{"id":1006,"date":"2024-01-25T12:00:47","date_gmt":"2024-01-25T11:00:47","guid":{"rendered":"https:\/\/nouvelhorizonconseil.com\/?p=1006"},"modified":"2026-08-12T14:56:43","modified_gmt":"2026-08-12T12:56:43","slug":"transferts-internationaux-de-donnees-rgpd","status":"publish","type":"post","link":"https:\/\/nouvelhorizonconseil.com\/?p=1006","title":{"rendered":"Transferts internationaux de donn\u00e9es : que pr\u00e9voit le RGPD ?"},"content":{"rendered":"

\"TransfertsL\u2019essor d\u2019internet, la num\u00e9risation des biens et services et l\u2019usage croissant des nouvelles technologies ont favoris\u00e9 une circulation massive de donn\u00e9es \u00e0 travers le monde. Cependant, les transferts internationaux de donn\u00e9es, notamment en dehors de l\u2019UE et de l\u2019Espace Economique Europ\u00e9en (EEE), sont fortement encadr\u00e9s par le RGPD. Ce cadre l\u00e9gal s\u2019est d\u2019ailleurs renforc\u00e9 depuis l\u2019invalidation du Privacy Shield et l\u2019application de nouvelles r\u00e8gles. Quelles sont les dispositions du RGPD en mati\u00e8re de transferts internationaux de donn\u00e9es\u00a0? El\u00e9ments de r\u00e9ponse avec NH Conseil, cabinet de conseil sp\u00e9cialis\u00e9 en protection des donn\u00e9es personnelles<\/a>.<\/p>\r\n

Les exigences du RGPD pour les transferts de donn\u00e9es en dehors de l\u2019UE<\/h2>\r\n

Pour peu qu\u2019ils assurent un niveau de protection des donn\u00e9es suffisant et appropri\u00e9<\/strong>, les organismes peuvent transf\u00e9rer des donn\u00e9es hors de l\u2019UE et de l\u2019EEE (UE et Norv\u00e8ge, Islande et Lichtenstein). Pour garantir ce niveau de protection, les responsables de traitement et les sous-traitants doivent se r\u00e9f\u00e9rer aux outils juridiques pr\u00e9vus par le RGPD pour les transferts internationaux de donn\u00e9es.<\/p>\r\n

Au nombre des outils encadrant le transfert de donn\u00e9es depuis l\u2019UE\/EEE vers un Etat tiers figure la d\u00e9cision d\u2019ad\u00e9quation\u00a0pr\u00e9vue \u00e0 l\u2019article 45 du RGPD<\/a>. Rendue par la Commission Europ\u00e9enne, elle permet d\u2019attester que le pays destinataire des donn\u00e9es dispose d\u2019un niveau de protection suffisant, en harmonie avec les normes europ\u00e9ennes. Le cas \u00e9ch\u00e9ant, l\u2019organisme transf\u00e9rant les donn\u00e9es hors UE n\u2019est plus tenu de fournir des garanties suppl\u00e9mentaires<\/strong> pour cette op\u00e9ration.<\/p>\r\n

En absence d\u2019une d\u00e9cision d\u2019ad\u00e9quation, d\u2019autres garanties dites \u00ab\u00a0garanties appropri\u00e9es<\/strong>\u00a0\u00bb, vis\u00e9es \u00e0 l\u2019article 46 du RGPD<\/a>, doivent \u00eatre mises en place. Celles-ci sont prises \u00e0 la lueur des engagements des entit\u00e9s concern\u00e9es en termes de protection des donn\u00e9es personnelles, de la vie priv\u00e9e et des droits fondamentaux des personnes concern\u00e9es. Si ces garanties appropri\u00e9es n\u2019existent pas, les transferts internationaux de donn\u00e9es<\/strong> peuvent \u00eatre effectu\u00e9s, par d\u00e9rogation, dans des situations pr\u00e9cises et \u00e0 des conditions clairement d\u00e9finies \u00e0 l\u2019article 49 du RGPD<\/a>.<\/p>\r\n

Les transferts de donn\u00e9es entre l\u2019Union europ\u00e9enne (UE) et les Etats-Unis (USA)<\/h2>\r\n

Outre la d\u00e9cision d\u2019ad\u00e9quation, les transferts internationaux de donn\u00e9es peuvent notamment \u00eatre encadr\u00e9s par des instruments contractuels d\u00e9ploy\u00e9s entre les parties prenantes, tels que les Clauses Contractuelles Types<\/strong> (CCT).<\/p>\r\n

Les Clauses contractuelles types (CCT) et le RGPD<\/h3>\r\n

Mod\u00e8les de contrats adopt\u00e9s par la Commission europ\u00e9enne ou un Etat membre de l\u2019UE, les clauses contractuelles types (CCT) encadrent les transferts de donn\u00e9es hors UE. Elles repr\u00e9sentent un ensemble de clauses \u00e9tablies entre l\u2019exportateur et l\u2019importateur de donn\u00e9es.<\/p>\r\n

En pratique, ces clauses sont applicables que le transfert ait lieu entre deux responsables de traitement, deux sous-traitants, ou encore entre un responsable de traitement et un sous-traitant. Int\u00e9gr\u00e9es au contrat entre les entit\u00e9s concern\u00e9es, les clauses contractuelles types (CCT) encadrent le transfert de donn\u00e9es. Toutefois, depuis l\u2019arr\u00eat de la Cour de Justice de l\u2019Union europ\u00e9enne (CJUE) dit \u00ab\u00a0Schrems II\u00a0\u00bb<\/strong>, elles ont connu des modifications pour se conformer aux exigences du RGPD.<\/p>\r\n

Depuis cette jurisprudence, le r\u00e9gime juridique des transferts internationaux a consid\u00e9rablement \u00e9volu\u00e9, impliquant des changements concernant tant les clauses contractuelles types (CCT) que le transfert de donn\u00e9es vers les USA. Si l\u2019arr\u00eat \u00ab\u00a0Schrems II\u00a0\u00bb a reconnu la validit\u00e9 des clauses contractuelles types (CCT), la CJUE a soumis leur utilisation \u00e0 une analyse pr\u00e9alable du cadre juridique applicable dans le pays tiers<\/strong> et de sa conformit\u00e9 aux stipulations des clauses contractuelles types (CCT). En cas de contradiction avec les clauses contractuelles types (CCT), des mesures suppl\u00e9mentaires doivent \u00eatre prises pour garantir une protection appropri\u00e9e des donn\u00e9es. Une telle exigence conforte, s\u2019il le fallait encore, la n\u00e9cessit\u00e9 de nommer un DPO<\/a>.<\/p>\r\n

L\u2019invalidation du Privacy Shield et la mise en place de mesures suppl\u00e9mentaires<\/h3>\r\n

Suite \u00e0 l\u2019invalidation du Safe Harbor, le Privacy Shield, accord entre l\u2019UE et les Etats-Unis en mati\u00e8re de protection des donn\u00e9es personnelles dans le cadre des transferts transantlatiques permettait de transf\u00e9rer librement les donn\u00e9es vers le territoire am\u00e9ricain. Toutefois, \u00e0 travers l\u2019arr\u00eat dit \u00ab\u00a0Schrems II\u00a0\u00bb rendu le 16 juillet 2020 par la Cour de justice de l\u2019Union Europ\u00e9enne (CJUE) , le juge europ\u00e9en a invalid\u00e9 le Privacy Shield.<\/strong><\/p>\r\n

Les transferts internationaux de donn\u00e9es vers les Etats-Unis depuis 2023<\/h3>\r\n

Dans le cas des Etats-Unis, \u00e0 la suite d\u2019une analyse de la l\u00e9gislation am\u00e9ricaine, la Cour de Justice de l\u2019Union europ\u00e9enne (CJUE) a estim\u00e9 que la r\u00e8glementation am\u00e9ricaine sur la protection des donn\u00e9es n\u2019offrait pas un niveau de protection des donn\u00e9es personnelles suffisant. Elle a donc prononc\u00e9 l\u2019annulation du Privacy Shield<\/strong>. \u00a0Pour pallier la suppression du Privacy Shield, la Commission europ\u00e9enne a mis \u00e0 jour les clauses contractuelles types (CCT) le 4 juin 2021.<\/p>\r\n

Cependant, depuis le 10 juillet 2023, les transferts internationaux de donn\u00e9es entre les USA et l\u2019UE sont encadr\u00e9s par un nouveau syst\u00e8me visant \u00e0 remplacer le Privacy Shield\u00a0: le Data Privacy Framework<\/strong>. De facto, pour r\u00e9pondre aux insuffisances relev\u00e9es par la Cour de Justice de l\u2019Union europ\u00e9enne (CJUE) dans l\u2019arr\u00eat \u00ab\u00a0Schrems II\u00a0\u00bb, les Etats-Unis ont introduit de nouvelles garanties sur la protection des donn\u00e9es. Suite \u00e0 cette mise en conformit\u00e9, la Commission europ\u00e9enne a adopt\u00e9 sa d\u00e9cision d\u2019ad\u00e9quation du cadre de confidentialit\u00e9 des donn\u00e9es entre l\u2019UE et les Etats-Unis<\/a>. Pour peu qu\u2019ils s\u2019inscrivent dans le cadre de ce nouvel accord, les transferts internationaux de donn\u00e9es de l\u2019UE vers les USA sont libres et conformes au RGPD.<\/p>\r\n

Les cons\u00e9quences du Brexit sur les transferts de donn\u00e9es entre l\u2019UE et le Royaume-Uni<\/h2>\r\n

Depuis le 1er<\/sup> f\u00e9vrier 2020, le Royaume-Uni s\u2019est retir\u00e9 de l\u2019UE. Ce retrait, appel\u00e9 \u00ab\u00a0Brexit\u00a0\u00bb, a modifi\u00e9 le cadre juridique des \u00e9changes de donn\u00e9es personnelles entre le Royaume-Uni et l\u2019Union europ\u00e9enne. Il est donc judicieux de s\u2019interroger sur les cons\u00e9quences du Brexit sur les transferts internationaux de donn\u00e9es entre le Royaume-Uni et l\u2019UE<\/strong>.<\/p>\r\n

Dans une d\u00e9cision adopt\u00e9e le 28 juin 2021, la Commission europ\u00e9enne a rendu deux d\u00e9cisions d\u2019ad\u00e9quation, dont l\u2019une sur le transfert de donn\u00e9es entre l\u2019Union europ\u00e9enne et le Royaume-Uni. Selon cette d\u00e9cision, les transferts de donn\u00e9es de l\u2019UE vers le Royaume-Uni sont conformes aux RGPD et peuvent s\u2019effectuer sans encadrement sp\u00e9cifique ou garanties suppl\u00e9mentaires.<\/p>\r\n

Toutefois, cette d\u00e9cision d\u2019ad\u00e9quation expire en 2024. De plus, suite \u00e0 un projet de loi visant \u00e0 r\u00e9organiser la protection des donn\u00e9es personnelles Outre-Manche, l\u2019ad\u00e9quation du syst\u00e8me britannique de protection des donn\u00e9es personnelles pourrait \u00eatre remis en question. \u00a0En effet, ce projet de loi implique des changements majeurs, lesquels pourraient \u00eatre contraires aux dispositions du RGPD sur les transferts internationaux de donn\u00e9es<\/strong>. En temps opportun, la Commission proc\u00e9dera certainement \u00e0 une r\u00e9\u00e9valuation de la situation.<\/p>","protected":false},"excerpt":{"rendered":"L\u2019essor d\u2019internet, la num\u00e9risation des biens et services et l\u2019usage croissant des nouvelles technologies ont favoris\u00e9 une circulation massive de donn\u00e9es \u00e0 travers le monde. Cependant, les transferts internationaux de donn\u00e9es, notamment en dehors de l\u2019UE et de l\u2019Espace Economique Europ\u00e9en (EEE), sont fortement encadr\u00e9s par le RGPD. Ce cadre l\u00e9gal s\u2019est d\u2019ailleurs renforc\u00e9 depuis […]

Lire la suite\u2026 from Transferts internationaux de donn\u00e9es : que pr\u00e9voit le RGPD ?<\/span><\/a><\/p>","protected":false},"author":3,"featured_media":1007,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[3],"tags":[8],"class_list":["post-1006","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","tag-transferer-des-donnees-hors-de-lue"],"acf":[],"_links":{"self":[{"href":"https:\/\/nouvelhorizonconseil.com\/index.php?rest_route=\/wp\/v2\/posts\/1006","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/nouvelhorizonconseil.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/nouvelhorizonconseil.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/nouvelhorizonconseil.com\/index.php?rest_route=\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/nouvelhorizonconseil.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=1006"}],"version-history":[{"count":1,"href":"https:\/\/nouvelhorizonconseil.com\/index.php?rest_route=\/wp\/v2\/posts\/1006\/revisions"}],"predecessor-version":[{"id":1008,"href":"https:\/\/nouvelhorizonconseil.com\/index.php?rest_route=\/wp\/v2\/posts\/1006\/revisions\/1008"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/nouvelhorizonconseil.com\/index.php?rest_route=\/wp\/v2\/media\/1007"}],"wp:attachment":[{"href":"https:\/\/nouvelhorizonconseil.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=1006"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/nouvelhorizonconseil.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=1006"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/nouvelhorizonconseil.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=1006"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}