanties appropriées. Les deux mécanismes les plus fréquemment utilisés dans le cadre de relations commerciales courantes sont les clauses contractuelles types (CCT) et les règles d'entreprise contraignantes (Binding Corporate Rules, BCR).
Les clauses contractuelles types
Les clauses contractuelles types sont des modèles de contrat adoptés par la Commission européenne. Elles sont intégrées telles quelles dans le contrat entre l'exportateur et l'importateur de données et ne peuvent pas être modifiées dans leur substance. La Commission européenne a adopté un nouveau jeu de CCT en 2021 ; les anciennes versions ont été invalidées et ne peuvent plus être utilisées pour de nouveaux transferts.
L'utilisation des CCT ne dispense pas d'une évaluation préalable du niveau de protection du pays destinataire (Transfer Impact Assessment, TIA). Cette évaluation documente les risques liés au droit et à la pratique du pays tiers, notamment les possibilités d'accès des autorités publiques aux données. Si l'évaluation révèle que les CCT seules ne suffisent pas à garantir un niveau de protection équivalent, des mesures supplémentaires (techniques, contractuelles ou organisationnelles) doivent être mises en place.
Les règles d'entreprise contraignantes
Les BCR sont réservées aux transferts intra-groupe. Elles constituent un cadre de politique interne approuvé par l'autorité de contrôle chef de file du groupe (en France, la CNIL lorsque l'entité coordinatrice est française). Leur mise en place suppose une procédure d'approbation qui implique plusieurs autorités de contrôle et s'étend sur une durée significative. Les BCR offrent en revanche une couverture pérenne pour l'ensemble des flux intra-groupe, sans qu'il soit nécessaire de signer des CCT pour chaque entité destinataire.
Vous avez déjà engagé une démarche de mise en conformité qui n'a pas abouti ?
Si une démarche antérieure a produit un résultat défavorable, un second regard permet d'identifier les leviers restants. Pour examiner l'application des mécanismes de transfert à votre opération, contactez-nous à contact@vernaylestang.com.
Étape 3 : conduire l'évaluation d'impact sur le transfert (TIA)
L'évaluation d'impact sur le transfert désigne l'analyse documentée des risques que le droit du pays tiers fait peser sur les données transférées, en particulier au regard des possibilités d'accès des autorités publiques à des fins de surveillance ou de répression. Cette évaluation est requise chaque fois que le mécanisme retenu est autre qu'une décision d'adéquation, notamment lorsque des CCT sont utilisées.
La TIA comprend quatre volets :
- Description du transfert : nature des données, finalité, parties, pays de destination.
- Analyse du droit du pays tiers : législation sur la surveillance des communications, droits d'accès des autorités publiques, existence de recours effectifs pour les personnes concernées.
- Évaluation des risques : probabilité et gravité d'un accès non autorisé ou d'une utilisation incompatible avec la finalité initiale.
- Mesures supplémentaires : si l'évaluation révèle un risque résiduel, l'entreprise doit mettre en place des mesures techniques (chiffrement de bout en bout, pseudonymisation renforcée) ou organisationnelles (limitation des accès, politique d'audit) pour ramener ce risque à un niveau acceptable.
Dans notre pratique du conseil en conformité données, nous observons que la TIA est fréquemment réalisée de manière superficielle, en se limitant à cocher des cases sans analyse substantielle du droit du pays destinataire. Une TIA insuffisante équivaut à une absence de TIA en cas de contrôle de la CNIL.
Matrice de décision :
- Pays avec décision d'adéquation → aucun mécanisme contractuel requis → vérification périodique du maintien de la décision → niveau de risque procédural faible.
- Pays sans adéquation, partenaire externe → CCT (nouveau jeu) + TIA + mesures supplémentaires si nécessaire → délai de mise en place : plusieurs semaines selon la complexité du dossier → niveau de risque moyen à élevé si TIA insuffisante.
- Transferts intra-groupe vers pays sans adéquation → BCR ou CCT module intra-groupe → BCR : procédure longue mais couverture pérenne → niveau de risque faible une fois approuvées.
Étape 4 : formaliser et documenter le transfert
La formalisation du transfert consiste à intégrer le mécanisme retenu dans la documentation contractuelle et dans le registre des activités de traitement, puis à conserver les preuves justificatives. Cette étape est celle qui cristallise la conformité ou l'expose au premier regard d'un auditeur ou d'une autorité de contrôle.
Les documents à constituer et à conserver sont les suivants :
- Le contrat de sous-traitance ou l'accord de transfert intégrant les CCT (ou la référence aux BCR approuvées).
- La TIA rédigée et datée, avec ses annexes (sources utilisées pour l'analyse du droit du pays tiers, mesures supplémentaires retenues).
- La mise à jour du registre des activités de traitement, avec mention du mécanisme de transfert et du pays destinataire.
- Les preuves de vérification périodique : captures de la liste de certification (pour le Data Privacy Framework), extraits de la liste des pays adéquats, correspondances avec le destinataire sur les mesures supplémentaires.
- Le cas échéant, la mention du transfert dans la politique de confidentialité publiée à destination des personnes concernées.
La durée de conservation de cette documentation doit être alignée sur les obligations RGPD relatives à la durée de conservation des données objet du transfert, avec un minimum correspondant à la durée pendant laquelle la responsabilité du responsable de traitement peut être engagée.
Illustration pratique (Île-de-France, printemps 2025)
Nous avons accompagné une entreprise de services numériques de la région parisienne dans la mise en conformité de ses flux de données vers un prestataire technique établi hors EEE. La cartographie initiale a révélé trois flux non documentés hébergés dans un environnement cloud multi-régions. La constitution du dossier CCT et TIA, puis la mise à jour du registre des activités de traitement, ont permis de régulariser la situation et d'apporter une réponse documentée lors d'un audit interne conduit peu après.
Quelles sont les erreurs fréquentes dans la mise en conformité des transferts hors UE ?
L'erreur la plus répandue que nous observons consiste à considérer que la signature d'un contrat standard avec un prestataire étranger suffit à encadrer le transfert, sans vérifier que les CCT sont bien intégrées dans leur version actuelle et que la TIA a été conduite.
Cinq erreurs structurelles reviennent régulièrement dans les dossiers que nous examinons :
- Utiliser d'anciennes versions de CCT : le nouveau jeu adopté par la Commission européenne en 2021 est seul valable pour les nouveaux contrats ; les anciens modèles ne couvrent plus les transferts conclus après la date de transition.
- Confondre le contrat de sous-traitance RGPD et les CCT : le contrat de sous-traitance porte sur les obligations du sous-traitant dans le traitement ; les CCT encadrent spécifiquement le transfert. Les deux documents sont distincts et cumulatifs.
- Omettre la TIA pour les CCT : les CCT ne fonctionnent pas seules. L'absence de TIA rend le mécanisme inopérant au regard de la doctrine du CEPD.
- Ne pas vérifier la certification des destinataires pour le Data Privacy Framework : l'adhésion au DPF est individuelle et peut être retirée. Un destinataire américain qui n'est plus certifié ne bénéficie plus du mécanisme.
- Ne pas mettre à jour la politique de confidentialité : les personnes concernées doivent être informées des transferts vers des pays tiers. Cette information figure dans la politique de confidentialité et, le cas échéant, dans les mentions légales.
Illustration pratique (Lyon, automne 2024)
Nous avons conduit la révision du dispositif contractuel d'un groupe industriel lyonnais qui avait signé des CCT dans leur ancienne version avec plusieurs prestataires asiatiques. La transition vers le nouveau jeu de CCT, couplée à la réalisation de TIA pour chaque pays de destination, a permis de régulariser l'ensemble des flux concernés et de renforcer la position du groupe lors de son renouvellement d'audit de certification ISO 27001.
Check-list : ce qu'il faut préparer pour encadrer un transfert de données hors UE
Une démarche structurée réduit le risque d'omission. Les éléments ci-dessous constituent le socle documentaire minimal attendu par la CNIL et les autorités de contrôle européennes.
- Cartographie des flux sortants à jour, avec identification du pays de destination et de la qualité du destinataire (sous-traitant, responsable conjoint, tiers).
- Vérification du statut du pays destinataire (décision d'adéquation en vigueur, ou liste de certifications pour les régimes à certification individuelle).
- Contrat intégrant les CCT dans leur version actuelle, ou référence aux BCR approuvées, signé avant tout transfert.
- TIA rédigée, datée et conservée, avec identification des mesures supplémentaires le cas échéant.
- Registre des activités de traitement mis à jour avec mention du mécanisme de transfert.
- Politique de confidentialité reflétant l'existence des transferts vers les pays tiers concernés.
- Procédure de vérification périodique de la validité des mécanismes (calendrier d'audit interne ou de revue annuelle).
Domaines liés
- Gouvernance des données personnelles – structurer le programme de conformité RGPD au sein de l'entreprise
- Étapes et conditions du transfert hors UE – conditions préalables et étapes procédurales détaillées
- Programme de conformité ou gestion au cas par cas ? – arbitrer entre approche structurée et traitement ponctuel
Questions fréquentes sur le transfert de données hors Union européenne
1. Quels sont les prérequis avant d'encadrer le transfert de données hors Union européenne ?
Avant d'encadrer un transfert de données hors Union européenne, l'entreprise doit disposer d'un registre des activités de traitement à jour et d'une cartographie identifiant l'ensemble des flux sortants, le pays de destination et la qualité du destinataire. Ces prérequis permettent de sélectionner le mécanisme approprié parmi ceux prévus par le RGPD : décision d'adéquation, clauses contractuelles types, règles d'entreprise contraignantes ou, à titre exceptionnel, dérogations spécifiques. L'absence de cartographie préalable expose à des oublis que les mécanismes mis en place ne couvriront pas.
2. Quels délais et conditions respecter pour un transfert encadré par des CCT ?
Les clauses contractuelles types doivent être intégrées dans le contrat avant tout transfert ; aucun flux ne peut intervenir dans l'intervalle sans mécanisme valide. La TIA, qui conditionne la validité des CCT, doit être conduite et documentée préalablement à la signature. La durée de mise en place varie selon la complexité du dossier et le nombre de pays de destination concernés ; dans notre pratique, plusieurs semaines sont généralement nécessaires pour un dossier multipartite. Les BCR requièrent quant à elles une procédure d'approbation par les autorités de contrôle compétentes, dont la durée peut s'étendre sur plusieurs mois.
3. Quelles sont les erreurs fréquentes à éviter dans l'encadrement des transferts hors UE ?
Les erreurs les plus fréquentes sont : utiliser d'anciennes versions de CCT invalidées, omettre la TIA, confondre le contrat de sous-traitance RGPD et les CCT, ne pas vérifier périodiquement la certification des destinataires pour les régimes à certification individuelle, et oublier de mettre à jour la politique de confidentialité. Ces lacunes sont systématiquement relevées lors des contrôles de la CNIL et peuvent entraîner des mesures correctives assorties d'un délai d'exécution contraint.
4. Un transfert vers une filiale du même groupe nécessite-t-il un mécanisme formalisé ?
Un transfert vers une filiale établie hors UE/EEE est soumis aux mêmes obligations que tout transfert vers un pays tiers : l'appartenance au même groupe ne constitue pas en soi un mécanisme de transfert au sens du RGPD. L'entreprise peut recourir aux BCR si le groupe a engagé cette procédure d'approbation, ou aux CCT module intra-groupe. La contrefaçon de la qualité de destinataire – traiter une filiale comme un sous-traitant alors qu'elle est responsable conjointe – constitue une erreur de qualification qui affecte le choix des CCT à utiliser.
5. Quelle est la procédure et quelles étapes suivre pour un contrat informatique intégrant un transfert hors UE ?
Pour un contrat informatique impliquant un transfert de données hors UE, la procédure comprend : la qualification des flux lors de la négociation contractuelle, l'intégration des CCT en annexe du contrat (ou la référence aux BCR approuvées), la conduite de la TIA avant signature, la mise à jour du registre des activités de traitement et de la politique de confidentialité, puis la mise en place d'une procédure de revue périodique. Le contrat informatique doit également prévoir des obligations d'information à la charge du prestataire en cas de changement de localisation des données ou de sous-traitance ultérieure dans un pays tiers.
Vernay & Lestang – Avocats d'affaires · Paris
Notre cabinet accompagne les entreprises et les directions des systèmes d'information dans la mise en conformité de leurs flux de données transfrontaliers : cartographie, choix du mécanisme, rédaction des clauses contractuelles types et conduite des évaluations d'impact sur le transfert. Nous intervenons également sur les questions de gouvernance des données personnelles, de conformité RGPD et de protection des actifs immatériels.
Pour une analyse de votre situation au regard de l'encadrement des transferts de données hors Union européenne, écrivez-nous à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt
Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, de droit du numérique, de protection des données et de conformité.
Voir le profil · Publié le 4 mars 2026
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.