Ce qui constitue un transfert vers un pays tiers
Un pays tiers est tout pays situé hors de l’Espace économique européen (l’UE plus l’Islande, le Liechtenstein et la Norvège). Il y a transfert lorsque des données personnelles sont envoyées à un destinataire situé dans un tel pays – ou rendues accessibles, par exemple via l’accès à distance d’une équipe de support ou d’un administrateur à l’étranger.
Les règles figurent au chapitre V du RGPD (articles 44 à 50). Elles s’ajoutent aux règles générales : le traitement lui-même doit aussi reposer sur une base juridique.
Les trois voies
- Décision d’adéquation (art. 45)
- La Commission européenne a constaté que le pays assure un niveau de protection adéquat – par exemple la Suisse, le Royaume-Uni ou le Japon, et pour les organisations certifiées les États-Unis dans le cadre du Data Privacy Framework.
- Garanties appropriées (art. 46, 47)
- Surtout les clauses contractuelles types et les règles d’entreprise contraignantes. Depuis Schrems II, elles exigent un examen au cas par cas du droit du pays destinataire.
- Dérogations (art. 49)
- Des exceptions pour des situations particulières, comme le consentement explicite ou un transfert nécessaire à un contrat avec la personne. Elles visent des transferts occasionnels, pas réguliers.
En pratique
- Recensez les prestataires et sous-traitants qui reçoivent des données personnelles hors de l’EEE ou peuvent y accéder.
- Notez pour chacun le mécanisme de transfert – décision d’adéquation, CCT ou dérogation.
- Pour les CCT : documentez une analyse d’impact du transfert et des mesures supplémentaires, comme un chiffrement dont les clés restent dans l’UE.
- Informez les personnes concernées dans votre politique de confidentialité.
Coviqo stocke et traite les contenus sur des serveurs en Allemagne. Lorsque des données quittent l’UE – protection réseau et CDN, paiements, fournisseurs de connexion et intégrations optionnels –, les transferts reposent sur le Data Privacy Framework si le destinataire est certifié, sinon sur des clauses contractuelles types. Détails : Pourquoi une plateforme européenne.
Cette page est une information générale, pas un conseil juridique.
Questions fréquentes
Un prestataire américain avec un centre de données dans l’UE implique-t-il un transfert ?
Pas automatiquement – le simple stockage dans l’UE n’est pas un transfert. Mais un accès à distance depuis les États-Unis peut en être un, et le prestataire peut être soumis au droit américain, comme le CLOUD Act.
Le Royaume-Uni est-il un pays tiers ?
Oui, depuis le Brexit. Mais la Commission européenne reconnaît depuis 2021 que le Royaume-Uni assure une protection adéquate ; tant que cette décision d’adéquation s’applique, les transferts vers ce pays ne nécessitent pas de garanties supplémentaires.