Votre éditeur SaaS vient de vous l’apprendre, parfois entre deux lignes d’un avenant : les données de vos clients ou de vos salariés sont hébergées aux États-Unis, ou le support technique y accède pour la maintenance. Le contrat parle de cloud, de disponibilité et de sauvegardes, mais rien ne précise le sort de ce transfert au regard du règlement général sur la protection des données. La question devient alors très concrète : ce transfert est-il licite, que pouvez-vous exiger de votre prestataire, et vers qui vous tourner s’il refuse de se mettre en règle.
La réponse tient en deux temps. D’abord, un stockage ou un simple accès depuis les États-Unis constitue un transfert vers un pays tiers, soumis aux conditions strictes du chapitre V du règlement (UE) 2016/679. Ensuite, si aucune garantie appropriée ne couvre ce transfert, vous disposez d’un arsenal gradué : mise en demeure contractuelle du prestataire, plainte devant la Commission nationale de l’informatique et des libertés, action devant le juge et demande de réparation. Cet article décrit la méthode complète, avec les textes applicables, la jurisprudence du Conseil d’État sur l’hébergement américain et les pièces à réunir.
I – Qualifier le transfert et identifier qui répond de quoi
Avant d’écrire au prestataire ou de saisir une autorité, vous devez établir trois points : l’existence d’un transfert vers les États-Unis, le rôle exact de chaque acteur et la base qui rendrait ce transfert licite. Sans cette cartographie, toute réclamation reste fragile.
A. Un stockage ou un accès depuis les États-Unis constitue un transfert encadré
Le principe est posé par le règlement : « les conditions définies dans le présent chapitre » pour tout transfert vers un pays tiers (article 44 du RGPD, guide CNIL des transferts hors UE). Autrement dit, dès que des données quittent l’Espace économique européen, ou dès qu’elles restent stockées en Europe mais qu’un tiers situé aux États-Unis peut y accéder, le chapitre V s’applique. La Commission nationale de l’informatique et des libertés invite d’ailleurs les organismes à recenser ces situations, y compris les accès distants de maintenance et de support, dans son guide pour identifier et traiter les transferts hors de l’Union européenne.
En pratique, trois configurations reviennent sans cesse dans les contrats SaaS et cloud. La première est l’hébergement direct : le fournisseur, ou son sous-traitant d’infrastructure, stocke les données sur des serveurs américains. La deuxième est l’accès de support : les données restent dans l’Union européenne, mais les équipes de maintenance, le plus souvent basées aux États-Unis, disposent d’un accès technique pour corriger un incident ou administrer la plateforme. La troisième est la réplication : les sauvegardes et les copies de secours sont répliquées vers une autre région du monde, dont les États-Unis, sans que le client en soit informé. Chacune de ces hypothèses constitue un transfert, car le critère déterminant est la possibilité d’accès depuis le pays tiers, et non le lieu principal de stockage.
La qualification des rôles conditionne la suite. Si vous avez choisi les finalités et les moyens du traitement, par exemple la gestion de votre clientèle ou de votre paie dans l’outil SaaS, vous êtes responsable du traitement. L’éditeur qui traite les données pour votre compte est votre sous-traitant. Or le règlement impose au responsable du traitement de ne faire appel qu’à des sous-traitants qui « présentent des garanties suffisantes » (article 28, paragraphe 1, du RGPD, identifier les transferts). Et ce sous-traitant ne peut lui-même recourir à un autre sous-traitant, par exemple un hébergeur américain, que dans un cadre strict : Le recours à un hébergeur américain exige « l’autorisation écrite préalable » du responsable du traitement (article 28, paragraphe 2, du RGPD). En cas d’autorisation générale, le sous-traitant doit vous informer de tout changement prévu, afin que vous puissiez vous y opposer.
Deux réflexes documentaires s’imposent donc dès la découverte du transfert. D’abord, exigez la cartographie complète : lieu d’hébergement principal, lieux de réplication des sauvegardes, pays depuis lesquels le support accède aux données, liste des sous-traitants ultérieurs et copie des clauses qui les encadrent. Ensuite, vérifiez vos propres documents : le traitement figure-t-il dans votre registre, avec la mention du transfert et des garanties revendiquées, et une analyse d’impact a-t-elle été menée alors que le transfert vers un pays tiers, combiné à un volume important de données ou à des données sensibles, caractérise un risque élevé. Le règlement prévoit en effet que, lorsqu’un traitement « susceptible d’engendrer un risque élevé » pour les droits et libertés est envisagé, le responsable du traitement effectue au préalable une analyse d’impact (article 35, paragraphe 1, du RGPD, guide AIPD). Ces pièces, registre, analyse d’impact, contrat et annexes techniques, formeront le socle de toute réclamation ultérieure.
B. Trois situations seulement rendent le transfert vers les États-Unis licite
Une fois le transfert identifié, le prestataire doit démontrer qu’il repose sur l’une des bases du chapitre V. Il n’en existe que trois familles, et chacune suppose des vérifications précises.
La première est la décision d’adéquation. Un transfert peut avoir lieu lorsque la Commission a constaté que le pays tiers « assure un niveau de protection adéquat » (article 45, paragraphe 1, du RGPD, décision d’adéquation États-Unis). Pour les États-Unis, le passé récent invite à la prudence : la Cour de justice de l’Union européenne a invalidé le Privacy Shield le 16 juillet 2020 dans l’affaire C-311/18, dite Schrems II, et la Commission a ensuite adopté un nouveau cadre. Le 10 juillet 2023, la Commission européenne a adopté « nouvelle décision d’adéquation » (CNIL, transferts vers les États-Unis). Mais cette adéquation est conditionnelle : elle ne couvre que les organismes américains qui ont accompli la démarche d’autocertification au cadre de protection des données, dont la liste est tenue par le ministère américain du commerce. La vérification s’effectue donc en deux clics : l’organisme destinataire figure-t-il sur la liste publique, et les catégories de données transférées relèvent-elles du champ de sa certification. Si la réponse est négative sur l’un de ces points, le transfert ne peut pas s’appuyer sur l’adéquation.
La deuxième base, de loin la plus fréquente dans les contrats SaaS, repose sur les garanties appropriées. Sans décision d’adéquation, le transfert exige « des garanties appropriées », à condition que les personnes disposent de « disposent de droits opposables » et de voies de droit effectives (article 46, paragraphe 1, du RGPD, clauses contractuelles types). Parmi ces garanties figurent les « clauses types de protection des données » adoptées par la Commission (article 46, paragraphe 2, du RGPD), c’est-à-dire les clauses contractuelles types. Sur ce point, deux dates sont impératives : Les modèles de clauses contractuelles ont été mis à jour par la Commission européenne le 4 juin 2021 et À compter du 27 décembre 2022, les anciennes clauses contractuelles types de la Commission ne peuvent plus être utilisées (CNIL, les clauses contractuelles types). Un contrat qui se contente de viser d’anciennes clauses, ou qui mentionne les nouvelles sans les annexer ni choisir le module adapté à la relation, n’offre aucune garantie effective.
Surtout, les clauses ne suffisent jamais à elles seules lorsque la législation du pays destinataire permet aux autorités d’accéder aux données de façon disproportionnée. Depuis l’arrêt Schrems II, l’exportateur doit mener une analyse du niveau de protection dans le pays tiers et, si nécessaire, ajouter des mesures supplémentaires. La Commission nationale de l’informatique et des libertés l’exprime sans détour : les entreprises doivent prévoir des mesures supplémentaires garantissant « un niveau de protection essentiellement équivalent » à celui prévu dans l’Espace économique européen (CNIL, les clauses contractuelles types). Ces mesures peuvent être techniques, comme le chiffrement avec des clés conservées exclusivement dans l’Union européenne, organisationnelles, comme la restriction des accès et la journalisation, ou contractuelles, comme l’engagement de contester les demandes d’accès disproportionnées et d’en informer l’exportateur. Et si, malgré ces mesures, la protection ne peut pas être assurée, la conséquence est claire : « suspendre ou mettre fin au transfert » (CNIL, les clauses contractuelles types). Exigez donc du prestataire la copie de son analyse du cadre juridique américain appliquée à vos données, et non une simple attestation générale de conformité.
La troisième famille, celle des dérogations de l’article 49 du règlement, ne constitue jamais une solution structurelle pour un flux SaaS régulier. Le consentement explicite des personnes, l’exécution d’un contrat ou la sauvegarde d’intérêts vitaux supposent des conditions strictes, une information préalable et un caractère non répétitif ou strictement nécessaire. Un éditeur ne peut pas faire reposer l’ensemble de son hébergement américain sur le consentement recueilli par son client, ni sur une clause générale du contrat principal. Si le prestataire invoque cette base, demandez-lui par écrit la dérogation précise, les informations délivrées aux personnes et la démonstration de son caractère non systématique.
La jurisprudence récente du Conseil d’État éclaire ces exigences dans le dossier très sensible de l’hébergement de données de santé. Dans une première décision du 13 novembre 2024, le juge a rejeté la requête d’associations qui contestaient le refus du ministre de mettre fin au recours à un hébergeur américain, pour des données confiées au groupement d’intérêt public Plateforme des données de santé, créé par l’article L. 1462-1 du code de la santé publique, en relevant notamment que « le contrat d’hébergement conclu entre le GIP et la société Microsoft Ireland Operations Ltd cité au point 1 n’a pas reçu d’exécution » (Conseil d’État, 13 novembre 2024, n° 475297). Le rejet tient donc aux circonstances concrètes de l’espèce, et non à une validation de principe de l’hébergement américain. Dans une seconde affaire, le Conseil d’État a rejeté les recours dirigés contre la délibération de la Commission nationale de l’informatique et des libertés du 21 décembre 2023 autorisant un entrepôt de données de santé : « Les requêtes de l’association Internet Society France et de la société Clever Cloud et autres sont rejetées. » (Conseil d’État, 19 novembre 2024, n° 491644). Cette autorisation sectorielle, délivrée après examen par l’autorité de contrôle et dans un cadre de santé strictement encadré, ne vaut ni blanc-seing général pour les transferts SaaS vers les États-Unis, ni dispense des garanties du chapitre V. Dans ces deux affaires, les demandes de frais fondées sur l’article L. 761-1 du code de justice administrative ont été rejetées avec le surplus. Elle confirme au contraire que le contrôle du juge est concret : nature des données, architecture technique, garanties contractuelles et effectivité des droits des personnes.
II – Imposer les garanties, saisir la CNIL et le juge, obtenir réparation
Si le prestataire ne démontre aucune base valable, passez à une remise en conformité graduée : d’abord la voie contractuelle, ensuite les autorités et le juge. Chaque étape alimente la suivante, à condition de conserver les preuves.
A. Mettre le prestataire en demeure et verrouiller le contrat
La mise en demeure est le pivot de la procédure. Elle interrompt la passivité, fixe un délai et prépare la suspension ou la résiliation. Adressez-la en recommandé avec accusé de réception, ou par tout canal contractuel prévu pour les notifications formelles, en visant le contrat principal, le contrat de sous-traitance et leurs annexes techniques. Cinq demandes doivent y figurer. Premièrement, la cartographie écrite du transfert : lieux d’hébergement et de sauvegarde, pays d’accès du support, sous-traitants ultérieurs et fondement juridique invoqué pour chacun. Deuxièmement, la production du contrat de sous-traitance complet, conforme à l’article 28 du règlement, avec l’objet, la durée, la nature et les finalités du traitement, les types de données et les catégories de personnes concernées. Troisièmement, le module pertinent des clauses contractuelles types de 2021, signé et annexé, accompagné de l’analyse du cadre juridique américain et des mesures supplémentaires mises en œuvre. Quatrièmement, la preuve de l’autocertification au cadre de protection des données si le prestataire invoque l’adéquation américaine, avec l’extrait de la liste publique correspondant à l’entité destinataire. Cinquièmement, un calendrier de remise en conformité avec une date butoir, faute de quoi vous suspendrez les nouveaux transferts puis résilierez.
Sur le terrain contractuel, trois leviers méritent une attention particulière. Le premier est l’autorisation des sous-traitants ultérieurs : si le contrat initial prévoyait une autorisation générale, opposez-vous par écrit à l’hébergeur américain nouvellement révélé et exigez une solution d’hébergement dans l’Union européenne ou un mécanisme de transfert complet. Le deuxième est l’audit : la plupart des contrats encadrant la sous-traitance prévoient un droit d’audit, directement ou par un tiers mandaté. Exercez-le en ciblant la localisation réelle des données, la gestion des clés de chiffrement et les journaux d’accès du support. Le troisième est la réversibilité : toute suspension ou résiliation suppose la restitution des données dans un format exploitable, puis leur suppression attestée chez le prestataire et ses sous-traitants. Pour structurer cette négociation, appuyez-vous sur la méthode des clauses, de l’audit et de la réversibilité décrite dans notre guide pour imposer les clauses RGPD, l’audit et la réversibilité avant de confier vos données à un prestataire SaaS ou cloud, qui détaille les vérifications à mener avant et pendant la relation contractuelle.
Conservez méthodiquement chaque pièce : le contrat initial et ses avenants, les échanges révélant l’hébergement américain, les captures de la documentation technique, la mise en demeure et sa preuve de réception, la réponse du prestataire ou son silence, les journaux d’incidents et les réclamations de vos propres clients ou salariés. En cas de violation de données liée à cet hébergement, ces pièces établiront la chronologie. Rappelons à cet égard que le sous-traitant « notifie au responsable du traitement toute violation » dans les meilleurs délais après en avoir pris connaissance (article 33 du RGPD, règles de notification CNIL), tandis que le responsable du traitement doit, sauf absence de risque, notifier l’autorité de contrôle « si possible, 72 heures au plus tard » (article 33 du RGPD, règles de notification CNIL). Un prestataire qui tarde à vous alerter vous expose personnellement : faites de ce délai de notification un grief distinct de la mise en demeure.
Fixez au prestataire un délai bref et réaliste, généralement de quinze jours à un mois selon la criticité, pour produire les garanties ou proposer une architecture de substitution, par exemple un hébergement dans l’Union européenne avec des clés détenues par vous. Précisez qu’à défaut, vous suspendrez tout nouveau versement de données, engagerez un prestataire de substitution et lui imputerez les surcoûts. Cette gradation, mise en demeure puis suspension puis résiliation, démontre votre diligence et protège votre propre responsabilité vis-à-vis des personnes dont vous traitez les données.
B. Saisir la CNIL et le juge, puis chiffrer le préjudice
Si le prestataire maintient le transfert sans garantie, deux voies complémentaires s’ouvrent : l’autorité de contrôle et le juge.
Devant la Commission nationale de l’informatique et des libertés, toute personne peut introduire une réclamation, et l’autorité dispose de pouvoirs d’enquête, de mise en demeure et de sanction. Les amendes administratives doivent être, dans chaque cas, « effectives, proportionnées et dissuasives » (sanctions du RGPD, chaîne répressive CNIL). Votre plainte doit être précise : identité du prestataire et de l’hébergeur américain, description du traitement et des catégories de données, chronologie de la découverte, copie de la mise en demeure restée sans effet, extraits du contrat montrant l’absence de clauses ou l’invocation d’anciennes clauses, et captures prouvant la localisation ou l’accès. Si vous êtes vous-même responsable du traitement, présentez également vos diligences, registre complété, analyse d’impact engagée, suspension des flux, car l’autorité apprécie le comportement de chaque acteur. La plainte peut être déposée en ligne sur le site de la Commission, avec l’ensemble des pièces numérotées. Enfin, ne négligez pas le volet pénal : le fait, y compris par négligence, de procéder à des traitements sans respecter les formalités préalables prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende (article 226-16 du code pénal). Une plainte pénale peut donc compléter la réclamation devant la Commission lorsque les faits sont graves.
Parallèlement, les personnes concernées, vos clients ou vos salariés, disposent de leurs propres droits. Elles peuvent exiger l’accès à leurs données, la rectification, l’effacement lorsque le traitement est illicite, et la limitation pendant la vérification. Si le prestataire ou vous-même refusez de faire droit à ces demandes, la Commission peut être saisie, et le juge peut ordonner la communication ou la suppression sous astreinte. En cas d’urgence, par exemple des données sensibles exposées sur une infrastructure américaine sans garantie, le référé permet de solliciter rapidement la suspension du transfert ou des mesures conservatoires, à condition de démontrer l’illicéité manifeste et le trouble. Le président du tribunal judiciaire peut en effet prescrire en référé les mesures conservatoires qui s’imposent pour faire cesser un trouble manifestement illicite (article 835 du code de procédure civile).
L’action au fond obéit à une règle de compétence favorable aux personnes : « droit à un recours juridictionnel effectif » dès lors que leurs droits ont été violés par un traitement non conforme (article 79, paragraphe 1, du RGPD, plainte et recours CNIL). L’action peut être portée devant les juridictions de l’État membre du domicile de la personne, ce qui facilite les recours en France pour les résidents français.
La réparation suit le régime de l’article 82 : Toute personne ayant subi un dommage du fait d’une violation du règlement a le droit d’obtenir « réparation du préjudice subi » (article 82, paragraphe 1, du RGPD). Le responsable du traitement et le sous-traitant répondent selon leur part : le sous-traitant n’est tenu que s’il a méconnu ses obligations propres ou agi hors des instructions licites, et chacun peut s’exonérer en prouvant que le fait dommageable ne lui est nullement imputable. Cette réparation européenne s’articule avec le droit commun : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » (article 1240 du code civil), et « Chacun a droit au respect de sa vie privée. » (article 9 du code civil). Concrètement, chiffrez séparément les préjudices. Pour l’entreprise cliente du SaaS : coût de la migration vers un hébergeur européen, audit et analyse du cadre juridique américain, interruption de service, perte de contrats, atteinte à la réputation et temps interne mobilisé. Pour les personnes concernées : anxiété liée à l’exposition de leurs données à des accès étrangers, démarches engagées, usurpation d’identité ou prospection subie lorsqu’un lien est établi. Joignez les factures, les devis de migration, les attestations et, pour le préjudice moral, des éléments circonstanciés plutôt que des affirmations générales.
Enfin, si vous êtes dirigeant, tirez les conséquences organisationnelles : mettez à jour le registre des traitements avec la mention du transfert et des garanties, finalisez l’analyse d’impact, informez les personnes de manière transparente sur les destinataires américains et les garanties, renégociez le contrat de sous-traitance avec des clauses de 2021 et des mesures vérifiables, et prévoyez une clause de sortie avec réversibilité réelle. Un transfert américain découvert tardivement se régularise, mais seulement par des garanties écrites, contrôlables et effectives, jamais par une simple promesse commerciale.
Conclusion
Un logiciel SaaS hébergé aux États-Unis, ou simplement accessible depuis ce pays pour la maintenance, place votre entreprise sous le chapitre V du règlement général sur la protection des données. Vérifiez d’abord la réalité du transfert et les rôles de chacun, puis exigez une base valable : autocertification effective au cadre de protection des données si l’adéquation est invoquée, ou clauses contractuelles types de 2021 accompagnées d’une analyse du droit américain et de mesures supplémentaires réelles. À défaut, mettez le prestataire en demeure de produire ces garanties ou de rapatrier l’hébergement, puis suspendez les flux et résiliez si nécessaire. La plainte devant la Commission nationale de l’informatique et des libertés, l’action devant le juge et la demande de réparation fondent alors une stratégie complète, à condition d’avoir conservé chaque preuve : contrat, cartographie, mise en demeure, journaux et factures. C’est cette rigueur documentaire qui transforme une découverte inquiétante en un dossier solide.