Votre prestataire SaaS vous a vendu un hébergement en Europe, puis votre équipe découvre que le support technique lit les tickets depuis les États-Unis, que les sauvegardes partent sur un serveur américain ou que le nouveau sous-traitant du prestataire est une société californienne. La question n’est plus théorique : chaque jour de transfert sans base légale expose l’entreprise à une mise en demeure de la CNIL, à une plainte d’un client ou d’un salarié et à un contentieux contre le prestataire qui a organisé le flux sans vous prévenir. Depuis l’arrêt Schrems II du 16 juillet 2020, aucun transfert vers les États-Unis ne peut reposer sur une simple clause contractuelle recopiée d’un modèle ancien : il faut identifier le flux réel, vérifier si l’importateur américain est couvert par la décision d’adéquation de 2023, et à défaut signer les clauses contractuelles types de 2021 puis évaluer si le droit américain permet réellement de les respecter. Cet article décrit la méthode complète : cartographier le transfert et les rôles de chacun, choisir entre adéquation, garanties appropriées et dérogations, contraindre le prestataire à se mettre en règle, suspendre le flux si la protection ne peut pas être assurée et obtenir réparation.

I. Repérer le transfert vers les États-Unis et qualifier le cadre applicable

A. Cartographier le flux réel, les acteurs et le contrat qui les lie

Un transfert vers un pays tiers existe dès que des données personnelles quittent l’Espace économique européen, même sans déplacement physique de serveur. L’article 44 du règlement (UE) 2016/679 pose le principe : « Un transfert, vers un pays tiers ou à une organisation internationale, de données à caractère personnel qui font ou sont destinées à faire l’objet d’un traitement après ce transfert ne peut avoir lieu que si, sous réserve des autres dispositions du présent règlement, les conditions définies dans le présent chapitre sont respectées par le responsable du traitement et le sous-traitant ». La Cour de justice a confirmé dans l’arrêt Schrems II (C-311/18) qu’un transfert commercial d’un opérateur établi dans un État membre vers un opérateur établi dans un pays tiers relève du règlement, même si les autorités du pays tiers sont susceptibles de traiter ensuite ces données pour la sécurité publique ou la défense. Autrement dit, l’argument selon lequel le prestataire ne ferait que stocker pendant que l’État américain capterait les données ne sort pas le flux du champ du règlement.

En pratique, la cartographie commence par les contrats. La CNIL recommande de vérifier, au moins pour les contrats critiques, l’identité et la nationalité du prestataire, l’adresse de chaque cocontractant, la description du service, les lieux d’hébergement, les lieux du support technique et la nature des données remontées au support, ainsi que la base légale du transfert affichée par le contrat (voir le guide CNIL pour identifier et traiter les transferts hors UE). Cinq points de vigilance reviennent dans presque tous les dossiers. D’abord, l’hébergement affiché « UE » coexiste souvent avec un support administré depuis les États-Unis : dès qu’un technicien américain peut lire des données en clair pour résoudre un ticket, il y a transfert. Ensuite, les sauvegardes et les journaux de logs sont répliqués dans une autre région « pour la résilience », parfois américaine, sans que l’annexe sécurité du contrat ne le mentionne. Puis les sous-traitants ultérieurs du prestataire (hébergeur, outil de supervision, prestataire d’analyses) changent au fil des mois sans notification, alors que le règlement exige l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement avant le recrutement d’un autre sous-traitant, et une information permettant d’émettre des objections en cas d’autorisation générale. Encore, les cookies et traceurs posés par la solution SaaS transmettent des identifiants vers des serveurs américains distincts du traitement principal. Enfin, l’accès distant d’un dirigeant ou d’un salarié américain de votre propre groupe à l’outil européen constitue aussi un transfert, même au sein d’une même société.

La qualification des rôles conditionne tout le reste. Si vous déterminez les finalités et les moyens, vous êtes responsable du traitement ; le prestataire SaaS qui traite pour votre compte est sous-traitant, tenu de ne traiter que sur vos instructions documentées. L’article 28, paragraphe 1, vise le responsable du traitement : « celui-ci fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées ». Concrètement, avant de signer ou de renouveler, exigez les preuves : certifications, audits récents, registre des sous-traitants ultérieurs avec pays d’implantation, description des mesures de sécurité et engagement écrit de ne transférer hors UE que sur instruction et avec une base de transfert identifiée. Le contrat de sous-traitance doit définir l’objet, la durée, la nature et la finalité du traitement, les types de données et les obligations de sécurité, de confidentialité, d’assistance et de restitution ou suppression en fin de contrat. Quand le prestataire américain détermine lui-même des finalités propres, par exemple la réutilisation de vos données pour entraîner ses modèles ou pour sa prospection, il cesse d’agir comme simple sous-traitant sur ce périmètre et devient responsable d’un traitement distinct : le transfert doit alors être analysé depuis sa position, et votre contrat doit interdire cette réutilisation ou l’encadrer par un accord de responsables conjoints ou distincts selon les cas. Pour l’articulation contractuelle avec un prestataire cloud, notre analyse dédiée à la chaîne de sous-traitance cloud et à la responsabilité en cas de violation détaille les clauses à exiger et les recours contre le prestataire défaillant.

Documentez chaque constat par écrit : captures des pages d’hébergement et de la liste des sous-traitants, versions successives du contrat et de ses annexes, tickets montrant un accès depuis les États-Unis, réponses du prestataire sur la localisation. Cette documentation alimente le registre des activités de traitement, l’éventuelle analyse d’impact et, plus tard, la mise en demeure ou la plainte. Une entreprise qui ne peut pas expliquer où vont ses données perd déjà la moitié du dossier devant la CNIL comme devant un juge.

B. Vérifier l’adéquation, signer les bonnes clauses ou renoncer au transfert

Une fois le flux cartographié, trois voies seulement permettent le transfert, dans un ordre imposé. D’abord la décision d’adéquation, ensuite les garanties appropriées, enfin les dérogations exceptionnelles. Sauter une étape ou empiler les justifications sans choisir expose le transfert à la suspension.

La première voie est la décision d’adéquation. L’article 45 prévoit qu’« Un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale peut avoir lieu lorsque la Commission a constaté par voie de décision que le pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers, ou l’organisation internationale en question assure un niveau de protection adéquat », sans autorisation particulière. Pour les États-Unis, la Commission a adopté le 10 juillet 2023 la décision d’exécution (UE) 2023/1795 constatant le niveau de protection adéquat assuré par le cadre de protection des données UE–États-Unis (Data Privacy Framework). Portée exacte : la décision ne couvre pas « les États-Unis » en général, elle couvre les organismes américains inscrits sur la liste du Data Privacy Framework tenue par le ministère américain du commerce, qui ont auto-certifié leur engagement à respecter les principes du cadre, avec effet à compter de leur inscription et sous réserve de leur re-certification annuelle. La CNIL l’explique dans ses questions-réponses sur l’adéquation des États-Unis : avant d’invoquer l’adéquation, vérifiez l’inscription actuelle de votre importateur sur la liste officielle, la date d’effet et le périmètre des données couvertes. Un prestataire qui « adhère aux principes » sans inscription active, qui a laissé expirer sa certification ou qui transfère ensuite les données à un sous-traitant non inscrit ne bénéficie pas de l’adéquation pour ce flux. Conservez une capture datée de la fiche d’inscription et programmez une revérification à chaque renouvellement contractuel, car une radiation fait retomber le transfert sur la deuxième voie du jour au lendemain.

La deuxième voie, la plus fréquente, repose sur les garanties appropriées de l’article 46. Le texte dispose : « En l’absence de décision en vertu de l’article 45, paragraphe 3, le responsable du traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers un pays tiers ou à une organisation internationale que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives ». L’instrument standard est constitué par les clauses contractuelles types adoptées par la décision d’exécution (UE) 2021/914 de la Commission, qui proposent quatre modules selon les rôles : de responsable à responsable, de responsable à sous-traitant, de sous-traitant à sous-traitant et de sous-traitant à responsable. Le contentieux SaaS relève le plus souvent du deuxième module, avec une variante du troisième quand l’importateur américain recourt lui-même à un sous-traitant local. Trois erreurs annulent l’effort. La première consiste à signer le mauvais module ou à laisser les annexes vides : les clauses exigent la description précise du transfert, des catégories de données, des finalités, des durées de conservation et des mesures de sécurité. La deuxième consiste à recopier les clauses sans les intégrer au contrat principal, sans règle de primauté en cas de contradiction avec les conditions générales du prestataire et sans interdiction des transferts ultérieurs non autorisés. La troisième consiste à croire que la signature suffit. Depuis Schrems II, elle ne suffit jamais seule : la Cour exige que les droits des personnes transférées sur le fondement de clauses types bénéficient d’un niveau de protection substantiellement équivalent à celui garanti au sein de l’Union, en tenant compte à la fois des stipulations contractuelles et des éléments pertinents du système juridique du pays tiers, notamment l’accès des autorités publiques à ces données. Concrètement, l’exportateur doit mener l’évaluation du niveau de protection du pays tiers, appelée analyse d’impact du transfert, en examinant la législation américaine applicable au flux concerné, y compris les programmes de surveillance et les voies de recours ouvertes aux personnes non américaines, puis ajouter des mesures supplémentaires quand l’évaluation révèle un risque : chiffrement fort avec clés conservées dans l’UE et hors d’atteinte de l’importateur, pseudonymisation robuste, cloisonnement des accès, journalisation, audit et clause de suspension. La décision CCT l’impose : l’importateur « devrait informer l’exportateur de données si, après avoir souscrit les clauses contractuelles types, il a des raisons de croire qu’il n’est pas en mesure de les respecter », et l’évaluation doit intégrer « des informations fiables sur l’application pratique de la législation (comme la jurisprudence et les rapports d’organes de contrôle indépendants) ». Le Comité européen de la protection des données détaille cette démarche d’évaluation et de mesures supplémentaires dans ses recommandations 01/2020, relayées par le guide pratique de la CNIL. Quand l’importateur doit lever le chiffrement pour exécuter la prestation, par exemple pour un support en clair ou pour une recherche plein texte côté américain, la mesure technique ne protège plus : il faut alors déplacer la prestation vers l’UE, changer d’architecture ou suspendre le flux, et le documenter.

La troisième voie, celle des dérogations de l’article 49, reste exceptionnelle. Le texte n’autorise le transfert, en l’absence d’adéquation et de garanties, « qu’à l’une des conditions suivantes », parmi lesquelles le consentement explicite après information sur les risques, la nécessité contractuelle ou des motifs importants d’intérêt public. Ces dérogations s’interprètent strictement et ne portent pas un flux massif, répétitif et structurel comme l’externalisation d’un SIRH ou d’un CRM vers un serveur américain : invoquer le consentement des salariés ou des clients pour couvrir l’infogérance entière échoue presque toujours, car le consentement doit être libre, spécifique, éclairé et révocable, ce qu’un rapport de travail ou une relation client déséquilibrée rend difficile. Réservez l’article 49 aux transferts ponctuels et documentés, par exemple la transmission unique d’un dossier à un conseil américain à la demande du client, avec traçabilité du fondement choisi pour chaque transfert.

II. Contraindre le prestataire, suspendre le flux et obtenir réparation

A. Mettre en demeure, saisir la CNIL et faire suspendre le transfert illicite

Quand le transfert est déjà actif sans base valable, l’ordre des actions compte autant que leur contenu. La première étape appartient à l’entreprise cliente : mettre le prestataire en demeure par écrit, en visant le manquement précis. Une mise en demeure efficace rappelle le flux constaté avec ses preuves, la qualification des parties, la base de transfert manquante ou défaillante et les mesures exigées sous délai : communication de la liste complète des sous-traitants avec pays d’implantation, signature du bon module de clauses avec annexes complétées, fourniture de l’analyse d’impact du transfert et des mesures supplémentaires, preuve de l’inscription au Data Privacy Framework quand l’adéquation est invoquée, restriction des accès américains en clair, calendrier de rapatriement ou de réversibilité. Fixez un délai court et proportionné, généralement de quinze à trente jours selon la criticité, et annoncez les suites : suspension des flux, résiliation pour manquement, pénalités contractuelles et demande de dommages-intérêts. Adressez la mise en demeure en recommandé avec accusé de réception ou par tout canal contractuel prévu, et conservez l’historique complet des échanges : ce dossier écrit servira devant la CNIL comme devant le juge pour démontrer votre diligence de responsable du traitement.

La deuxième étape mobilise les droits des personnes et l’autorité de contrôle. Toute personne concernée peut déposer une plainte auprès de la CNIL : l’article 77 ouvre à « toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise ». Salariés dont les données RH sont administrées depuis les États-Unis, clients dont les tickets support sont lus outre-Atlantique, prospects dont les identifiants partent vers des serveurs américains : chacun peut agir, et l’entreprise cliente elle-même peut signaler le manquement du prestataire. Les pouvoirs de la CNIL découlent de l’article 58 : enquêtes et audits, injonctions de mise en conformité sous astreinte, limitation ou interdiction temporaire ou définitive du traitement, suspension des flux et sanctions. L’article 83 précise que les amendes administratives doivent être, dans chaque cas, « effectives, proportionnées et dissuasives », avec un barème qui peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les violations des principes et des droits, dont relèvent les transferts. L’argument décisif figure dans Schrems II : l’autorité de contrôle doit suspendre ou interdire un transfert fondé sur des clauses types lorsque ces clauses ne peuvent pas être respectées dans le pays tiers et que la protection ne peut pas être assurée par d’autres moyens, si l’exportateur n’a pas lui-même suspendu le flux (arrêt C-311/18 du 16 juillet 2020, texte sur le site de la Cour). La Cour y a invalidé la décision d’adéquation antérieure sur le bouclier de protection UE–États-Unis, ce qui rappelle qu’aucune facilité historique ne protège un transfert actuel. Pour l’entreprise cliente, la leçon est double : la CNIL peut ordonner la suspension du flux vers le prestataire américain, et l’entreprise qui laisse perdurer un transfert qu’elle sait non conforme s’expose à être sanctionnée aux côtés du prestataire.

La troisième étape consiste à tirer les conséquences contractuelles sans attendre la fin de l’enquête. Suspendez techniquement le flux dès que l’analyse d’impact conclut que la protection ne peut pas être assurée : coupure des réplications vers la région américaine, restriction des comptes d’accès outre-Atlantique, bascule du support vers l’équipe européenne, chiffrement avec clés locales. Vérifiez au préalable la clause de suspension du contrat et le plan de continuité, afin que la suspension reste une mesure de conformité et non une inexécution de votre côté. En parallèle, activez les leviers du contrat : pénalités de retard de mise en conformité, obligation de coopération aux audits, audits diligentés à frais du prestataire en cas de manquement avéré, indemnisation des surcoûts de bascule et des sanctions. Si le prestataire refuse durablement de signer les clauses, de compléter les annexes ou de fournir l’évaluation du droit du pays tiers, la résiliation pour faute et la migration vers un prestataire européen deviennent des mesures de protection du responsable du traitement, avec demande de restitution complète des données puis de suppression des copies, attestée par écrit. La CNIL attend du responsable qu’il définisse de nouvelles garanties ou qu’il mette fin aux flux sans base légale et redéfinisse sa politique de gestion des données, comme le demande la CNIL dans son guide pratique : une entreprise qui poursuit sciemment un flux condamné ne pourra pas soutenir qu’elle a agi avec diligence.

B. Engager la responsabilité du prestataire et chiffrer le préjudice

Le contentieux indemnitaire repose sur deux piliers indépendants : la responsabilité du prestataire envers vous et le droit à réparation des personnes concernées. Sur le premier pilier, le contrat informatique reste le terrain principal : inexécution de l’obligation de sécurité et de conformité, violation de l’obligation de ne traiter que sur instruction et de n’initier aucun transfert hors UE sans autorisation, manquement au devoir d’information sur les sous-traitants ultérieurs et leur localisation, refus de coopérer à l’analyse d’impact. Le préjudice du client se chiffre poste par poste : surcoût de migration et double licence pendant la bascule, jours-hommes internes de cartographie et de remédiation, honoraires d’audit et de conseil, perte d’exploitation liée à la suspension du service, amende administrative et indemnisations versées aux personnes concernées dont le remboursement est ensuite recherché contre le prestataire fautif, atteinte à la réputation commerciale quand des clients résilient après avoir appris le transfert. Pour chaque poste, conservez factures, bons de commande, journaux d’incidents et attestations : un juge n’alloue que les préjudices prouvés et directement liés au manquement. Anticipez la défense classique du prestataire, qui invoquera ses conditions générales limitatives de responsabilité : faites vérifier la clause avant d’assigner, car une clause qui vide de sa substance l’obligation essentielle de conformité et de sécurité s’expose à être écartée, et les plafonds doivent être confrontés au montant réel du préjudice et à la gravité du manquement.

Sur le second pilier, les personnes concernées disposent d’un droit propre à réparation. L’article 82 dispose que « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Le responsable qui a participé au traitement répond du dommage causé par la violation, tandis que le sous-traitant n’en répond que s’il a méconnu ses obligations propres ou agi hors des instructions licites ou contre elles ; chacun s’exonère en prouvant que le fait dommageable ne lui est nullement imputable. En pratique, le salarié ou le client dont les données ont été transférées sans base vers les États-Unis invoque l’exposition de sa vie professionnelle ou privée à un système juridique étranger, l’angoisse liée à la perte de maîtrise de ses données, parfois des démarchages ou des refus opposés à la suite d’une réutilisation. Ces préjudices moraux se prouvent par attestations, captures, correspondances et constats, et se complètent des préjudices matériels : temps passé à faire valoir ses droits, frais de changement de prestataire ou de protection, perte de chance commerciale. L’action peut être portée devant le juge national : l’article 79 donne à chaque personne concernée un « droit à un recours juridictionnel effectif » contre le responsable ou le sous-traitant, devant les juridictions de l’État membre de l’établissement du défendeur ou de la résidence habituelle de la personne. Pour l’entreprise cliente, l’enjeu est donc triple : indemniser vite et bien les réclamations légitimes pour limiter l’escalade, se retourner contre le prestataire américain ou son représentant européen quand il existe, et démontrer à la CNIL que les droits des personnes ont été traités avec sérieux.

Quatre réflexes probatoires protègent le dossier du début à la fin. D’abord, horodatez tout : versions du contrat, captures de la liste des sous-traitants et de la fiche d’inscription au Data Privacy Framework, journaux d’accès montrant la lecture depuis les États-Unis. Ensuite, faites constater par commissaire de justice les flux techniques et les pages du prestataire avant toute modification, car les mentions de localisation changent vite après une mise en demeure. Puis, journalisez les demandes d’exercice de droits des personnes et vos réponses, avec délais et motifs. Enfin, séparez dans vos écritures la critique du transfert, qui relève du règlement européen et des décisions de la Commission, de la critique de la prestation informatique elle-même, qui relève du contrat : mélanger les deux affaiblit l’assignation. Les litiges frontaliers avec un prestataire américain posent aussi la question de la loi applicable et de la clause attributive de juridiction : faites relire ces clauses avant d’agir, saisissez le juge compétent sans tarder et sollicitez en référé, quand l’urgence et l’illicite sont caractérisés, la suspension du flux et la communication des informations sur les transferts.

Un transfert vers les États-Unis ne se régularise ni par une promesse commerciale ni par une clause recopiée. Il se prouve, base par base : inscription active au cadre d’adéquation avec périmètre vérifié, ou clauses types complètes avec analyse d’impact et mesures supplémentaires réelles, ou dérogation ponctuelle documentée. Quand aucune de ces bases ne tient, la suspension n’est pas une option : c’est l’obligation que la Cour de justice impose aux autorités et que la CNIL attend des responsables. L’entreprise qui cartographie ses flux, met en demeure par écrit, suspend à temps et chiffre son préjudice transforme une découverte inquiétante en dossier maîtrisé, face au prestataire comme face au régulateur.

Besoin d’un avis rapide sur votre dossier

Vous avez découvert que vos données partent vers les États-Unis via votre prestataire SaaS ou cloud et vous voulez vérifier votre transfert en numérique et données personnelles. Maître Reda KOHEN, avocat au Barreau de Paris, vous répond avec un avis sur votre dossier : appelez le 06 46 60 58 22 ou écrivez via la page contact du cabinet.