L'employeur peut-il consulter les emails et fichiers d'un salarié ?
Mathilde Levasseur
Associée
Peut-on héberger ses données chez un prestataire américain ?
Décision d'adéquation, clauses contractuelles types et analyse d'impact des transferts. Ce que le cadre actuel permet et ce qu'il exige encore.
Décision d'adéquation, clauses contractuelles types et analyse d'impact des transferts. Ce que le cadre actuel permet et ce qu'il exige encore.
Introduction
La question se pose pour presque toute organisation : les outils les plus courants sont édités par des sociétés américaines. Le sujet n’est pas de savoir si le transfert est possible, mais sous quel encadrement.
Ce qui constitue un transfert
Un transfert existe dès lors que des données sont rendues accessibles depuis un pays tiers, y compris par simple consultation à distance.
L’hébergement en Europe par un prestataire américain n’écarte donc pas la question si les équipes de support, situées hors de l’Union, peuvent accéder aux données.
C’est cet accès, et non la localisation physique des serveurs, qui déclenche l’obligation d’encadrement.
Le premier mécanisme : la décision d’adéquation
La Commission européenne peut constater qu’un pays tiers assure un niveau de protection adéquat. Le transfert ne requiert alors aucune autorisation particulière.
Plusieurs pays bénéficient d’une telle décision.
S’agissant des États-Unis, une décision d’adéquation a été adoptée en juillet 2023, fondée sur le cadre de protection des données entre l’Union européenne et les États-Unis. Elle ne couvre que les organisations américaines qui se sont certifiées au titre de ce cadre et figurent sur la liste tenue à cet effet.
La vérification de la certification effective du prestataire est donc un préalable, non une formalité : elle se contrôle sur la liste publique et peut être perdue.
Le deuxième mécanisme : les clauses contractuelles types
En l’absence de décision d’adéquation, les clauses contractuelles types adoptées par la Commission constituent le mécanisme le plus utilisé.
Elles se déclinent en modules selon la qualité des parties : responsable vers responsable, responsable vers sous-traitant, sous-traitant vers sous-traitant, sous-traitant vers responsable.
Le choix du module conditionne la validité de l’encadrement : signer le mauvais module revient à ne rien signer.
Les clauses comportent des annexes à compléter réellement : description du transfert, catégories de données, mesures techniques et organisationnelles.
Des annexes vides ou génériques privent le mécanisme de sa portée.
L’analyse d’impact du transfert
La signature des clauses ne suffit pas.
L’exportateur doit évaluer si la législation et les pratiques du pays de destination permettent à l’importateur de respecter ses engagements, notamment au regard des pouvoirs d’accès des autorités publiques.
Cette évaluation, documentée, examine la nature des données, la durée du transfert, le secteur concerné et les garanties disponibles.
Lorsqu’elle révèle un risque, des mesures supplémentaires doivent être adoptées : chiffrement avec conservation des clés en Europe, pseudonymisation, restrictions d’accès, minimisation des données transférées.
Les autres mécanismes
Les règles d’entreprise contraignantes, adaptées aux groupes internationaux, supposent une approbation par l’autorité de contrôle.
Les codes de conduite et certifications approuvés.
Les dérogations pour situations particulières, notamment le consentement explicite après information sur les risques, ou la nécessité pour l’exécution d’un contrat. Ces dérogations sont d’interprétation stricte et ne peuvent fonder des transferts massifs ou répétitifs.
Les réflexes pratiques
Recenser les transferts dans le registre, avec pour chacun le pays, le mécanisme et la date de l’analyse.
Vérifier la certification effective d’un prestataire américain qui s’en prévaut.
Lire les conditions des outils : la localisation annoncée en Europe ne dit rien de l’accès du support.
Documenter l’analyse, même brève : son absence est le manquement le plus fréquemment relevé.
Cartographier avant de conclure
Beaucoup d’organisations transfèrent sans le savoir. Notre expertise RGPD et protection des données personnelles conduit cette cartographie.
En résumé
- Un accès depuis un pays tiers constitue un transfert, même si les serveurs sont en Europe.
- Une décision d’adéquation couvre les États-Unis depuis juillet 2023, pour les seules organisations certifiées.
- Les clauses contractuelles types supposent le bon module et des annexes réellement complétées.
- Une analyse d’impact du transfert, documentée, reste exigée.
- Les dérogations ne fondent pas des transferts massifs ou répétitifs.
Questions fréquentes
Les transferts vers les États-Unis sont-ils autorisés ?
Depuis juillet 2023, une décision d'adéquation encadre les transferts vers les organisations américaines certifiées au titre du cadre de protection des données UE États-Unis. Le transfert vers une entité non certifiée suppose un autre mécanisme.
Que sont les clauses contractuelles types ?
Des clauses adoptées par la Commission européenne, à signer entre l'exportateur et l'importateur des données. Elles constituent le mécanisme le plus courant en l'absence de décision d'adéquation.
Suffit-il de signer des clauses types ?
Non. L'exportateur doit évaluer si la législation du pays de destination permet à l'importateur de respecter ces clauses, et prévoir des mesures supplémentaires si nécessaire.
Nous contacter :
Nous répondons volontiers à toutes vos questions. Écrivez-nous à mc@cabinetpersee.com , contactez le cabinet sur WhatsApp, ou remplissez notre formulaire de contact.
Articles associés
Autres analyses juridiques du cabinet
