Votre éditeur de paie, votre outil de visioconférence ou votre logiciel de gestion de la relation client est américain. Un jour, en lisant une documentation technique, un registre des traitements ou une réponse du support, vous découvrez que vos données, ou celles de vos salariés et de vos clients, sont hébergées aux États-Unis ou y transitent. Personne ne vous l’avait annoncé clairement au moment de signer. Que vaut ce transfert au regard du droit européen ? Pouvez-vous l’empêcher, le contester, en obtenir réparation ? Et si vous êtes dirigeant, comment régulariser sans interrompre votre activité ?
La question n’est pas théorique. Une large part des outils numériques utilisés par les entreprises et les administrations françaises repose sur des infrastructures situées hors de l’Union européenne, aux États-Unis au premier chef. Or le règlement général sur la protection des données encadre strictement ces mouvements : un transfert vers un pays tiers ne peut avoir lieu que si les conditions de son chapitre V sont respectées. Deux décisions récentes du Conseil d’État, l’une sur le transfert des données de chauffeurs d’une plateforme vers les États-Unis, l’autre sur l’hébergement de données de santé par une filiale irlandaise d’un groupe américain, montrent comment le juge contrôle ces montages et ce qu’une personne concernée comme une entreprise peut en attendre.
Cet article décrit d’abord le cadre applicable aux transferts hors de l’Union, puis les leviers concrets des personnes concernées et des entreprises : information, accès, réclamation devant la Commission nationale de l’informatique et des libertés, recours devant le juge et réparation du préjudice.
I. Le transfert de vos données hors de l’Union obéit à des conditions strictes
A. Sans décision d’adéquation, le transfert exige des garanties prévues par le règlement
Le principe est posé par l’article 44 du règlement : aucun transfert vers un pays tiers ne peut avoir lieu si le responsable du traitement et le sous-traitant ne respectent pas les conditions du chapitre V, y compris pour les transferts ultérieurs depuis le pays tiers vers un autre pays tiers. Le texte est consultable dans sa version officielle relayée par la Commission nationale de l’informatique et des libertés pour l’article 44. Trois voies seulement permettent le transfert.
La première est la décision d’adéquation de la Commission européenne. Aux termes de l’article 45, le transfert peut avoir lieu lorsque la Commission a constaté par décision que le pays tiers assure un niveau de protection adéquat, et un tel transfert ne nécessite alors aucune autorisation spécifique. La version de référence figure sur la page de la Commission dédiée à l’article 45. Pour les États-Unis, la situation a beaucoup évolué : après l’invalidation du bouclier de protection des données par la Cour de justice le 16 juillet 2020, la Commission a adopté le 10 juillet 2023 une nouvelle décision constatant le niveau adéquat de protection assuré par le cadre de protection des données entre l’Union et les États-Unis. Le Conseil d’État y fait expressément référence dans sa décision du 13 novembre 2024, qui vise « la décision d’exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 » constatant « le niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE – États-Unis » (Conseil d’État, 10e chambre, 13 novembre 2024, n° 475297). Concrètement, si le destinataire américain est certifié à ce cadre, le transfert peut reposer sur cette adéquation ; dans le cas contraire, il faut une autre base.
La deuxième voie, de loin la plus fréquente pour les contrats de logiciel et de cloud, repose sur les garanties appropriées de l’article 46. Le texte dispose qu’en l’absence de décision d’adéquation, le transfert vers un pays tiers n’est possible que si des garanties appropriées ont été prévues et si les personnes concernées disposent de droits opposables et de voies de droit effectives. Ces garanties peuvent prendre la forme de clauses types adoptées par la Commission, de règles d’entreprise contraignantes ou d’un instrument juridiquement contraignant entre organismes publics, comme le détaille la page officielle de l’article 46. Les modèles de clauses contractuelles types ont été modernisés par la Commission le 4 juin 2021 et les anciens modèles ne peuvent plus être utilisés depuis le 27 décembre 2022, comme le rappelle la Commission nationale de l’informatique et des libertés. Les nouveaux modèles combinent des clauses générales et quatre modules à choisir selon la situation : de responsable à responsable, de responsable à sous-traitant, de sous-traitant à sous-traitant, ou de sous-traitant à responsable. Les modèles sont publiés par la Commission européenne sur sa page dédiée aux clauses contractuelles types. Un contrat qui vise encore les anciens modèles de 2001 ou de 2004 ne fournit donc plus, à lui seul, la garantie attendue.
La signature des clauses ne suffit cependant pas. Depuis l’arrêt de la Cour de justice du 16 juillet 2020, l’exportateur doit vérifier, au cas par cas, si le droit du pays destinataire permet au destinataire de respecter ses engagements, compte tenu des possibilités d’accès des autorités publiques de ce pays aux données transférées. La Commission nationale de l’informatique et des libertés a publié un guide de l’analyse d’impact des transferts pour aider les organismes à conduire cette vérification, et elle tient à jour une page de présentation des transferts hors de l’Union ainsi qu’un cadre général des transferts. Si l’analyse révèle que les clauses seraient privées d’effet utile dans le pays destinataire, l’exportateur doit prévoir des mesures complémentaires ou suspendre le transfert. Les mesures complémentaires efficaces sont d’abord techniques : chiffrement fort dont l’exportateur conserve seul les clés, de sorte que le destinataire et les autorités du pays tiers ne disposent que de données inintelligibles ; pseudonymisation avec conservation des informations supplémentaires permettant la réidentification dans l’Union ; fractionnement du traitement pour que les jeux de données transmis isolément ne révèlent rien d’exploitable. Viennent ensuite les mesures contractuelles et organisationnelles : audit périodique du destinataire, obligation de contester les demandes d’accès disproportionnées, transparence sur les accès accordés, suspension automatique du flux en cas d’impossibilité de respecter les clauses. Chaque mesure doit être documentée et réévaluée périodiquement, car l’analyse d’impact n’est pas un exercice unique : toute évolution législative du pays destinataire ou toute extension des catégories de données transférées impose de la reprendre.
La troisième voie regroupe les dérogations de l’article 49 pour des situations particulières : consentement explicite de la personne après information sur les risques, nécessité à l’exécution d’un contrat, motifs importants d’intérêt public, constatation ou défense d’un droit en justice, entre autres. Ces dérogations s’interprètent strictement et ne peuvent servir de fondement permanent à des flux massifs et répétés, comme le précise la rédaction officielle de l’article 49. Une case cochée au bas d’un formulaire ne vaut consentement explicite au transfert que si l’information sur les risques a réellement été délivrée.
Deux enseignements du Conseil d’État méritent l’attention. Dans l’affaire des chauffeurs d’une plateforme de mise en relation, le Conseil d’État a jugé que l’invalidation du bouclier de protection par la Cour de justice n’entraînait pas, à elle seule, l’inapplication des règles de répartition des compétences entre autorités de contrôle pour les réclamations portant sur un transfert vers les États-Unis (Conseil d’État, 10e chambre, 26 avril 2022, n° 449845). Autrement dit, la chute d’une base juridique ne donne pas automatiquement à chaque autorité nationale le pouvoir d’interdire le flux ; la procédure de coopération européenne continue de s’appliquer. Dans l’affaire de la plateforme des données de santé, le Conseil d’État a rejeté la demande d’annulation du refus ministériel, en relevant notamment que le contrat d’hébergement litigieux avec la filiale irlandaise du groupe américain « n’a pas reçu d’exécution » et que le moyen tiré de la violation du règlement n’était « pas assorti des précisions permettant d’en apprécier le bien-fondé » (Conseil d’État, 10e chambre, 13 novembre 2024, n° 475297). Le message est clair : devant le juge administratif, une contestation abstraite du risque américain ne suffit pas ; il faut démontrer un transfert effectif et une violation précise du règlement.
B. Vous devez être informé du transfert et le contrat doit l’encadrer
Le droit des transferts commence par l’information. Lorsque les données sont collectées directement auprès de vous, le responsable du traitement doit vous indiquer, au moment de la collecte, son intention éventuelle de transférer vos données vers un pays tiers, ainsi que l’existence ou l’absence d’une décision d’adéquation et les garanties prévues, comme l’énonce l’article 13 du règlement. La même information est due lorsque les données n’ont pas été collectées auprès de vous, en vertu de l’article 14 du règlement. Une politique de confidentialité qui décrit longuement les finalités mais tait le pays d’hébergement manque donc à cette obligation dès lors que le transfert existe.
Vous disposez ensuite d’un droit d’accès qui couvre précisément cette question. L’article 15 vous reconnaît le droit d’obtenir la confirmation que des données vous concernant sont traitées et, dans ce cas, d’y accéder avec une série d’informations, parmi lesquelles les destinataires, en particulier ceux établis dans des pays tiers, selon la formulation officielle de l’article 15. Une demande d’accès bien rédigée demande donc : où mes données sont-elles hébergées, vers quels pays sont-elles transférées, sur quelle base — adéquation, clauses types, dérogation — et copie des garanties. Le responsable doit répondre dans un délai d’un mois, avec une prolongation possible de deux mois pour les demandes complexes, et motiver tout refus.
Côté entreprise, le contrat avec le prestataire est le premier lieu de contrôle. L’article 28 n’autorise le responsable à recourir qu’à des sous-traitants présentant des garanties suffisantes sur leurs mesures techniques et organisationnelles, d’après la version officielle de l’article 28. Surtout, le contrat doit prévoir que le sous-traitant ne traite les données que sur instruction documentée du responsable, y compris pour les transferts vers un pays tiers. Un sous-traitant qui délocalise l’hébergement vers un pays tiers sans instruction écrite méconnaît ce contrat et expose le responsable du traitement. Si votre prestataire refuse de signer cet encadrement, la méthode de mise en demeure, d’audit et de suspension est décrite dans notre analyse consacrée au sous-traitant qui refuse de signer le contrat de protection des données. Et si le litige porte sur la restitution de vos données à la fin du contrat, les règles de la réversibilité sont exposées dans notre étude sur l’éditeur de logiciels en ligne qui refuse de restituer les données.
Le registre des activités de traitement doit lui aussi mentionner les transferts vers des pays tiers, avec l’identification du pays et la référence de la base utilisée. Son absence ou son silence sur ce point constitue un indice simple et objectif : une entreprise qui ne sait pas dire où vont ses données ne peut pas démontrer qu’elle respecte le chapitre V. Enfin, la sécurité n’est pas négociable : le sous-traitant doit mettre en œuvre des mesures propres à garantir la disponibilité des données et à rétablir l’accès dans des délais appropriés, et toute violation présentant un risque pour les droits des personnes doit être notifiée à l’autorité dans les soixante-douze heures, puis communiquée aux personnes concernées lorsque le risque est élevé, conformément aux articles 32 à 34 du règlement.
II. Contester le transfert, le faire cesser et obtenir réparation
A. La personne concernée peut saisir l’autorité de contrôle puis le juge
La première démarche consiste à écrire au responsable du traitement : demande d’accès ciblée sur l’hébergement et les transferts, puis, selon la réponse, demande d’effacement, d’opposition ou de limitation. Conservez chaque envoi et chaque réponse : en cas de contentieux, la chronologie des demandes et l’absence de réponse dans le délai d’un mois établissent le manquement. Si la réponse est évasive — pays d’hébergement non précisé, base du transfert non identifiée, copie des clauses refusée — ce silence partiel fonde la suite.
La deuxième démarche est la réclamation devant la Commission nationale de l’informatique et des libertés. L’article 77 ouvre à toute personne concernée le droit d’introduire une réclamation auprès d’une autorité de contrôle, comme le rappelle la formulation officielle de l’article 77. La réclamation doit être précise : identité du responsable, nature des données, transferts constatés ou suspectés avec leurs preuves — captures de la documentation, réponses du support, mentions du registre —, démarches préalables et leur résultat, et mesures demandées. L’autorité examine la réclamation et décide des suites, avec un large pouvoir d’appréciation : « Il appartient à la CNIL de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui sont à l’origine de la plainte ou de la réclamation et de décider des suites à lui donner », selon les motifs du Conseil d’État du 26 avril 2022. Le refus de donner suite peut être déféré au juge de l’excès de pouvoir, qui censure l’erreur de fait ou de droit, l’erreur manifeste d’appréciation et le détournement de pouvoir, comme le précise la même décision.
Lorsque le responsable est établi dans un autre État membre, la réclamation suit en principe la procédure de coopération européenne : l’autorité de l’établissement principal agit comme chef de file et reste le seul interlocuteur du responsable pour le traitement transfrontalier. La Commission nationale ne peut s’y substituer qu’en urgence, pour adopter des mesures provisoires d’une durée maximale de trois mois destinées à protéger les droits des personnes sur le territoire national. Dans l’affaire des chauffeurs, le Conseil d’État a estimé que la présidente de la Commission n’avait pas commis d’erreur manifeste en considérant que la situation, « eu égard notamment à la nature des données collectées », ne révélait pas une menace grave et imminente justifiant cette procédure dérogatoire (Conseil d’État, 26 avril 2022, n° 449845). Pour une réclamation individuelle, la leçon est pratique : décrivez la gravité concrète — données de santé, données bancaires, géolocalisation permanente, surveillance des communications — plutôt que le risque abstrait lié au pays destinataire.
En parallèle, l’article 79 ouvre un recours juridictionnel effectif contre le responsable ou le sous-traitant, et l’article 82 accorde à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’en obtenir réparation auprès du responsable ou du sous-traitant, d’après le texte officiel de l’article 82. Le même article précise la répartition : le responsable répond du dommage causé par un traitement contraire au règlement, tandis que le sous-traitant n’en répond que s’il a méconnu ses obligations propres ou agi hors des instructions licites du responsable. Le juge judiciaire peut donc être saisi d’une demande d’injonction — cesser le transfert, rapatrier l’hébergement, fournir les garanties — et d’une demande indemnitaire. Le préjudice moral lié à la perte de contrôle sur ses données est réparable, mais il doit être démontré et chiffré : anxiété documentée, démarches imposées, temps consacré, conséquences professionnelles ou financières. Une demande indemnitaire forfaitaire sans pièce ne prospère pas.
Devant le juge des référés, la démonstration d’un transfert effectif et actuel est déterminante. Comme l’a montré l’affaire de la plateforme des données de santé, où le contrat litigieux n’avait en définitive « pas reçu d’exécution », le juge rejette les demandes fondées sur un risque hypothétique ou sur des affirmations générales non rattachées à une disposition précise du règlement. Rassemblez donc des preuves du flux réel : journaux techniques, adresses d’hébergement, réponses écrites du prestataire, constats d’huissier ou captures certifiées. Et n’attendez pas des années : plus le transfert est ancien et connu, plus la demande de mesures d’urgence perd sa force.
B. L’entreprise doit cartographier, contractualiser et pouvoir suspendre
Pour le dirigeant qui découvre que son prestataire transfère les données hors de l’Union, la première mesure consiste à cartographier : quels traitements, quelles catégories de données, quels pays destinataires, quelles bases — adéquation, clauses types en vigueur, dérogations — et quelles preuves. Cette cartographie alimente le registre, prépare l’analyse d’impact des transferts selon le guide de la Commission et permet de répondre à une demande d’accès ou à un contrôle sans improvisation. Si les données sensibles de salariés ou de clients sont concernées, la cartographie est prioritaire : le risque pour les droits des personnes commande le rythme.
La deuxième mesure consiste à contractualiser. Exigez du prestataire la communication écrite du lieu d’hébergement et des flux, la signature des clauses contractuelles types dans leur version de 2021 avec le module adapté à votre relation, et l’interdiction de tout transfert ultérieur sans votre instruction documentée préalable. Vérifiez la certification éventuelle du destinataire au cadre transatlantique d’adéquation et sa portée réelle : elle ne couvre que les organismes certifiés et les données concernées. Si le prestataire refuse ou temporise, adressez une mise en demeure précise, ordonnez un audit contractuel et, en cas de risque avéré pour les personnes, suspendez les nouveaux transferts le temps de la régularisation. Chaque étape doit être écrite et datée : en cas de contrôle, l’autorité apprécie la diligence autant que le résultat.
La troisième mesure consiste à préparer la notification. Si l’audit révèle que des données ont été exposées ou transférées sans base pendant une période significative, qualifiez l’événement au regard de la violation de données : destruction, perte, altération, divulgation ou accès non autorisé. Notifiez l’autorité dans les soixante-douze heures lorsque le risque pour les droits des personnes ne peut être écarté, et informez les personnes concernées en langage clair lorsque le risque est élevé, en indiquant la nature de l’incident, ses conséquences possibles et les mesures prises. Une notification tardive ou incomplète aggrave la position de l’entreprise ; une notification documentée, accompagnée d’un plan de remédiation, l’atténue.
Les sanctions encourues expliquent cette rigueur. La loi du 6 janvier 1978 confie à la Commission la mission de veiller à ce que les traitements soient mis en œuvre conformément à la loi et au droit de l’Union, comme l’énonce son article 8. En cas de manquement, la formation restreinte peut prononcer « Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits », une injonction qui peut être assortie d’une astreinte, et prononcer une amende administrative dont les plafonds sont fixés par le même article, selon l’article 20 de la loi. En urgence, le président peut saisir la formation restreinte pour obtenir « L’interruption provisoire de la mise en œuvre du traitement, y compris d’un transfert de données hors de l’Union européenne, pour une durée maximale de trois mois », d’après l’article 21 de la loi. L’interruption d’un flux vital pour l’activité pendant trois mois représente un risque opérationnel majeur : il justifie à lui seul l’investissement dans la cartographie et les clauses à jour.
Enfin, anticipez la sortie. Tout contrat de logiciel ou de cloud devrait organiser la réversibilité — format de restitution, délai, destruction des copies — et interdire les transferts postérieurs à la résiliation. À défaut, la fin du contrat devient le début du contentieux, avec des données retenues hors de l’Union sans base. Une clause de localisation de l’hébergement dans l’Union, assortie d’une information préalable et d’un droit d’opposition avant tout changement, reste la protection la plus simple et la plus efficace.
Un logiciel américain n’est pas illégal en soi, et un hébergement hors de l’Union n’est pas fautif par principe. Tout dépend de la base du transfert, de l’information délivrée, du contrat signé et des mesures prises après la découverte du flux. La personne concernée qui documente sa demande, saisit l’autorité avec des preuves d’un transfert effectif et chiffre son préjudice dispose de leviers réels, du rappel à l’ordre à la réparation devant le juge. L’entreprise qui cartographie ses flux, signe les clauses en vigueur, conduit son analyse d’impact et sait suspendre un transfert irrégulier transforme un risque de sanction en démonstration de conformité. Dans les deux cas, le droit des transferts récompense la précision : prouver le flux, identifier la base, exiger la garantie.