Clause de transferts hors Union européenne : définition et rédaction

Exemple de rédaction commenté

L’exemple ci-dessous suppose qu’un prestataire traite pour le compte d’un client des données susceptibles d’être hébergées ou consultées hors de l’Union. Il se combine avec la clause RGPD générale et, le cas échéant, avec l’acte de sous-traitance de l’article 28, sans s’y substituer.

Article X. Transferts de données à caractère personnel hors de l’Union européenne

X.1. Le Prestataire s’interdit de transférer, de rendre accessibles ou de faire traiter les données à caractère personnel confiées par le Client depuis un pays situé hors de l’Espace économique européen, sans l’accord écrit et préalable du Client et sans respecter les conditions du chapitre V du règlement (UE) 2016/679 (le « RGPD »).

X.2. Tout transfert autorisé repose sur l’un des fondements suivants : une décision d’adéquation de la Commission européenne au sens de l’article 45 du RGPD ; à défaut, les clauses contractuelles types adoptées par la décision d’exécution (UE) 2021/914 au sens de l’article 46 du RGPD ; ou l’une des dérogations limitativement énumérées à l’article 49 du RGPD.

X.3. Préalablement à tout transfert fondé sur l’article 46, le Prestataire réalise et documente une analyse d’impact du transfert portant sur la législation du pays de destination et sur les mesures techniques et organisationnelles supplémentaires assurant un niveau de protection substantiellement équivalent à celui garanti au sein de l’Union.

X.4. Le Prestataire informe le Client, sans délai injustifié, de toute demande d’accès aux données émanant d’une autorité publique d’un pays tiers, dans la mesure où le droit applicable ne le lui interdit pas, et ne défère à une telle demande qu’après examen de sa régularité.

X.5. En cas d’invalidation du fondement retenu ou d’impossibilité de maintenir un niveau de protection équivalent, le Prestataire suspend le transfert concerné et en informe le Client, qui peut exiger la localisation des données au sein de l’Espace économique européen.

Commentaire de X.1 : le principe est l’interdiction, l’autorisation est l’exception. Le point de départ n’est pas la liberté de transférer, mais son encadrement. Viser l’accès aux données autant que leur transfert physique est essentiel : une simple consultation depuis un pays tiers, par une équipe d’astreinte par exemple, constitue déjà un transfert au sens du règlement. La clause couvre ainsi l’hébergement, la sauvegarde et l’assistance à distance.

Commentaire de X.2 : chaque transfert doit avoir un fondement nommé. Les trois fondements ne sont pas équivalents. La décision d’adéquation (article 45) offre le régime le plus simple mais couvre un nombre limité de pays. Les clauses contractuelles types (article 46) sont la voie la plus courante mais supposent une vérification. Les dérogations de l’article 49 (consentement explicite, exécution du contrat avec la personne concernée) sont d’interprétation stricte et ne servent qu’aux transferts occasionnels, jamais à un flux structurel.

Commentaire de X.3 : l’analyse d’impact est la conséquence directe de l’arrêt Schrems II. Signer les clauses contractuelles types ne suffit plus. L’exportateur doit vérifier que le droit local, en particulier les pouvoirs d’accès des autorités, ne prive pas ces clauses d’effet. Cette analyse conditionne la validité du transfert et doit être documentée, car la charge de la preuve pèse sur l’exportateur. Le sujet rejoint la clause RGPD de protection des données qui organise la répartition des rôles.

Commentaire de X.4 : l’accès des autorités étrangères est le risque central. C’est ce point qui a fait tomber le Privacy Shield. Obliger le prestataire à signaler et à contester les demandes d’accès crée une obligation contractuelle vérifiable, là où le règlement reste général. La réserve « dans la mesure où le droit applicable ne le lui interdit pas » évite d’imposer une obligation qui exposerait le prestataire à une infraction locale. [À VÉRIFIER JURISTE : la portée réelle de cette obligation d’information lorsque le droit du pays tiers interdit précisément toute divulgation.]

Commentaire de X.5 : la clause doit prévoir sa propre sortie de secours. Un fondement valable aujourd’hui peut être invalidé demain, comme l’a montré la chute successive du Safe Harbor puis du Privacy Shield. Prévoir la suspension et la relocalisation évite de se retrouver sans solution du jour au lendemain. Le lien avec la clause de durée de confidentialité et le sort des données en fin de relation mérite d’être vérifié.

Ce que dit le droit

Le chapitre V du RGPD conditionne tout transfert hors de l’Union. L’article 44 pose le principe : un transfert vers un pays tiers ou une organisation internationale n’est licite qu’en respectant les conditions du chapitre, y compris pour les transferts ultérieurs. Aucun niveau de protection assuré par le règlement ne doit être compromis. La qualification de « transfert » est large et inclut l’accès à distance.

La décision d’adéquation est le fondement le plus favorable. L’article 45 du RGPD permet à la Commission européenne de constater qu’un pays tiers assure un niveau de protection adéquat. Un transfert vers ce pays ne requiert alors aucune autorisation particulière. La liste des pays concernés évolue ; s’agissant des États-Unis, la décision d’adéquation du 10 juillet 2023 couvre les entreprises certifiées au titre du Data Privacy Framework. [À VÉRIFIER JURISTE : l’état des recours pendants contre la décision d’adéquation du 10 juillet 2023 et son incidence sur sa pérennité.]

Les garanties appropriées prennent le relais à défaut d’adéquation. L’article 46 du RGPD autorise le transfert lorsque l’exportateur a prévu des garanties appropriées, au premier rang desquelles les clauses contractuelles types adoptées par la décision d’exécution (UE) 2021/914 du 4 juin 2021. Les règles d’entreprise contraignantes de l’article 47, réservées aux groupes, constituent une autre voie. Ces garanties supposent que les personnes concernées disposent de droits opposables et de voies de recours effectives.

L’arrêt Schrems II a redéfini l’usage des clauses contractuelles types. Dans son arrêt du 16 juillet 2020 (CJUE, C-311/18, Data Protection Commissioner contre Facebook Ireland et Maximillian Schrems), la Cour de justice a invalidé le Privacy Shield et confirmé la validité des clauses contractuelles types, tout en imposant à l’exportateur d’évaluer, au cas par cas, si le droit du pays de destination permet d’en respecter le niveau de protection, quitte à ajouter des mesures supplémentaires.

Les dérogations de l’article 49 sont d’interprétation stricte. Consentement explicite et éclairé de la personne concernée, nécessité pour l’exécution d’un contrat conclu avec elle, motifs importants d’intérêt public : ces dérogations existent mais ne peuvent fonder un flux régulier et massif. Le Comité européen de la protection des données en retient une lecture restrictive, réservée aux transferts occasionnels et non répétitifs. [À VÉRIFIER JURISTE : le caractère occasionnel exigé pour mobiliser l’article 49 dans un contrat de prestation à exécution continue.]

Les erreurs fréquentes

Ignorer qu’un accès à distance est un transfert. Beaucoup de contrats ne visent que l’hébergement des données et oublient la maintenance ou le support assurés depuis un pays tiers. Une consultation ponctuelle par une équipe située hors de l’Union suffit à déclencher le chapitre V du RGPD.

Se contenter de signer les clauses contractuelles types. Depuis Schrems II, la signature ne vaut plus présomption de conformité. Sans analyse d’impact du transfert documentée, l’exportateur ne peut démontrer qu’il a rempli son obligation, et la responsabilité lui revient.

Confondre confidentialité et localisation des données. Une clause de confidentialité interdit la divulgation, elle ne dit rien du lieu de traitement. Une donnée peut rester confidentielle tout en étant hébergée dans un pays sans protection adéquate. Les deux stipulations répondent à des risques différents.

Invoquer l’article 49 pour un flux structurel. Fonder un hébergement permanent sur le consentement ou l’exécution du contrat détourne des dérogations conçues pour l’exceptionnel. Un contrôle de la CNIL requalifierait facilement ce montage en transfert sans base valable.

Ne pas prévoir la suspension du transfert. Sans clause de sortie, l’invalidation d’un fondement laisse l’entreprise sans solution immédiate. Anticiper la relocalisation des données évite l’interruption brutale du service.

Négociation : position de l’exportateur contre position de l’importateur

Ce que défend l’exportateur des données. Le client qui confie les données cherche à interdire tout transfert non autorisé, à imposer une analyse d’impact préalable, un droit d’audit sur les mesures de sécurité, une information immédiate en cas de demande d’une autorité étrangère, et une localisation par défaut au sein de l’Espace économique européen. Il porte la responsabilité première devant la CNIL et veut la répercuter sur l’exécutant. Cette exigence s’articule avec l’acte de sous-traitance de l’article 28 du RGPD.

Ce que défend l’importateur des données. Le prestataire, souvent adossé à une infrastructure mondiale, résiste à une interdiction absolue de transfert qui rendrait son service impraticable. Il propose une liste fermée de pays et de fondements, un plafond de responsabilité, et refuse de garantir un résultat qu’il ne maîtrise pas, puisqu’il dépend du droit local et des décisions de la Commission.

Où se situe l’équilibre. Le plus souvent sur deux points : le périmètre géographique autorisé et le régime de l’accès des autorités. Un compromis fréquent consiste à annexer la liste des destinataires, des pays et des fondements, en la faisant évoluer par avenant, et à distinguer l’obligation de moyens (contester les demandes d’accès, ajouter des mesures supplémentaires) de l’obligation de résultat (suspendre le transfert dès qu’un fondement tombe). L’exportateur accepte plus volontiers un plafond de responsabilité si l’obligation de suspension et de relocalisation est ferme.