Transferts hors UE : signer les clauses types ne suffit pas, et le texte le dit

Commençons par la seule chose qui compte vraiment : il est très probable que vous transfériez des données hors de l'Union européenne. Un outil d'assistance client, une plateforme d'e-mailing, un service d'analyse, un hébergement de sauvegardes, un prestataire dont le support technique est ailleurs — la question utile n'est pas de savoir si vous avez des transferts, mais lesquels, et par quel mécanisme chacun est couvert.

C'est aussi pourquoi la promesse « aucune donnée ne sort de l'Union » est rarement tenable telle quelle. Elle est facile à écrire sur une page de vente et difficile à démontrer ligne à ligne, prestataire par prestataire. Mieux vaut une liste exacte, même imparfaite, qu'une affirmation globale qu'un seul sous-traitant suffit à démentir.

Le chapitre V pose un principe, puis une clause anti-contournement

L'article 44 énonce qu'un transfert vers un pays tiers ou une organisation internationale ne peut avoir lieu que si les conditions du chapitre sont respectées. Jusque-là, rien de surprenant. C'est sa dernière phrase qui fait le travail : toutes les dispositions de ce chapitre sont appliquées de manière à ce que le niveau de protection des personnes physiques garanti par le règlement ne soit pas compromis.

Autrement dit, le chapitre ne propose pas une liste de cases à cocher parmi lesquelles choisir la plus commode. Il fixe un résultat — le niveau de protection ne doit pas baisser — et les mécanismes ne valent que dans la mesure où ils l'atteignent. C'est cette phrase qui interdit de traiter le choix du mécanisme comme une formalité contractuelle.

Trois voies, dans un ordre qui n'est pas indifférent

La première est la décision d'adéquation. L'article 45 permet le transfert lorsque la Commission a constaté, par voie de décision, que le pays tiers, un territoire, un secteur déterminé ou l'organisation internationale assure un niveau de protection adéquat. C'est la voie la plus simple : elle ne demande rien de plus que de vérifier que la décision existe et couvre bien votre cas — un secteur déterminé n'est pas un pays entier.

La deuxième intervient en l'absence d'adéquation. L'article 46 permet alors le transfert si le responsable ou le sous-traitant a prévu des garanties appropriées : instrument juridiquement contraignant entre autorités publiques, règles d'entreprise contraignantes, clauses types adoptées par la Commission ou par une autorité de contrôle, code de conduite approuvé, mécanisme de certification approuvé.

La troisième, l'article 49, liste des dérogations pour situations particulières : consentement explicite, nécessité contractuelle, motifs importants d'intérêt public, exercice ou défense de droits en justice, intérêts vitaux, registres publics. Elles ne s'appliquent qu'en l'absence de décision d'adéquation et de garanties appropriées. Ce sont des solutions de dernier recours, pas un raccourci pour éviter le travail des deux premières voies.

Le membre de phrase que presque personne ne cite

Relisez l'article 46 en entier. Il ne dit pas seulement qu'il faut des garanties appropriées. Il dit que le transfert n'est possible que si le responsable a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives.

Ce second membre est une condition distincte, pas une reformulation de la première. Il ne porte pas sur ce que vous avez signé avec votre prestataire, mais sur ce dont la personne concernée dispose réellement en face. Un contrat parfaitement rédigé qui ne donne à personne un recours utilisable ne satisfait pas l'article 46 — et c'est exactement pour cela que « nous avons signé les clauses types » ne clôt pas la discussion, alors que c'est la réponse la plus fréquente.

La question à poser à un prestataire n'est donc pas « avez-vous des clauses types ? » mais « qu'est-ce qu'une personne concernée peut concrètement obtenir, et devant qui ? ».

Ce qui se traduit en travail concret

• Listez vos sous-traitants et, pour chacun, où les données sont effectivement traitées — la réponse figure rarement sur la page d'accueil, souvent dans la documentation contractuelle.
• Pour chaque destination hors UE, notez le mécanisme invoqué : adéquation, garantie appropriée, ou dérogation. Une case vide est une réponse en soi.
• Si vous invoquez une décision d'adéquation, vérifiez qu'elle couvre bien votre prestataire : elle peut ne viser qu'un territoire ou un secteur déterminé.
• Si vous invoquez l'article 49, vérifiez que les deux autres voies étaient réellement indisponibles — sinon la dérogation ne joue pas.
• Publiez cette liste plutôt qu'une affirmation générale. Elle est vérifiable, elle vieillit mieux, et elle vous évite de démentir votre propre page de vente.

Ce dernier point vaut pour nous comme pour n'importe qui. Notre propre formulation publique est étroite et volontairement peu spectaculaire — « Base de données et génération IA hébergées en UE » — et nous déclarons malgré tout nos sous-traitants un par un, avec pour chacun sa localisation et sa garantie de transfert. Nous avons nous-mêmes porté une promesse d'étanchéité totale sur plusieurs pages avant de constater que notre propre registre de sous-traitants la démentait. C'est moins vendeur qu'un slogan, et c'est la seule version qui résiste à une lecture attentive.