Encadrer le transfert de données hors Union européenne : check-list pour les entreprises
Encadrer le transfert de données hors Union européenne désigne l'ensemble des mesures juridiques et organisationnelles qu'une entreprise doit mettre en place, au titre du Règlement général sur la protection des données (RGPD), avant de transférer des données à caractère personnel vers un État situé en dehors de l'Espace économique européen. L'absence de mécanisme de transfert valide expose la direction et la DSI à des mesures correctives prononcées par la Commission nationale de l'informatique et des libertés (CNIL), allant de l'injonction formelle à la suspension du flux.
Ce guide détaille, étape par étape, la méthode à suivre pour sécuriser ces flux : cartographie préalable, sélection du mécanisme adapté, rédaction documentaire et contrôle continu. Il s'adresse aux directions générales et aux directions des systèmes d'information qui pilotent ou supervisent des transferts vers des sous-traitants, des filiales ou des partenaires établis hors EEE.
Le plan suit six étapes séquentielles. Chaque étape est assortie d'une liste de vérification opérationnelle.
Étape 1 – Pourquoi encadrer le transfert de données hors Union européenne est une obligation, pas une option
Le RGPD interdit par principe tout transfert de données à caractère personnel vers un pays tiers, sauf si l'entreprise peut démontrer l'existence d'un mécanisme de transfert valide, d'une décision d'adéquation de la Commission européenne ou d'une dérogation expressément prévue par les textes. Cette interdiction de principe s'applique dès lors que des données personnelles – identité, coordonnées, données de santé, identifiants techniques – quittent le territoire de l'EEE, y compris lors d'un simple accès à distance depuis un pays tiers par un prestataire ou une entité du même groupe.
Dans notre pratique des dossiers de conformité numérique, nous observons que la question se pose le plus souvent de façon inattendue : à l'occasion d'un audit contractuel, d'une refonte de l'infrastructure ou d'une acquisition. Les directions des systèmes d'information découvrent alors que des flux existent depuis plusieurs années sans base juridique documentée. La correction a posteriori est plus lourde que la mise en conformité préventive, car elle impose de régulariser des contrats déjà en vigueur, de notifier les sous-traitants et, selon les circonstances, d'informer la CNIL d'une violation.
Le Code monétaire et financier et le Code de commerce n'ont pas vocation directe à régir ces flux, mais ils créent des obligations de conservation et de traçabilité des données qui rendent la question incontournable pour les entreprises régulées. Le RGPD est, en droit français, d'application directe et la Loi Informatique et Libertés en assure l'adaptation nationale.
Marqueurs de déclenchement : le transfert est déclenché dès qu'une donnée personnelle est hébergée, traitée, consultée ou stockée sur un serveur situé hors EEE, quel que soit le mode – cloud, VPN d'accès, messagerie hébergée aux États-Unis, logiciel SaaS à serveurs en Asie, ou solution de visioconférence traitant des données sur un territoire tiers.
Une analyse préliminaire s'impose
La cartographie des flux constitue l'acte fondateur de toute démarche de conformité sur les transferts internationaux. Avant d'identifier le mécanisme applicable, la direction ou la DSI doit avoir une vue exhaustive de ses fournisseurs, de leurs sous-traitants, des localisations de serveurs et des accès à distance. Pour examiner l'application du RGPD à votre infrastructure, contactez-nous à contact@vernaylestang.com.
Étape 2 – Comment cartographier les flux transfrontaliers de données personnelles ?
La cartographie des flux transfrontaliers constitue le prérequis méthodologique de toute mise en conformité : sans inventaire précis, il est impossible de sélectionner le bon mécanisme, de rédiger une clause contractuelle pertinente ou de répondre à un contrôle de la CNIL. Cette étape s'appuie sur le registre des activités de traitement que le RGPD impose à la plupart des responsables de traitement et des sous-traitants.
La cartographie comporte quatre volets distincts :
- Identification des fournisseurs et sous-traitants – Recenser chaque prestataire qui reçoit, héberge ou accède à des données personnelles, en précisant son pays d'établissement et la localisation physique de ses serveurs.
- Qualification des données transférées – Identifier la nature des données (ordinaires, sensibles au sens du RGPD, données de mineurs), leur volume et leur criticité pour l'entreprise.
- Identification des flux indirects – Les sous-traitants ultérieurs (sous-traitants des sous-traitants) génèrent des flux qui relèvent également du RGPD. Leur localisation doit être tracée.
- Documentation dans le registre – Chaque flux transfrontalier est documenté : pays de destination, mécanisme de transfert retenu, référence contractuelle, date de mise en place.
Nous accompagnons régulièrement des DSI dans cet exercice. L'inventaire révèle presque systématiquement des flux non anticipés : outil de ticketing hébergé en dehors de l'EEE, solution de sauvegarde dont les serveurs de réplication sont situés hors Europe, ou module d'analyse d'audience web transmettant des données à un tiers américain sans base légale documentée. L'identification de ces flux permet d'arrêter une feuille de route de régularisation priorisée.
Étape 3 – Quels mécanismes juridiques permettent d'encadrer le transfert de données hors Union européenne ?
Le RGPD prévoit plusieurs mécanismes alternatifs pour légitimer un transfert vers un pays tiers : la décision d'adéquation de la Commission européenne, les clauses contractuelles types (CCT) adoptées par la Commission, les règles d'entreprise contraignantes (Binding Corporate Rules, BCR), les codes de conduite approuvés et les certifications. En l'absence de l'un de ces mécanismes, des dérogations strictes sont applicables dans des cas limités.
La décision d'adéquation est le mécanisme le plus simple : la Commission européenne reconnaît qu'un pays tiers offre un niveau de protection essentiellement équivalent à celui de l'EEE. Lorsqu'une décision d'adéquation est en vigueur pour le pays de destination, aucun acte juridique supplémentaire n'est requis du responsable de traitement. Cette décision peut cependant être remise en cause ou révisée.
Les clauses contractuelles types constituent le mécanisme le plus fréquemment utilisé pour les transferts vers des partenaires commerciaux ou des sous-traitants hors EEE. Elles sont adoptées par la Commission européenne et leur libellé est imposé ; les parties ne peuvent les modifier au fond. Leur utilisation implique toutefois une évaluation de l'impact du transfert (Transfer Impact Assessment, TIA) préalable, destinée à vérifier que le droit du pays de destination ne compromet pas l'efficacité des clauses.
Les règles d'entreprise contraignantes (BCR) sont réservées aux groupes multinationaux qui transfèrent des données en interne entre leurs entités. Leur approbation par une autorité de contrôle chef de file est une procédure longue. Elles ne conviennent pas pour les transferts vers des tiers.
La sélection du mécanisme dépend de trois critères : la relation avec le destinataire (groupe intégré ou tiers), le pays de destination (adéquation ou non) et la nature des données transférées (ordinaires ou sensibles). La matrice suivante permet un premier arbitrage :
Matrice de décision :
- Situation A – Pays de destination couvert par une décision d'adéquation en vigueur, données ordinaires → mécanisme : décision d'adéquation directement applicable → pas de démarche contractuelle supplémentaire → niveau de risque : faible sous réserve de vérifier la validité de la décision.
- Situation B – Pays de destination sans adéquation, prestataire externe → mécanisme : CCT version 2021 + TIA → délai de mise en place : variable selon la complexité de l'évaluation d'impact → niveau de risque : moyen si le TIA est documenté et robuste.
- Situation C – Transferts intra-groupe, pays multiples hors EEE → mécanisme : BCR ou CCT intra-groupe → délai : procédure BCR longue, CCT plus rapide → niveau de risque : élevé tant que le mécanisme n'est pas approuvé ou signé.
- Situation D – Transfert urgent, ponctuel, sans mécanisme disponible → mécanisme : dérogation stricte du RGPD (consentement explicite ou exécution du contrat) → niveau de risque : élevé, usage exceptionnel seulement.
Une démarche antérieure a produit un résultat insuffisant ?
Si une procédure de mise en conformité a déjà été engagée – déploiement partiel de CCT, TIA non documenté, BCR en cours sans suivi – un second regard permet d'identifier les lacunes et les risques résiduels. Pour analyser votre dispositif existant, adressez-nous un message à contact@vernaylestang.com.
Étape 4 – Quels documents rédiger et signer pour sécuriser le transfert ?
La mise en place d'un transfert sécurisé vers un pays tiers requiert un socle documentaire précis, dont l'absence constitue la principale cause de mise en demeure par la CNIL lors d'un contrôle. Ce socle comporte des actes contractuels, des évaluations d'impact et des mises à jour du registre de traitement.
Pour les transferts reposant sur les CCT, la documentation minimale comprend :
- L'accord de traitement des données (DPA) – Contrat entre le responsable de traitement et le sous-traitant, reprenant les obligations du RGPD relatives à la sous-traitance (finalités, durée, mesures de sécurité, sort des données en fin de contrat).
- Les CCT annexées au DPA – Les clauses contractuelles types adoptées par la Commission européenne sont intégrées telles quelles, dans leur version actuellement en vigueur. Toute modification substantielle les prive de leur valeur juridique.
- Le Transfer Impact Assessment (TIA) – Évaluation documentée du cadre légal du pays de destination, analysant les pouvoirs d'accès des autorités publiques, la disponibilité de voies de recours pour les personnes concernées et, le cas échéant, les mesures supplémentaires à adopter (chiffrement, pseudonymisation, restrictions d'accès).
- La mise à jour du registre des activités de traitement – Le flux transfrontalier est consigné avec le mécanisme retenu, la date de signature et le pays de destination.
- La mise à jour de la politique de confidentialité – Les personnes concernées doivent être informées des transferts vers des pays tiers et des garanties mises en place. Voir à ce sujet notre guide sur la rédaction d'une politique de confidentialité conforme.
Pour les BCR, la documentation est plus structurée encore : elle comprend un document-cadre approuvé par l'autorité chef de file, une liste des entités liées, des mécanismes internes de plainte et des obligations de formation des personnels concernés.
Situation rencontrée dans notre pratique
À l'automne 2025, nous avons accompagné une ETI du secteur de la distribution, établie en région parisienne, dans la révision de ses contrats SaaS avec des prestataires américains. La cartographie initiale avait révélé l'absence de TIA pour plusieurs flux actifs depuis plusieurs années. Nous avons structuré l'évaluation d'impact pour chaque flux et coordonné la signature des CCT dans leur version en vigueur, réduisant le risque résiduel identifié lors d'un audit préalable.
Étape 5 – Quelles erreurs fréquentes compromettent l'encadrement des transferts de données ?
Les erreurs les plus courantes dans la mise en conformité des transferts internationaux ne tiennent pas à une méconnaissance du RGPD mais à des lacunes d'exécution : mauvaise version des CCT utilisée, TIA bâclé ou absent, sous-traitants ultérieurs non couverts. Elles sont aussi – c'est l'idée reçue dominante – liées à la croyance qu'une clause contractuelle générique suffit à légitimer n'importe quel flux.
Erreur n° 1 – Utiliser une ancienne version des CCT. La Commission européenne a adopté de nouvelles clauses contractuelles types en 2021. Les versions antérieures ont été abrogées. Utiliser des clauses périmées prive le transfert de toute base légale, sans que les parties ne s'en rendent nécessairement compte lors de la négociation du contrat.
Erreur n° 2 – Négliger le TIA. La Cour de justice de l'Union européenne a précisé que les CCT, seules, ne suffisent pas si le droit du pays de destination ne garantit pas un niveau de protection équivalent. L'évaluation d'impact du transfert est une étape obligatoire, documentée et proportionnée à la sensibilité des données concernées.
Erreur n° 3 – Omettre les sous-traitants ultérieurs. Un sous-traitant établi dans l'EEE peut recourir à ses propres prestataires situés hors EEE. Ces flux indirects relèvent également du RGPD. Le DPA doit imposer au sous-traitant de notifier tout recours à un sous-traitant ultérieur hors EEE et d'obtenir l'autorisation préalable du responsable de traitement.
Erreur n° 4 – Confondre la localisation de l'entreprise et la localisation des serveurs. Un prestataire établi en France peut traiter les données sur des serveurs situés hors EEE. La localisation contractuelle du prestataire n'est pas le critère pertinent : c'est la localisation physique du traitement qui détermine l'obligation de transfert.
Erreur n° 5 – Ne pas actualiser la politique de confidentialité. L'information des personnes concernées est une obligation autonome. Une politique de confidentialité qui ne mentionne pas les transferts vers des pays tiers, les pays de destination et les garanties mises en place constitue un manquement distinct, indépendant de la validité des CCT signées.
Dans notre pratique des contrôles CNIL et des audits de conformité, nous observons que la combinaison des erreurs n° 2 et n° 3 est la plus fréquente et la plus exposante : le responsable de traitement a signé des CCT valides avec son prestataire direct, mais il ignore que ce prestataire recourt à des infrastructures cloud situées hors EEE, sans que le TIA ait été étendu à ces flux secondaires.
Étape 6 – Comment assurer le contrôle continu et la mise à jour du dispositif ?
La conformité en matière de transferts internationaux n'est pas un acte ponctuel : elle requiert une révision régulière du dispositif, notamment à chaque changement de prestataire, évolution de l'infrastructure ou modification du cadre réglementaire (révision d'une décision d'adéquation, adoption de nouvelles CCT par la Commission européenne). Le responsable de traitement et le délégué à la protection des données (DPO) doivent structurer cette veille.
Les jalons de contrôle recommandés sont les suivants :
- Revue annuelle du registre de traitement – Vérification de la validité des mécanismes de transfert, mise à jour des flux nouveaux ou modifiés, archivage des TIA.
- Clause de notification dans les DPA – Toute modification par le sous-traitant de la localisation du traitement (changement de datacenters, recours à un nouveau sous-traitant ultérieur hors EEE) doit faire l'objet d'une notification contractuelle préalable au responsable de traitement.
- Veille sur les décisions d'adéquation – L'invalidation d'une décision d'adéquation prive immédiatement les flux concernés de leur base légale. Un dispositif de veille permet d'anticiper la substitution par des CCT.
- Formation des équipes – Les collaborateurs en charge de la relation fournisseurs et de l'achat de solutions numériques doivent être sensibilisés aux prérequis de transfert avant toute contractualisation avec un prestataire non-EEE.
- Revue lors des opérations structurantes – Acquisition, fusion, intégration d'une nouvelle entité : les flux transfrontaliers de la cible ou du partenaire doivent être audités dans le cadre des diligences. Voir également notre guide sur la mise en place d'un programme de conformité.
Situation rencontrée dans notre pratique
Au printemps 2025, nous avons assisté une société de services numériques établie à Lyon dans la mise en place d'une revue annuelle formalisée de ses transferts hors EEE. La mission a inclus la révision de l'ensemble des DPA conclus avec des prestataires cloud, l'actualisation des TIA et la mise à jour de la politique de confidentialité à destination des utilisateurs du service. Le dispositif a également été intégré dans le programme de conformité général de l'entreprise.
Check-list « ce qu'il faut préparer » pour encadrer le transfert de données hors Union européenne
La liste suivante synthétise les documents et vérifications indispensables avant tout transfert de données personnelles vers un pays tiers. Elle est conçue pour servir de base de travail à la direction ou à la DSI, en amont d'une revue juridique approfondie.
- Registre des activités de traitement à jour, mentionnant les flux transfrontaliers et les mécanismes de transfert associés.
- Cartographie des sous-traitants (directs et ultérieurs) avec localisation des serveurs et nature des données traitées.
- Vérification de l'existence d'une décision d'adéquation pour chaque pays de destination, ou identification du mécanisme alternatif applicable.
- DPA signé avec chaque sous-traitant traitant des données hors EEE, incorporant les CCT dans leur version en vigueur.
- TIA documenté pour chaque flux couvert par des CCT, analysant le droit du pays de destination et les mesures supplémentaires éventuelles.
- Politique de confidentialité mise à jour, informant les personnes concernées des transferts vers des pays tiers et des garanties applicables.
- Clause contractuelle de notification préalable en cas de modification de la localisation du traitement par le sous-traitant.
- Calendrier de revue annuelle et désignation d'un responsable interne du suivi.
La conformité des contrats numériques et la gestion des données personnelles s'articulent étroitement avec la protection des actifs immatériels de l'entreprise. Consulter notre page sur les contrats d'édition et de production de contenus numériques permet de replacer ces obligations dans le cadre plus large de la relation avec les prestataires créatifs et technologiques.
Domaines liés
- Contrats d'édition et de production de contenus – Encadrement juridique des relations avec les prestataires numériques et créatifs.
- Rédaction d'une politique de confidentialité conforme – Guide pratique pour satisfaire aux obligations d'information du RGPD.
Questions fréquentes sur l'encadrement des transferts de données hors Union européenne
1. Quels sont les prérequis avant d'encadrer le transfert de données hors Union européenne ?
Avant de mettre en place un mécanisme de transfert, le responsable de traitement doit disposer d'un registre des activités de traitement à jour et avoir cartographié l'ensemble de ses flux transfrontaliers, y compris les flux indirects générés par ses sous-traitants. Sans cet inventaire, il est impossible de sélectionner le mécanisme adapté ni de rédiger un TIA pertinent. Le responsable doit également vérifier si une décision d'adéquation de la Commission européenne couvre le pays de destination, ce qui simplifie considérablement la démarche.
2. Quels délais et conditions faut-il respecter pour encadrer un transfert de données hors Union européenne ?
Le RGPD ne prévoit pas de délai réglementaire unique : l'obligation est d'ordre permanent, c'est-à-dire que le mécanisme de transfert doit être en place avant que le premier flux ait lieu, et non après. La mise en place de CCT accompagnées d'un TIA peut prendre plusieurs semaines selon la complexité des flux et la coopération du prestataire destinataire. Pour les BCR, la procédure d'approbation par l'autorité de contrôle chef de file est substantiellement plus longue et doit être anticipée bien en amont de tout transfert intra-groupe.
3. Quelles sont les erreurs fréquentes à éviter lorsque l'on encadre le transfert de données hors Union européenne ?
Les erreurs les plus exposantes sont : utiliser une version périmée des clauses contractuelles types, omettre le Transfer Impact Assessment (TIA) ou le traiter comme une formalité, négliger les sous-traitants ultérieurs du prestataire direct, confondre la localisation contractuelle du prestataire avec la localisation physique des serveurs, et ne pas mettre à jour la politique de confidentialité. Chacune de ces erreurs constitue un manquement autonome pouvant faire l'objet d'une mesure corrective de la CNIL.
4. Une décision d'adéquation dispense-t-elle de toute démarche contractuelle ?
Une décision d'adéquation en vigueur dispense le responsable de traitement de conclure des CCT ou d'effectuer un TIA pour les flux vers le pays couvert. Elle ne dispense pas pour autant d'informer les personnes concernées du transfert, de mettre à jour le registre, ni de respecter les principes généraux du RGPD applicables à tout traitement. Il convient par ailleurs de vérifier régulièrement que la décision n'a pas été suspendue ou invalidée, une telle décision pouvant être remise en cause par la juridiction de l'Union européenne.
5. Comment le RGPD s'articule-t-il avec les autres obligations de conformité de l'entreprise en matière de transfert de données ?
L'encadrement des transferts de données hors Union européenne s'inscrit dans un périmètre de conformité plus large. Les obligations issues de la Loi Informatique et Libertés, les exigences sectorielles (secteur financier, santé, défense) et les clauses contractuelles négociées avec les clients de l'entreprise peuvent imposer des niveaux de protection supplémentaires au-delà du RGPD. Un programme de conformité global, intégrant la gestion des données et la cartographie des risques liés aux tiers, permet de traiter ces obligations de façon cohérente plutôt qu'en silos séparés.
Vernay & Lestang – Avocats d'affaires · Paris
Notre cabinet conseille les directions générales, les DSI et les directions juridiques dans la structuration de leurs dispositifs de conformité numérique et de protection des données personnelles. Nous intervenons depuis la cartographie initiale jusqu'à la négociation des contrats avec les prestataires et la rédaction des documents requis par le RGPD. Notre méthode associe rigueur juridique et opérationnalité : chaque recommandation est traduite en actes concrets, intégrés dans la réalité de votre organisation. Les honoraires sont définis après analyse du dossier. Pour un premier avis sur votre dispositif de transfert de données, écrivez-nous à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt – Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, de droit du numérique, de protection des données personnelles et de conformité. Voir sa présentation.
Publié le 6 mars 2026
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.