Votre prestataire informatique héberge vos données en France, mais son support se connecte depuis les États-Unis, son sous-traitant sauvegarde sur des serveurs américains ou votre outil de mesure d’audience envoie chaque visite vers des serveurs situés outre-Atlantique. Vous venez de le découvrir dans une annexe du contrat, dans une réponse du délégué à la protection des données ou à l’occasion d’un audit. La question qui suit est immédiate : ce transfert de données hors de l’Union européenne est-il licite, qui en répond, et que faire s’il ne repose sur aucune garantie ?
Le droit applicable est le chapitre V du règlement général sur la protection des données (RGPD), dont la CNIL publie le texte avec son guide des transferts. Le principe est simple : un transfert vers un pays tiers ne peut avoir lieu que si les conditions de ce chapitre sont respectées, afin que le niveau de protection garanti par le règlement ne soit pas compromis. Trois voies seulement permettent ce transfert : une décision d’adéquation de la Commission européenne, des garanties appropriées comme les clauses contractuelles types, ou une dérogation prévue pour des situations particulières. En dehors de ces voies, le transfert est illicite, et l’entreprise qui a confié les données à son sous-traitant en répond au premier chef, en sa qualité de responsable du traitement.
L’actualité rend ce contrôle urgent. Le 10 juillet 2023, la Commission européenne a adopté une nouvelle décision d’adéquation pour les États-Unis, le cadre de protection des données UE–États-Unis, qui permet en principe des transferts libres vers les organismes américains auto-certifiés. Le 3 septembre 2025, le Tribunal de l’Union européenne a rejeté le recours en annulation dirigé contre cette décision dans l’affaire Latombe (T-553/23). Mais un pourvoi a été formé devant la Cour de justice le 31 octobre 2025, selon la presse juridique spécialisée, et il reste pendant à la date de rédaction. Les deux précédents cadres transatlantiques ont été annulés par la Cour, en 2015 puis en 2020. Compter sur la seule adéquation américaine sans vérifier la certification de chaque destinataire ni préparer de garantie de repli exposerait donc votre entreprise à un retournement brutal.
Cet article explique comment vérifier la licéité du transfert opéré par votre sous-traitant, puis comment agir : exiger l’audit et les garanties, suspendre le transfert, saisir la CNIL et, le cas échéant, demander réparation devant le juge.
I. Le transfert de votre sous-traitant vers un pays tiers est-il licite ?
A. Repérer le transfert et vérifier s’il repose sur l’une des trois voies admises
Un transfert au sens du RGPD ne se limite pas à l’hébergement des données sur un serveur étranger. Dans son arrêt Schrems II du 16 juillet 2020, la Cour de justice a jugé qu’un transfert commercial depuis un opérateur établi dans un État membre vers un opérateur établi dans un pays tiers relève du règlement, alors même que les autorités de ce pays tiers seraient susceptibles de traiter ensuite ces données à des fins de sécurité publique, de défense et de sûreté de l’État. L’accès distant depuis un pays tiers, la maintenance effectuée depuis l’étranger, la sauvegarde répliquée sur un cloud américain ou le recours à un sous-traitant ultérieur établi hors Union européenne constituent donc des transferts, même si vos serveurs principaux restent en France. La CNIL invite d’ailleurs les organismes à identifier méthodiquement ces transferts avant de choisir leur encadrement.
Le principe figure à l’article 44 du RGPD : le transfert n’est possible que si les conditions du chapitre V sont respectées par le responsable du traitement et le sous-traitant, y compris pour les transferts ultérieurs depuis le pays tiers. Votre sous-traitant qui fait appel à son tour à un prestataire américain sans vous en informer engage donc directement votre conformité : l’article 28 du RGPD, publié au chapitre IV par la CNIL, lui interdit de recruter un autre sous-traitant sans votre autorisation écrite préalable, et en cas d’autorisation générale il doit vous informer de tout changement prévu afin de vous laisser la possibilité d’émettre des objections.
Première voie : la décision d’adéquation. L’article 45 du RGPD permet le transfert sans autorisation spécifique lorsque la Commission a constaté qu’un pays tiers assure un « niveau de protection adéquat ». Pour les États-Unis, la décision d’exécution du 10 juillet 2023 constate l’adéquation du cadre de protection des données UE–États-Unis, comme le relate la CNIL dans son actualité. Mais cette adéquation est limitée : comme le rappelle la CNIL dans ses questions-réponses, seuls les transferts vers les entités américaines certifiées sont dispensés d’outil d’encadrement, et ces entités s’engagent annuellement et publiquement en s’inscrivant sur la liste tenue par le département du commerce américain, accessible depuis le guide de la CNIL sur les transferts. Vérifiez donc, destinataire par destinataire, que chaque société américaine qui reçoit vos données figure sur cette liste à la date du transfert. Un transfert vers une entité non certifiée reste soumis aux garanties de l’article 46. Et gardez à l’esprit la fragilité contentieuse : le rejet du recours Latombe le 3 septembre 2025 conforte le cadre à court terme, mais le pourvoi pendant devant la Cour de justice entretient une incertitude réelle, après deux annulations retentissantes. Sur un transfert structurel et durable, adosser le dispositif à des clauses contractuelles types en complément de l’adéquation reste la position la plus défendable.
B. Exiger des garanties appropriées : clauses types, analyse d’impact du transfert et information des personnes
Deuxième voie, la plus courante pour les flux vers les États-Unis hors adéquation et vers les autres pays tiers : les garanties appropriées de l’article 46 du RGPD. Sans décision d’adéquation, le transfert n’est possible que si des garanties appropriées ont été prévues et si les personnes concernées disposent de « droits opposables » et de « voies de droit effectives ». Parmi ces garanties figurent les clauses types de protection des données adoptées par la Commission, c’est-à-dire les clauses contractuelles types mises à jour le 4 juin 2021. Les règles d’entreprise contraignantes, les codes de conduite et les certifications assortis d’engagements contraignants constituent d’autres outils, mais les clauses types restent la référence pour un contrat de sous-traitance classique.
Depuis l’arrêt Schrems II, signer ces clauses ne suffit plus : il faut évaluer si le droit du pays de destination permet de les respecter dans les faits. La Cour exige pour les transferts fondés sur des clauses types un niveau de protection substantiellement équivalent à celui garanti dans l’Union, en tenant compte aussi bien des stipulations contractuelles que des éléments pertinents du système juridique du pays tiers. Concrètement, l’évaluation porte sur les pouvoirs d’accès des autorités publiques de ce pays aux données transférées et sur les recours ouverts aux personnes concernées. La CNIL confirme cette analyse au cas par cas : lors de l’usage d’un outil de l’article 46, l’exportateur doit vérifier si le pays tiers respecte le niveau de protection requis, au besoin par une analyse d’impact des transferts. Les clauses de 2021 organisent cet examen : les parties doivent garantir n’avoir aucune raison de croire que la législation et les pratiques du pays de destination empêchent l’importateur de respecter ses obligations, après avoir étudié les circonstances du transfert, les législations et pratiques du pays tiers, notamment celles qui imposent la divulgation des données aux autorités publiques ou autorisent leur accès, ainsi que les garanties contractuelles, techniques et organisationnelles mises en place. Cette évaluation doit être conservée par écrit et tenue à la disposition de l’autorité de contrôle. Si l’importateur ne peut plus respecter les clauses, l’exportateur définit sans délai les mesures correctrices puis, à défaut de garantie appropriée, il suspend le transfert et peut résilier le contrat pour la partie concernée. La CNIL l’énonce sans détour : si le respect des garanties ne sera pas assuré malgré d’éventuelles mesures supplémentaires, l’exportateur est tenu de suspendre le transfert ou d’y mettre fin.
Les mesures supplémentaires qui complètent les clauses sont d’abord techniques : chiffrement robuste avec des clés conservées dans l’Union européenne et inaccessibles au prestataire étranger, pseudonymisation effective avant export, cloisonnement des accès, journalisation. La CNIL décrit ainsi la proxyfication comme une solution opérationnelle possible, à condition notamment d’assurer l’absence de transfert de l’adresse IP vers les serveurs de l’outil et le remplacement de l’identifiant utilisateur par le serveur de proxyfication, avec un serveur lui-même hébergé dans des conditions garantissant l’absence de transfert vers un pays au niveau de protection insuffisant. Des mesures contractuelles et organisationnelles s’y ajoutent : instruction documentée interdisant tout transfert non autorisé, notification immédiate de toute demande d’accès d’une autorité étrangère, engagement à contester ces demandes, audits réguliers. Pour choisir le bon modèle, les clauses de 2021 fonctionnent par modules : responsable vers responsable, responsable vers sous-traitant, sous-traitant vers sous-traitant, et sous-traitant vers responsable, comme le détaille la page de la CNIL consacrée aux clauses types.
Troisième voie, strictement encadrée : les dérogations pour situations particulières de l’article 49 du RGPD. Sans adéquation ni garantie, le transfert n’est possible qu’à l’une des conditions énumérées, parmi lesquelles le consentement explicite de la personne concernée après information sur les risques liés à l’absence de décision d’adéquation et de garanties, ou le transfert nécessaire à l’exécution d’un contrat avec elle ou à la défense de droits en justice. Ces dérogations visent des transferts occasionnels et non répétitifs, jamais un flux structurel d’externalisation vers un cloud étranger. Faire signer à vos clients une clause générale de consentement au transfert vers les États-Unis pour couvrir l’hébergement de votre prestataire ne satisfait ni l’exigence d’un consentement explicite et éclairé sur les risques, ni le caractère non massif de la dérogation.
Enfin, les personnes dont les données sont transférées doivent en être informées. L’article 13 du RGPD, publié au chapitre III par la CNIL, impose d’indiquer l’intention de transférer vers un pays tiers, l’existence ou l’absence de décision d’adéquation et, pour les transferts encadrés, la référence des garanties avec le moyen d’en obtenir copie. Votre politique de confidentialité doit donc mentionner le pays de destination, l’outil d’encadrement retenu et le moyen d’en obtenir copie. Un sous-traitant qui transfère en catimini vous place en manquement sur ce point comme sur le fond.
II. Que faire quand le transfert illicite est déjà en cours ?
A. Activer les leviers du contrat : audit, mise en demeure, suspension et sortie du prestataire
Face à un transfert sans garantie, votre premier réflexe doit être contractuel, car le RGPD fait de vous le premier garant de la conformité du traitement. L’article 28 du RGPD impose au responsable de ne faire appel qu’à des sous-traitants présentant des « garanties suffisantes » de mise en œuvre des mesures techniques et organisationnelles appropriées. Un prestataire qui transfère vos données vers un pays tiers sans base du chapitre V ne présente plus ces garanties. Le contrat de sous-traitance doit en outre prévoir un traitement sur instruction documentée du responsable, y compris pour les transferts vers un pays tiers, et la mise à disposition de toutes les informations nécessaires pour démontrer le respect des obligations et permettre des audits, y compris des inspections, par le responsable ou un auditeur mandaté. Si votre contrat ne contient pas ces stipulations, faites-le mettre à niveau sans attendre : notre analyse des recours contre le prestataire qui refuse de signer le contrat RGPD détaille la mise en demeure, l’audit et les suites envisageables dans cette hypothèse voisine.
Concrètement, adressez au prestataire une demande écrite circonstanciée : cartographie complète des flux vers les pays tiers, y compris les accès distants et les sous-traitants ultérieurs ; copie des outils d’encadrement invoqués pour chaque flux, avec preuve de la certification américaine sur la liste officielle le cas échéant ; analyse d’impact du transfert et mesures supplémentaires déployées ; journaux des accès depuis les pays tiers sur les douze derniers mois. Fixez un délai bref de réponse, de l’ordre de quinze jours, et diligentez en parallèle l’audit contractuel, sur pièces puis si nécessaire sur site. Lorsque le sous-traitant recourt à un sous-traitant ultérieur établi hors Union européenne, rappelez que l’article 28 impose à cet autre sous-traitant les mêmes obligations de protection par contrat, et que si cet autre sous-traitant manque à ses obligations, le sous-traitant initial demeure pleinement responsable devant vous de leur exécution. Cette chaîne de responsabilité vous donne un interlocuteur unique : votre prestataire direct.
Si les réponses confirment l’absence de garantie, mettez le prestataire en demeure de régulariser sous un mois : signature des clauses types de 2021 avec le module adapté à votre relation, réalisation de l’analyse d’impact du transfert, déploiement des mesures supplémentaires et, dans l’intervalle, suspension des flux non encadrés. Les clauses types vous appuient expressément : à défaut de garantie appropriée, l’exportateur suspend le transfert et peut résilier le contrat pour la partie concernée. En droit commun des contrats, un transfert illicite persistant caractérise un manquement grave justifiant la suspension des paiements correspondants puis la résiliation pour faute, avec demande de restitution et de suppression des données, puisque le sous-traitant doit au terme de la prestation, selon votre choix, supprimer toutes les données ou vous les renvoyer, puis détruire les copies existantes. Préparez dès ce stade la réversibilité : extraction complète dans un format exploitable, calendrier de suppression attestée, changement de prestataire vers un hébergeur dont les flux restent dans l’Espace économique européen ou sont dûment encadrés.
Mettez aussi votre propre documentation en ordre, car la CNIL contrôlera d’abord votre diligence. Inscrivez chaque transfert dans le registre des activités de traitement, avec le pays destinataire, l’outil d’encadrement et la date de vérification. Si le transfert est susceptible d’engendrer un risque élevé pour les droits et libertés, par exemple une base clients massive répliquée aux États-Unis sans garantie, l’article 35 du RGPD, publié au chapitre IV par la CNIL, exige une analyse d’impact préalable sur la protection des données, en demandant conseil au délégué à la protection des données lorsqu’il en a désigné un. Mettez à jour la politique de confidentialité avec l’information sur les transferts et conservez l’ensemble : échanges avec le prestataire, audit, analyse d’impact, décisions de suspension. Ce dossier constituera votre preuve de diligence devant la CNIL comme devant le juge.
B. Saisir la CNIL et le juge : mise en conformité forcée, sanction et réparation
Lorsque le prestataire refuse de régulariser ou minimise le transfert, la plainte devant la CNIL devient l’arme décisive. L’article 77 du RGPD ouvre à toute personne concernée le droit de réclamation auprès d’une autorité de contrôle, et votre entreprise peut elle-même signaler le manquement de son sous-traitant, pièces à l’appui. Les pouvoirs de la CNIL sur les transferts sont considérables. L’article 58 du RGPD lui permet d’ordonner la mise en conformité dans un délai déterminé, d’imposer une limitation temporaire ou définitive du traitement, y compris une interdiction, d’infliger une amende administrative et, surtout, d’ordonner la suspension des flux adressés à un destinataire situé dans un pays tiers. La Cour de justice a précisé dans Schrems II que, sauf décision d’adéquation valable, l’autorité de contrôle doit suspendre ou interdire un transfert fondé sur des clauses types lorsque ces clauses ne peuvent pas être respectées dans le pays tiers et que la protection ne peut être assurée par d’autres moyens, si le responsable ou son sous-traitant n’a pas lui-même suspendu le transfert. Autrement dit, votre inaction après la découverte du transfert illicite vous expose autant que le prestataire : la CNIL attend de vous la suspension spontanée.
Les sanctions financières donnent à cette menace un contenu très concret. L’article 83 du RGPD exige des amendes « effectives, proportionnées et dissuasives », calibrées notamment sur la nature, la gravité et la durée de la violation, le nombre de personnes affectées, le caractère délibéré ou négligent, les mesures d’atténuation et la coopération avec l’autorité. Un transfert massif et durable vers un pays tiers sans aucune garantie, avec des catégories de données sensibles ou des données de clients nombreux, cumule les facteurs d’aggravation. La jurisprudence des autorités européennes sur les outils de mesure d’audience illustre la méthode : selon le commentaire du cabinet Nomos de la communication de la CNIL, l’autorité française a suivi ses homologues après une décision de l’autorité autrichienne du 22 décembre 2021 et une décision du Contrôleur européen du 5 janvier 2022, en jugeant insuffisantes les mesures entourant les transferts vers les États-Unis des données collectées via cet outil face au risque d’accès des services de renseignement américains. La CNIL a mis en demeure un éditeur de site de se mettre en conformité, au besoin en cessant de recourir à l’outil dans les conditions alors en cause ou en choisissant un outil sans transfert hors Union européenne. Ce précédent vaut avertissement pour tout responsable qui laisse un outil ou un prestataire transférer sans encadrement : la mise en demeure publique précède la sanction, et la solution attendue est la rupture du flux ou le changement d’outil.
Le Conseil d’État vient de valider cette approche. Par une décision du 26 décembre 2025 (n° 491373), saisi par un visiteur qui avait déposé plainte le 1er novembre 2022 contre les transferts de données vers les États-Unis opérés par le site d’un journal en ligne du fait de son réseau de distribution de contenus, ainsi que contre le défaut d’information sur ces transferts, le Conseil d’État a rejeté le recours dirigé contre la clôture de la plainte par la CNIL. Il relève que la CNIL avait rappelé la société à ses obligations en lui demandant d’évaluer la légalité des transferts, dans le cadre de la nouvelle décision d’adéquation du 10 juillet 2023 pour les États-Unis, et, pour les destinataires non certifiés, qu’« il lui revenait de procéder à une évaluation rigoureuse de leur légalité au regard des articles 46 et 49 du RGPD », avec des mesures adaptées et une information complète des utilisateurs. Dès lors, « la CNIL n’a pas entaché, dans les circonstances de l’espèce, sa décision de clôture de plainte d’erreur manifeste d’appréciation ». Le Conseil d’État écarte aussi la demande de renvoi préjudiciel sur la validité du cadre transatlantique, en relevant que le Tribunal s’est déjà prononcé le 3 septembre 2025 dans l’affaire Latombe. Pour votre entreprise, l’enseignement est direct : face à une plainte ou un contrôle, la CNIL attend l’évaluation documentée des transferts et l’information des utilisateurs, et le juge administratif valide la clôture lorsque cette diligence est établie.
Devant le juge judiciaire, les personnes dont les données ont été transférées illicitement disposent de deux actions. L’article 79 du RGPD leur reconnaît un recours juridictionnel effectif en cas de violation de leurs droits, et l’article 82 du RGPD ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’en obtenir réparation auprès du responsable ou du sous-traitant. Le sous-traitant n’est tenu que s’il a méconnu les obligations qui lui incombent spécifiquement ou s’il a agi en dehors des instructions licites du responsable ou contrairement à elles, et chacun des co-responsables d’un même traitement répond de la totalité du dommage afin de garantir une réparation effective à la personne concernée. Votre entreprise, en première ligne comme responsable, peut ensuite se retourner contre le prestataire sur le fondement du contrat et de sa part de responsabilité. Pour la personne concernée, le préjudice moral tiré de l’exposition de ses données à un système juridique étranger sans garantie ni recours effectif, de la perte de maîtrise de ses données et du temps consacré aux démarches, fonde des demandes indemnitaires que les juridictions examinent au cas par cas, sans préjudice automatique. Conservez donc les preuves du transfert et du défaut de garantie : captures de la documentation du prestataire, échanges, audit, analyse d’impact, plainte CNIL et sa réponse, constats d’huissier des flux si nécessaire.
Archivez enfin chaque étape dans un dossier dédié aux transferts, tenu à jour et distinct du registre général, afin de répondre sans délai à toute demande d’information ou de contrôle de la CNIL. Face à un transfert hors Union européenne opéré par votre sous-traitant sans garantie, la méthode tient en quatre temps : cartographier chaque flux, y compris les accès et les sous-traitants ultérieurs ; qualifier la voie de licéité applicable à chacun, adéquation vérifiée destinataire par destinataire, clauses types complétées d’une analyse d’impact documentée et de mesures supplémentaires, ou dérogation strictement occasionnelle ; contraindre le prestataire par l’audit et la mise en demeure, jusqu’à la suspension et à la sortie du contrat ; et saisir la CNIL puis le juge si la régularisation échoue, en vous appuyant sur un dossier de diligence complet. La validation provisoire du cadre transatlantique par le Tribunal en septembre 2025 ne dispense d’aucune de ces étapes : avec un pourvoi pendant devant la Cour de justice, seules les garanties vérifiées et documentées protègent durablement votre entreprise, vos clients et vos données.