Transferts de données hors UE : obligations post-Schrems II

## L'impact de Schrems II sur les entreprises françaises L'[arrêt Schrems II de la Cour de justice de l'Union européenne](/fr/blog/ai-act-2026-cnil-autorite-controle-sanctions-35-millions-euros) du 16 juillet 2020 a invalidé le Privacy Shield, remettant en question la sécurité juridique de millions de transferts de données vers les États-Unis. Trois ans plus tard, les entreprises françaises naviguent encore dans un environnement complexe où chaque flux de données vers un pays tiers nécessite une évaluation approfondie. Le transfert de données hors de l'Union européenne reste possible, à condition d'assurer un niveau de protection des données suffisant et approprié. Cette exigence implique désormais une approche au cas par cas, loin des automatismes d'avant 2020. Cet article analyse les mécanismes juridiques disponibles - clauses contractuelles types (CCT), règles d'entreprise contraignantes (BCR), décisions d'adéquation - et détaille les obligations pratiques pour les dirigeants d'entreprise soucieux de sécuriser leurs transferts internationaux. ## Le cadre légal post-Schrems II ### Les fondements du RGPD L'article 44 du RGPD pose le principe : aucun transfert de données personnelles vers un pays tiers ne peut avoir lieu sans respecter les conditions du [chapitre V (articles 44-49)](/fr/blog/nis2-pme-obligations-cybersecurite-2026). Cette règle s'applique à toute transmission, y compris vers un prestataire cloud hébergé hors Espace économique européen. Depuis l'arrêt Schrems II, les organismes doivent évaluer au cas par cas le niveau de protection offert par le pays destinataire. L'automaticité des transferts a disparu, remplacée par une obligation d'analyse des risques. ### Les conséquences pratiques Les sanctions pour transferts illicites sont lourdes : la [CNIL a sanctionné Clearview AI de 20 millions d'euros](/fr/blog/ai-act-2026-cnil-autorite-controle-sanctions-35-millions-euros) notamment pour transferts non encadrés. Cette décision illustre la vigilance croissante des autorités de contrôle. Les entreprises doivent désormais : - [Cartographier l'ensemble de leurs flux de données internationaux](/fr/blog/dsa-dma-responsabilite-plateformes-numeriques) - Évaluer la législation du pays de destination - Mettre en place des garanties appropriées - Documenter leurs analyses d'impact ## Les clauses contractuelles types : le mécanisme de référence ### Le nouveau cadre de 2021 Les [clauses contractuelles types sont des contrats standardisés adoptés par la Commission européenne](/fr/blog/reglement-cci-2026-contrats-internationaux-nouvelles-regles) qui imposent au destinataire des obligations de protection des données équivalentes au RGPD. La version en vigueur date de la décision d'exécution du 4 juin 2021. Cette nouvelle version propose quatre modules adaptés aux situations suivantes : - Module 1 : transfert de responsable de traitement à responsable de traitement - Module 2 : transfert de responsable de traitement à sous-traitant - Module 3 : transfert de sous-traitant à sous-traitant - Module 4 : transfert de sous-traitant à responsable de traitement dans un pays tiers. ### Les obligations renforcées Les CCT exigent désormais une évaluation d'impact du transfert (Transfer Impact Assessment). L'arrêt Schrems II impose de vérifier que la législation du pays tiers n'empêche pas le respect des engagements contractuels pris dans les CCT. Cette évaluation d'impact comprend : - L'analyse des lois de surveillance du pays destinataire - L'évaluation des risques d'accès disproportionné par les autorités publiques - La mise en place éventuelle de mesures supplémentaires Lorsque la législation du pays présente un risque pour la protection des données, il convient de mettre en place des mesures supplémentaires aux CCT. L'arrêt Schrems II confirme que cela est nécessaire pour tout transfert vers les États-Unis. ### Mesures supplémentaires recommandées Les mesures techniques peuvent inclure : - Le chiffrement de bout en bout avec clés conservées dans l'UE - La pseudonymisation des données - Le traitement distribué (split processing) empêchant l'accès aux données en clair Les mesures organisationnelles comprennent : - Des procédures de notification en cas de demande d'accès gouvernementale - La formation des équipes sur les risques de transfert - La documentation détaillée des mesures mises en place ## Les règles d'entreprise contraignantes (BCR) ### Un mécanisme pour les groupes multinationaux Les règles d'entreprise contraignantes sont des politiques de protection des données adoptées par les entreprises établies dans l'UE pour les transferts de données personnelles hors UE au sein d'un groupe d'entreprises. Ces règles doivent inclure tous les principes généraux de protection des données et des droits opposables pour assurer des garanties appropriées. Contrairement aux clauses contractuelles types, les BCR sont approuvées individuellement par les autorités européennes de protection des données et offrent donc un niveau supérieur de sécurité juridique pour les entreprises qui transfèrent des données transfrontalières. ### Le processus d'approbation Les entreprises doivent soumettre leurs BCR pour approbation à l'autorité compétente de protection des données dans l'UE. L'autorité approuve les BCR conformément au mécanisme de cohérence de l'article 63 du RGPD. Cette procédure peut impliquer plusieurs autorités de contrôle. Le processus d'acceptation des BCR prend généralement entre 6 et 9 mois, sans compter le temps nécessaire à la mise en place du dispositif de protection des données au sein de l'entreprise. ### Les évolutions récentes En janvier 2026, le CEPD a publié un projet de recommandations pour actualiser les BCR sous-traitants. Ces recommandations intègrent les exigences découlant de Schrems II, notamment les évaluations d'impact des transferts et les procédures de demande d'accès des autorités publiques. Les organisations disposant de BCR approuvées doivent mettre à jour leurs règles contraignantes d'entreprise et leur documentation pour s'aligner sur les nouvelles exigences. Le CEPD a confirmé que les mises à jour nécessaires peuvent faire partie de la mise à jour annuelle des BCR. ## Le Data Privacy Framework UE-États-Unis ### Une nouvelle décision d'adéquation Le 10 juillet 2023, la Commission européenne a adopté sa décision d'adéquation pour le cadre de confidentialité des données UE-États-Unis, permettant le transfert de données personnelles de l'UE vers les États-Unis sur la base de l'article 45 du RGPD. Ce nouveau cadre volontaire remplace le programme Privacy Shield. Pour rejoindre ce cadre, une entreprise doit s'auto-certifier auprès du département du Commerce qu'elle respecte les principes du cadre de confidentialité des données. ### Une solidité juridique contestée La solidité juridique du Data Privacy Framework reste contestée : l'association NOYB a déjà annoncé son intention de le contester devant la CJUE. NOYB a préparé diverses options procédurales pour ramener le nouvel accord devant la CJUE. Il n'est pas improbable qu'un recours atteigne la CJUE d'ici fin 2023 ou début 2024, avec une décision finale attendue en 2024 ou 2025. Des questions subsistent concernant la suppression des membres démocrates du Conseil de supervision de la vie privée et des libertés civiles américain, élément clé des protections de la vie privée intégrées au cadre actuel. ## L'évaluation d'impact des transferts (AITD) ### Une obligation systématique Suite à la décision Schrems II, les organisations utilisant des CCT doivent évaluer si les lois du pays de destination permettent effectivement à l'importateur de remplir les obligations des CCT. Cette analyse d'impact du transfert des données (AITD) constitue désormais un prérequis indispensable. L'AITD doit examiner : - Les lois de surveillance du pays tiers - Les pouvoirs d'accès des autorités publiques - L'existence de voies de recours effectives - Les garanties procédurales disponibles ### Méthodologie pratique La CNIL propose une méthode indicative pour aider les responsables de traitement à identifier et traiter les transferts de données personnelles hors UE. Cette approche comprend : 1. **Recensement des transferts** : identifier tous les transferts de données personnelles hors UE réalisés dans le cadre des activités métier et des fonctions support 2. **Évaluation des risques** par pays et par type de données 3. **Mise en place de mesures appropriées** selon le niveau de risque identifié ## Obligations pratiques pour les entreprises ### Cartographie des flux de données La première étape consiste à établir un inventaire exhaustif : Identification des outils utilisés de manière transverse, vérification des fonctionnalités prévoyant des flux de données vers l'éditeur ou un tiers fournisseur, vérification de la création de comptes obligatoires. Les outils spécifiques utilisés par certaines fonctions de l'organisation doivent également être recensés.

Type d'outil	Risque de transfert	Action requise
Services cloud	Élevé	CCT + AITD systématique
Logiciels SaaS	Variable	Vérification localisation données
Outils RH/Paie	Élevé si externalisé	BCR ou CCT renforcées
Solutions marketing	Élevé	Audit des sous-traitants

### Plan d'action recommandé Soumettez votre analyse et votre plan d'action au responsable de votre organisation. Votre plan doit préciser les priorités d'action identifiées, en fonction de la criticité évaluée et des ressources mobilisables. Les entreprises peuvent choisir entre plusieurs stratégies : - Poursuivre les transferts en définissant de nouvelles garanties : mesures techniques complémentaires (chiffrement, pseudonymisation), mesures contractuelles complémentaires, mesures organisationnelles complémentaires - Mettre fin aux transferts sans base légale et redéfinir la politique de gestion de données - Relocaliser les activités de traitement dans l'UE ## Articles liés - [AI Act 2026 : la CNIL devient autorité de contrôle avec des sanctions jusqu'à 35M€](/fr/blog/ai-act-2026-cnil-autorite-controle-sanctions-35-millions-euros) - [NIS2 : quelles obligations cybersécurité pour les PME françaises en 2026 ?](/fr/blog/nis2-pme-obligations-cybersecurite-2026) - [Due diligence internationale : sécuriser vos partenariats Sapin II](/fr/blog/due-diligence-internationale-sapin-2-relations-affaires) ## L'essentiel à retenir • **L'arrêt Schrems II impose une approche au cas par cas** pour tous les transferts de données hors UE, avec obligation d'évaluation des risques • **Les clauses contractuelles types restent valables** mais nécessitent désormais une évaluation d'impact et potentiellement des mesures supplémentaires • **Les BCR offrent le niveau de sécurité juridique le plus élevé** pour les groupes multinationaux, au prix d'une procédure d'approbation longue • **Le Data Privacy Framework UE-États-Unis** facilite les transferts vers les entreprises américaines certifiées, mais sa stabilité juridique reste incertaine • **L'évaluation d'impact des transferts (AITD)** constitue désormais un prérequis pour tous les transferts vers des pays sans décision d'adéquation ## Quelles sont les sanctions pour transferts illicites de données ? Les autorités de contrôle appliquent strictement la réglementation. La CNIL a sanctionné Clearview AI de 20 millions d'euros pour collecte et utilisation illicites de données biométriques, incluant des transferts vers les États-Unis sans base juridique. Les sanctions peuvent atteindre 4% du chiffre d'affaires annuel mondial selon l'article 83 du RGPD. ### Comment identifier tous les transferts de données dans une organisation ? Une revue des logiciels installés par les employés, des services en ligne souscrits et un tour d'horizon des directions métiers sont nécessaires. L'examen des flux réseaux peut également s'avérer indispensable. L'implication du délégué à la protection des données et de la direction informatique facilite cette cartographie. ### Les BCR sont-elles adaptées aux PME ? Les BCR concernent principalement les grands groupes ayant de nombreuses conséquences sur les transferts internationaux. Les entreprises utilisent les BCR comme outil de responsabilisation pour unifier les garanties offertes par leurs filiales dans le monde. Les PME privilégient généralement les clauses contractuelles types, plus accessibles. ### Le Data Privacy Framework protège-t-il définitivement les transferts vers les États-Unis ? L'ONG NOYB a annoncé qu'elle contesterait le cadre devant la Cour de justice européenne. Max Schrems estime que le dernier accord n'est pas basé sur des changements matériels, mais sur des intérêts politiques. La solidité juridique du mécanisme reste donc à confirmer par la jurisprudence. ### Quelles mesures supplémentaires mettre en place avec les CCT ? Les mesures supplémentaires recommandées par le CEPD incluent le traitement distribué empêchant l'accès aux données en clair depuis le pays tiers. Le chiffrement avec conservation des clés dans l'UE, la pseudonymisation des données sensibles et les audits de sécurité réguliers constituent les principales options techniques.

---

**Besoin d'un accompagnement en droit des affaires ?** Je vous accompagne dans la négociation et la sécurisation de vos contrats, en France comme à l'international. [Consultation en visioconférence](/fr/qui-suis-je) · [Prendre rendez-vous](/fr/qui-suis-je)