Transferts internationaux de données (décisions d'adéquation, CCT, BCR, clauses supplémentaires)
Ce domaine teste la mécanique du chapitre V du RGPD : identifier un transfert, choisir l'outil, documenter l'analyse.
Étape 1 - Y a-t-il transfert ?
Un transfert suppose un export, une mise à disposition ou un accès à distance depuis un pays tiers ; un sous-traitant établi hors Union qui accède aux données suffit. Un salarié en déplacement qui consulte sa messagerie ne crée pas, à lui seul, un transfert au sens du chapitre V.
Étape 2 - L'outil
- Décision d'adéquation (art. 45) : niveau de protection essentiellement équivalent constaté par la Commission (Suisse, Japon, Royaume-Uni, Corée du Sud, États-Unis via le Data Privacy Framework du 10 juillet 2023). Révisable et susceptible d'invalidation (Schrems I et II).
- Garanties appropriées (art. 46) : clauses contractuelles types (décision 2021/914, quatre modules), règles d'entreprise contraignantes (BCR, art. 47, approuvées par l'autorité chef de file), codes et certifications.
- Dérogations (art. 49) : consentement explicite éclairé, exécution d'un contrat avec la personne, raisons impérieuses - exceptionnelles et non répétables.
Étape 3 - L'analyse
Depuis Schrems II, des CCT ne suffisent pas : il faut une analyse d'impact du transfert (TIA) portant sur l'accès des autorités publiques, puis des mesures supplémentaires (chiffrement dont l'État tiers ne détient pas la clé, pseudonymisation, hébergement dans l'Union).
Exemple raisonné
Support helpdesk basé en Inde accédant aux tickets clients. Raisonnement : pas d'adéquation ; CCT module 2 (responsable vers sous-traitant) ; TIA documentée ; mesures supplémentaires (masquage, accès restreint, journalisation) ; réexamen périodique.
Pièges à éviter
- Invoquer le Privacy Shield, invalidé le 16 juillet 2020.
- Mobiliser des BCR pour un transfert ponctuel.
- Croire qu'un contrat de sous-traitance vaut clauses contractuelles types.
- Penser que l'article 49 autorise des transferts massifs et répétés.