Blog

Transferts de donnees hors UE : ce que le RGPD impose avant d'utiliser un outil americain

Publie le 20/09/2026 · Temps de lecture : 10 min

Des qu'une TPE ou une PME utilise un outil de messagerie marketing, un CRM, une solution de visioconference ou un hebergeur dont les serveurs se trouvent hors de l'Union europeenne, elle realise un « transfert de donnees hors UE » au sens du RGPD, meme si elle n'y prete pas attention. Le Reglement general sur la protection des donnees encadre ces transferts dans son chapitre V (articles 44 a 49) et impose des garanties precises, sous peine de sanctions qui peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel selon l'article 83 du RGPD.

La question n'est pas theorique : la Cour de justice de l'Union europeenne a invalide en 2020 l'accord qui encadrait jusque-la la majorite des transferts vers les Etats-Unis, obligeant des milliers d'entreprises europeennes a revoir leurs outils du jour au lendemain. Voici ce que dit precisement le RGPD et comment une petite structure peut verifier sa situation sans y consacrer un service juridique entier.

Sommaire

• 1. Qu'est-ce qu'un transfert de donnees hors UE ?
• 2. Le principe pose par l'article 44 du RGPD
• 3. Les pays reconnus « adequats » par la Commission europeenne
• 4. Le cas des Etats-Unis : de Schrems II au Data Privacy Framework
• 5. Les clauses contractuelles types, la garantie la plus utilisee
• 6. Regles d'entreprise contraignantes et derogations ponctuelles
• 7. Les outils qui declenchent le plus souvent la question en TPE/PME
• 8. Comment verifier et securiser ses transferts, en pratique
• Questions frequentes

1. Qu'est-ce qu'un transfert de donnees hors UE ?

Il y a transfert des que des donnees personnelles quittent le territoire de l'Union europeenne et de l'Espace economique europeen (EEE, qui ajoute l'Islande, le Liechtenstein et la Norvege), quelle que soit la forme que prend ce mouvement. Cela inclut l'hebergement d'une base de donnees clients sur un serveur situe aux Etats-Unis, l'acces a distance a ces donnees par un prestataire etabli hors UE pour de la maintenance, ou l'utilisation d'un logiciel SaaS dont l'editeur traite les donnees dans un data center hors Union europeenne. Le critere n'est pas l'intention de l'entreprise, mais la localisation reelle du traitement.

De nombreux outils grand public utilises par les TPE et PME francaises sont edites par des societes americaines : suites bureautiques, CRM, plateformes d'emailing, outils de visioconference, solutions d'analyse d'audience. Le fait que l'interface soit en francais et que l'entreprise n'ait jamais pense « transfert international » ne change rien a la qualification juridique du traitement.

2. Le principe pose par l'article 44 du RGPD

L'article 44 du RGPD pose une regle simple dans son intention, mais structurante dans ses consequences : un transfert de donnees personnelles vers un pays situe hors de l'Union europeenne ne peut avoir lieu que si ce pays, ou l'organisation destinataire, offre un niveau de protection « essentiellement equivalent » a celui garanti dans l'Union. Le RGPD ne se contente donc pas d'imposer des regles a l'interieur de ses frontieres : il les rend opposables des que les donnees en sortent, ce qui evite qu'un simple changement de prestataire ou d'hebergeur permette de contourner la protection accordee aux personnes concernees.

Trois voies permettent de satisfaire a cette exigence, dans un ordre de priorite implicite : une decision d'adequation de la Commission europeenne concernant le pays destinataire (article 45), a defaut des garanties appropriees mises en place par l'entreprise elle-meme (article 46), et en dernier recours des derogations limitees a des situations particulieres (article 49).

3. Les pays reconnus « adequats » par la Commission europeenne

Quand la Commission europeenne juge, apres une analyse approfondie, qu'un pays tiers offre un niveau de protection des donnees personnelles comparable a celui de l'Union, elle adopte une decision d'adequation. Les transferts vers ce pays peuvent alors se faire sans formalite supplementaire, exactement comme un transfert intra-europeen. Plusieurs pays beneficient de ce statut, parmi lesquels la Suisse, le Royaume-Uni, le Japon, la Coree du Sud, le Canada pour les organismes soumis a sa loi federale sur la protection des donnees, et Israel.

Ces decisions ne sont pas figees : la Commission les reexamine periodiquement et peut les retirer si la situation juridique du pays concerne se degrade. C'est precisement ce qui s'est produit pour les Etats-Unis, a deux reprises.

4. Le cas des Etats-Unis : de Schrems II au Data Privacy Framework

Les Etats-Unis illustrent a eux seuls la fragilite de ces equilibres. Un premier accord, le « Safe Harbor », avait ete invalide par la Cour de justice de l'Union europeenne en 2015. Il avait ete remplace par le « Privacy Shield », qui a son tour a ete invalide par la meme juridiction le 16 juillet 2020, dans l'arret desormais connu sous le nom de Schrems II (affaire C-311/18). La Cour a estime que la legislation americaine de surveillance permettait aux autorites d'acceder aux donnees des citoyens europeens dans des conditions non proportionnees, sans offrir de voie de recours effective, ce qui rendait le niveau de protection insuffisant au regard du RGPD.

Cet arret a force des milliers d'entreprises europeennes a revoir en urgence leurs outils americains, faute de base juridique claire pour continuer les transferts. Un nouveau cadre, le Data Privacy Framework, a ensuite ete negocie et valide par une decision d'adequation de la Commission europeenne le 10 juillet 2023. Il ne couvre toutefois que les organisations americaines qui se sont volontairement fait certifier aupres du Department of Commerce, sur une liste publique consultable en ligne. Un transfert vers une entreprise americaine non certifiee reste soumis aux autres garanties du RGPD, notamment les clauses contractuelles types.

5. Les clauses contractuelles types, la garantie la plus utilisee

En l'absence de decision d'adequation, l'article 46 du RGPD permet d'encadrer un transfert par des « clauses contractuelles types » (CCT), un modele de contrat redige et publie par la Commission europeenne que l'entreprise europeenne et son prestataire etranger signent tel quel, sans pouvoir en modifier le fond. La Commission a adopte une nouvelle version de ces clauses le 4 juin 2021 (decision d'execution (UE) 2021/914), qui a remplace les anciens modeles de 2001 et 2010 et modularise les clauses selon la relation entre les parties (responsable de traitement vers sous-traitant, entre deux responsables de traitement, etc.).

Depuis l'arret Schrems II, signer les CCT ne suffit plus automatiquement : le Comite europeen de la protection des donnees recommande de completer cette signature par une analyse d'impact relative au transfert, qui verifie que la legislation du pays destinataire ne vide pas ces clauses de leur substance. En 2022, cette exigence a directement motive les mises en demeure prononcees par la CNIL contre plusieurs sites francais utilisant Google Analytics (version Universal Analytics), la CNIL estimant que les garanties alors en place ne neutralisaient pas suffisamment le risque d'acces des autorites americaines aux donnees des internautes francais. Pour un prestataire soumis au RGPD au titre de l'article 28, la clause relative aux transferts fait partie des mentions obligatoires du contrat de sous-traitance.

6. Regles d'entreprise contraignantes et derogations ponctuelles

Les groupes internationaux qui transferent regulierement des donnees entre leurs propres filiales peuvent aussi adopter des « regles d'entreprise contraignantes » (Binding Corporate Rules), une politique interne validee par l'autorite de protection des donnees competente. Ce dispositif, lourd a mettre en place, concerne surtout les grands groupes et reste rarement pertinent pour une TPE ou une PME independante.

L'article 49 du RGPD prevoit enfin des derogations pour des situations particulieres, notamment le consentement explicite et eclaire de la personne concernee, ou la necessite du transfert pour l'execution d'un contrat conclu avec elle (par exemple une reservation aupres d'un prestataire hors UE). Le Comite europeen de la protection des donnees insiste sur le caractere exceptionnel de ces derogations : elles sont concues pour des transferts ponctuels et non repetitifs, pas comme un substitut permanent aux garanties des articles 45 et 46 pour un flux de donnees regulier comme celui d'un outil marketing utilise au quotidien.

7. Les outils qui declenchent le plus souvent la question en TPE/PME

Dans la pratique d'une petite structure, la question des transferts hors UE se pose surtout avec des categories d'outils bien identifiables : les solutions de mesure d'audience et de publicite en ligne, les plateformes d'emailing et de gestion de la relation client, les outils de visioconference et de messagerie professionnelle, et l'hebergement web ou l'infrastructure cloud elle-meme. La nationalite de l'editeur ne suffit pas a trancher : de nombreux editeurs americains proposent desormais une option d'hebergement europeen des donnees, qui change completement l'analyse juridique si elle est effectivement activee et documentee par le prestataire.

La verification concrete se fait donc au niveau du contrat et de la documentation technique du fournisseur, pas au niveau du nom commercial de l'outil : politique de confidentialite, page dediee aux sous-traitants ulterieurs, localisation des data centers annoncee, et le cas echeant certification au Data Privacy Framework, verifiable independamment sur la liste officielle du Department of Commerce.

8. Comment verifier et securiser ses transferts, en pratique

Une demarche proportionnee pour une TPE ou une PME consiste a dresser la liste des outils qui traitent des donnees personnelles (clients, prospects, salaries), a identifier pour chacun le pays reel d'hebergement via la documentation du fournisseur, puis a classer chaque outil selon trois cas : pays couvert par une decision d'adequation (rien a faire de plus), transfert encadre par des clauses contractuelles types deja integrees au contrat du fournisseur (verifier qu'elles existent et sont a jour), ou situation floue necessitant de contacter le support du fournisseur pour obtenir sa documentation RGPD. Cette cartographie rejoint naturellement le registre des traitements exige par l'article 30 du RGPD, qui doit deja mentionner les transferts hors UE et les garanties associees pour chaque traitement concerne.

ConformiteFacile aide les TPE et PME a construire ce registre et a documenter les garanties associees a chaque outil utilise, sans avoir a maitriser seul l'ensemble du chapitre V du RGPD.

Questions frequentes

A lire aussi

Conservation des donnees

Duree de conservation des donnees clients : combien de temps les garder selon le RGPD

Lire

E-mailing & prospection

E-mailing et RGPD : les regles d'opt-in a respecter en B2C et en B2B

Lire

Contrats & sous-traitants

Contrat avec un sous-traitant RGPD : les clauses obligatoires de l'article 28

Lire