Votre logiciel de gestion, votre outil de paie, votre messagerie professionnelle ou votre solution de stockage affichent un éditeur américain et des serveurs situés aux États-Unis : vos données personnelles, et souvent celles de vos clients ou de vos salariés, quittent alors l’Union européenne à chaque synchronisation. Cette situation soulève une question directe : ce transfert est-il encadré, et que pouvez-vous exiger si rien n’a été prévu ? La Commission nationale de l’informatique et des libertés rappelle aux responsables de traitement que « conformément à l’article 44 du RGPD, il lui appartient d’encadrer juridiquement tout transfert de données à caractère personnel, collectées à partir d’un outil utilisé par son site internet, vers un pays tiers », comme l’a relevé le Conseil d’État dans une décision du 31 décembre 2025 (Conseil d’État, 31 décembre 2025, n° 494474). Autrement dit, héberger des données aux États-Unis ne va jamais de soi : il faut une base vérifiable, faute de quoi le transfert est illicite. La CNIL consacre un dossier complet à ces transferts hors de l’Union européenne. Cet article explique comment identifier le transfert, vérifier l’encadrement applicable à votre logiciel, puis agir : exiger les garanties contractuelles, récupérer ou faire effacer vos données, saisir la CNIL et, le cas échéant, demander réparation devant le juge.
I. Identifier le transfert de vos données et le cadre juridique applicable
Avant toute démarche, il faut qualifier la situation : qui traite vos données, à quel titre, vers quel pays et sur quel fondement. Cette étape détermine tous vos droits.
A. Repérer les rôles, le contrat et le pays de destination
Le premier réflexe consiste à lire la politique de confidentialité du logiciel et le contrat signé avec l’éditeur. Vous y cherchez trois informations : l’identité du responsable du traitement et celle de l’hébergeur sous-traitant, la localisation des serveurs et la mention d’un transfert hors de l’Union européenne. Lorsque l’éditeur recourt lui-même à un fournisseur américain pour l’hébergement, il s’agit d’un sous-traitant ultérieur, et le contrat qui les lie doit encadrer ce transfert : le responsable doit choisir des sous-traitants présentant des garanties suffisantes et le contrat de sous-traitance doit prévoir le sort des transferts vers un pays tiers. Si vous êtes client professionnel de l’éditeur, vérifiez que votre propre contrat de sous-traitance autorise ou non ce transfert vers les États-Unis et désigne l’hébergeur américain.
En pratique, les transferts se nichent dans des outils du quotidien : logiciel de paie qui centralise les bulletins sur un cloud américain, solution de gestion de la relation client qui réplique la base prospects aux États-Unis, outil de billetterie ou de support qui journalise les échanges, messagerie collaborative qui indexe les pièces jointes outre-Atlantique. Dans chacun de ces cas, le client français de l’éditeur reste responsable du traitement vis-à-vis de ses propres salariés ou clients, tandis que l’éditeur agit comme sous-traitant et l’hébergeur américain comme sous-traitant ultérieur. Cette chaîne impose de vérifier non seulement le contrat signé avec l’éditeur, mais aussi l’autorisation donnée à l’éditeur de recourir à cet hébergeur. Une entreprise qui déploie un tel outil sans cartographier ces intervenants s’expose à découvrir le transfert au moment d’un incident, quand il faut déjà notifier et réparer. Tenez un registre des traitements qui mentionne le pays destinataire, la base du transfert et les garanties, et désignez si nécessaire un délégué à la protection des données : ces documents sont les premiers que la CNIL demande lors d’un contrôle.
Pour un groupe international, ajoutez la vérification des règles d’entreprise contraignantes : demandez la référence de l’autorisation et le périmètre des entités couvertes. Pour un outil qui embarque de l’intelligence artificielle hébergée aux États-Unis, interrogez en outre le sort des invites et des documents téléversés : servent-ils à entraîner un modèle, combien de temps sont-ils conservés, et le transfert couvre-t-il aussi ces journaux ? Ces questions valent pour les assistants de rédaction, les correcteurs, les traducteurs et les modules d’analyse prédictive intégrés au logiciel.
Vérifiez aussi comment les personnes sont informées : la politique de confidentialité doit mentionner l’existence du transfert, le pays destinataire et les garanties, faute de quoi le défaut d’information constitue un manquement distinct qui renforce une plainte. Pour un employeur, les salariés doivent savoir que leurs données de paie ou de pointage partent aux États-Unis ; pour un commerçant en ligne, les clients doivent en être informés avant de commander. Un éditeur qui tait le transfert dans sa documentation grand public tout en le reconnaissant au support technique fragilise sa position en cas de contrôle. Notez aussi les catégories de données concernées : identité, coordonnées bancaires, données de santé ou données de salariés n’appellent pas la même vigilance, et la nature des données pèse dans l’appréciation d’une sanction comme dans celle du préjudice. Conservez chaque preuve : captures de la politique de confidentialité et de la page d’hébergement, contrat et avenants, échanges avec le support qui confirment la localisation des serveurs, factures. Ces pièces serviront pour la demande d’accès, la mise en demeure, la plainte devant la CNIL et l’action en réparation.
B. Les trois voies qui rendent un transfert vers les États-Unis licite
Le règlement européen ouvre trois voies, par ordre de priorité. La première est la décision d’adéquation de la Commission européenne, qui constate qu’un pays tiers assure un niveau de protection adéquat et dispense alors d’autorisation spécifique. Pour les États-Unis, cette décision existe depuis le 10 juillet 2023 : la décision d’exécution du 10 juillet 2023 constate le niveau de protection adéquat assuré au titre du cadre de protection des données UE-États-Unis, dit Data Privacy Framework. Mais cette voie a des limites strictes : elle ne couvre que les organismes américains effectivement certifiés au cadre, pour les finalités entrant dans le périmètre de leur certification, et elle n’a aucun effet rétroactif. Le Conseil d’État l’a jugé clairement : « les transferts vers les Etats-Unis intervenus entre l’invalidation, par la Cour de justice de l’Union européenne, de la précédente décision d’adéquation et l’intervention de la nouvelle décision d’adéquation du 10 juillet 2023 devaient, à peine d’illégalité, faire l’objet d’un autre encadrement juridique » (Conseil d’État, 31 décembre 2025, n° 494474). Vérifiez donc si l’éditeur ou son hébergeur figure sur la liste des organismes certifiés, pour quelles finalités, et depuis quelle date : un transfert antérieur au 10 juillet 2023 ou hors certification doit reposer sur une autre base. L’histoire récente explique cette exigence : la Cour de justice de l’Union européenne a invalidé le 16 juillet 2020 le bouclier de protection des données qui encadrait jusque-là les transferts vers les États-Unis, l’arrêt dit Schrems II, et la CNIL en retrace les conséquences pour les organismes. Entre cette invalidation et la décision d’adéquation du 10 juillet 2023, aucun transfert vers les États-Unis n’a pu reposer sur une adéquation.
La deuxième voie est celle des garanties appropriées, qui permettent le transfert en l’absence de décision d’adéquation à condition que les personnes concernées disposent de droits opposables et de voies de droit effectives. En pratique, ces garanties prennent le plus souvent la forme des clauses contractuelles types adoptées par la Commission européenne, complétées si nécessaire par des mesures techniques et organisationnelles tenant compte du droit américain d’accès des autorités publiques aux données. La CNIL présente ces clauses contractuelles types et leur mise à jour. Exigez la copie des clauses signées avec l’importateur américain et la description des mesures complémentaires : un éditeur qui refuse de les produire ne vous permet pas de vérifier la licéité du transfert. Les groupes internationaux disposent en outre des règles d’entreprise contraignantes, qui définissent la politique du groupe pour les transferts et offrent une protection adéquate aux données transférées, après approbation des autorités.
La troisième voie, résiduelle, est celle des dérogations prévues pour des situations particulières, dont le consentement explicite de la personne après information sur les risques liés à l’absence de décision d’adéquation et de garanties appropriées. Une simple case pré-cochée dans des conditions générales ne satisfait pas cette exigence : le consentement doit être explicite et éclairé sur les risques. Les autres dérogations, exécution d’un contrat, motifs importants d’intérêt public, constatation ou défense de droits en justice, s’interprètent strictement et ne couvrent pas un hébergement courant et massif de données de clients. Retenez la hiérarchie : vérifiez d’abord la certification au cadre et son périmètre, puis les clauses types et les mesures techniques réellement déployées, et ne recourez aux dérogations que pour des situations particulières et documentées.
Pour les transferts qui subsistent hors adéquation, la CNIL a publié un guide d’analyse d’impact des transferts qui aide les organismes à évaluer le droit du pays destinataire et l’efficacité des mesures complémentaires : un éditeur sérieux doit pouvoir montrer une telle analyse pour son hébergement américain. Demandez-en la communication ou, à défaut, la synthèse des conclusions, car elle révèle si le transfert a été pensé ou subi. Son absence, combinée à l’absence de clauses et de certification, dessine un faisceau d’indices que la CNIL sait lire. En cas de contrôle, cette analyse compte parmi les premières pièces réclamées pour apprécier la diligence du responsable du traitement et de son sous-traitant.
Anticipez aussi le cas où l’éditeur répond qu’il ne fait que mettre à disposition un outil dont vous paramétrez vous-même l’hébergement. Cette objection ne suffit pas à écarter sa responsabilité : s’il a choisi l’infrastructure, imposé le sous-traitant américain ou verrouillé techniquement toute alternative d’hébergement dans l’Union, il détermine les moyens du traitement et assume les obligations qui en découlent. Examinez donc qui a réellement décidé du lieu d’hébergement, qui peut le modifier et qui détient les clés de chiffrement. Un chiffrement dont l’éditeur ou l’hébergeur détient seul la clé ne protège pas contre leurs propres accès. À l’inverse, un chiffrement de bout en bout dont vous seul détenez la clé change l’analyse du risque, sans pour autant dispenser d’encadrer juridiquement le transfert.
II. Vérifier l’encadrement, exiger des comptes, saisir la CNIL et obtenir réparation
Une fois le transfert identifié et sa base supposée connue, passez à l’action dans un ordre utile : exercer vos droits auprès de l’éditeur, exiger la régularisation contractuelle, puis saisir l’autorité et le juge si rien ne bouge.
A. Exercer vos droits et exiger la régularisation du transfert
Commencez par une demande d’accès : chacun peut vérifier les données qu’un organisme détient sur lui, obtenir la confirmation du transfert et la copie des informations sur les garanties. La CNIL détaille ces droits d’accès, de rectification, d’opposition et d’effacement. Interrogez ensuite l’éditeur par écrit : l’organisme américain destinataire est-il certifié au cadre de protection des données UE-États-Unis et pour quelles finalités, quelles clauses types ont été signées et à quelle date, quelles mesures complémentaires protègent les données contre les accès des autorités américaines, et quels sous-traitants ultérieurs interviennent. Si vous êtes client professionnel, demandez l’avenant au contrat de sous-traitance qui encadre ce transfert, avec la liste des sous-traitants ultérieurs et votre droit d’objection.
En cas de réponse insuffisante ou de refus, adressez une mise en demeure de régulariser : produire les garanties, limiter le transfert au périmètre couvert par la certification ou les clauses, et mettre à jour l’information des personnes. Le Conseil d’État valide cette grille de vérification : le responsable vérifie « que les organismes destinataires des données figurent sur la liste des organismes certifiés par les autorités américaines, que les finalités pour lesquelles les transferts de données ont lieu entrent dans le périmètre de la certification octroyée et que sa politique de confidentialité a été mise à jour », et « si des données à caractère personnel avaient été transférées illégalement à des tiers, il lui appartenait de leur demander d’effacer ces données » (Conseil d’État, 31 décembre 2025, n° 494474). Parallèlement, exercez les droits qui coupent court au transfert illicite : demandez l’effacement des données traitées illicitement, opposez-vous au traitement fondé sur l’intérêt légitime et exigez la restitution de vos données dans un format exploitable avant toute résiliation, puis la confirmation écrite de la suppression chez l’éditeur et son hébergeur.
Structurez la mise en demeure autour de demandes précises et d’un délai de réponse raisonnable : communication des clauses types signées et de leur date, preuve de la certification de l’importateur américain et des finalités couvertes, description des mesures complémentaires, liste des sous-traitants ultérieurs, engagement de limiter le transfert au périmètre licite et de mettre à jour l’information des personnes. Si vous êtes client professionnel, préparez en parallèle la porte de sortie contractuelle : préavis, réversibilité, format de restitution, suppression attestée chez l’éditeur et ses sous-traitants, et sort des sauvegardes. Négociez l’avenant qui impose l’hébergement dans l’Union européenne ou, à défaut, l’encadrement complet du transfert, avec un droit d’audit et une obligation d’information en cas de demande d’accès d’une autorité étrangère. Un éditeur qui accepte ces clauses démontre des garanties suffisantes ; celui qui les refuse durablement vous fournit un motif sérieux de résiliation et une pièce pour la CNIL. Conservez chaque preuve avec sa date : exportez la politique de confidentialité en PDF, photographiez les pages qui mentionnent l’hébergeur avec l’adresse visible, archivez les courriels du support qui confirment les serveurs américains et gardez les accusés de réception de vos demandes. Un constat dressé par un commissaire de justice pour les pages volatiles renforce le dossier, notamment si l’éditeur modifie sa documentation après votre réclamation. Classez ces pièces par ordre chronologique : le juge et la CNIL apprécient les dossiers dont la chronologie est lisible, avec la découverte du transfert, les demandes amiables, puis la saisine. Chaque envoi se fait par un moyen qui prouve la date et le contenu, car ces échanges conditionnent la suite devant la CNIL et le juge.
Côté calendrier, ne laissez pas le dossier s’enliser : fixez à l’éditeur un délai de réponse écrit et, sans réponse utile, saisissez la CNIL sans attendre la fin d’un éventuel préavis contractuel, car la voie amiable et la voie administrative peuvent avancer en parallèle. Si l’éditeur régularise en cours de procédure, demandez-lui une attestation datée des mesures prises, utile pour solder le passé et borner le préjudice. Et si vous changez de prestataire, exigez que la migration s’accompagne de la suppression des copies chez l’ancien hébergeur, sauvegardes comprises, avec un procès-verbal de destruction.
B. Saisir la CNIL, contester et demander réparation devant le juge
Si l’éditeur ne régularise pas, toute personne concernée peut introduire une réclamation auprès de l’autorité de contrôle, en France la CNIL. Joignez à votre plainte le contrat, la politique de confidentialité, la preuve de la localisation américaine, vos demandes restées sans réponse et la description précise du transfert. Ce pouvoir de la CNIL découle des « dispositions combinées des articles 8 et 20 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés », qui chargent la Commission de procéder, « lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner » (Conseil d’État, 31 décembre 2025, n° 494474). La CNIL « dispose, en principe, d’un large pouvoir d’appréciation » pour décider des suites, et le juge ne censure son refus de donner suite qu’en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir (Conseil d’État, 31 décembre 2025, n° 494474). Et si la CNIL classe sans suite, tout n’est pas perdu : « L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite », le juge censurant notamment l’erreur de droit, l’erreur manifeste d’appréciation ou le détournement de pouvoir (Conseil d’État, 31 décembre 2025, n° 494474). Dans cette même décision, le Conseil d’État a validé une clôture après rappel à la loi, tout en exigeant que le responsable vérifie la certification des destinataires, le périmètre des finalités et la mise à jour de sa politique de confidentialité, et qu’il demande l’effacement des données illégalement transférées.
Sur le terrain indemnitaire, « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » (Cour de cassation, chambre sociale, 24 juin 2026, n° 24-22.792). La Cour de cassation précise les conditions : « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation », et « la personne demandant réparation au titre de cette disposition est tenue d’établir non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral » (Cour de cassation, chambre sociale, 24 juin 2026, n° 24-22.792). La Cour de cassation casse ainsi les décisions qui déduisent le préjudice de la seule violation : « En statuant ainsi, alors que la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation », sans vérifier que la violation avait causé un dommage, la cour d’appel avait violé l’article 82 du règlement (Cour de cassation, chambre sociale, 24 juin 2026, n° 24-22.792). Documentez donc un préjudice concret : démarches, temps passé, exposition de données sensibles, prospection subie, refus d’effacement, préjudice moral caractérisé par des éléments précis. Préparez aussi le chiffrage : factures d’un prestataire de migration vers une solution hébergée dans l’Union, temps passé par vos équipes, relances clients provoquées par l’exposition de leurs données. Une demande chiffrée et pièces à l’appui reste la condition de l’indemnisation.
Restez mesuré dans vos écrits : décrivez des faits datés et des documents, évitez les qualifications péremptoires sur la culpabilité de l’éditeur et laissez au juge le soin de trancher. Un dossier factuel et chiffré inspire davantage confiance qu’un réquisitoire, devant la CNIL comme devant le tribunal. Enfin, conservez la décision de la CNIL ou sa réponse à votre plainte : même une clôture après rappel à la loi établit que l’autorité a exigé la régularisation, ce qui pèse devant le juge saisi de la réparation.
Conclusion
Un logiciel hébergé aux États-Unis n’est pas en soi interdit, mais chaque transfert de vos données vers ce pays doit reposer sur une base vérifiable : organisme certifié au cadre de protection des données UE-États-Unis pour les finalités concernées, clauses contractuelles types assorties de mesures complémentaires, ou dérogation strictement applicable. Vérifiez la certification et les clauses, exigez l’avenant et les preuves, demandez l’accès, la restitution puis l’effacement, et saisissez la CNIL avec un dossier complet si l’éditeur ne régularise pas. Le juge, lui, répare le préjudice démontré, sans jamais déduire l’indemnisation de la seule violation. En pratique, les contrats signés avec l’éditeur et son hébergeur priment sur toute affirmation générale : c’est à partir de ces documents, lus à la lumière des exigences du règlement européen rappelées par le Conseil d’État et la Cour de cassation, que se joue l’essentiel du dossier. Commencez dès aujourd’hui par trois gestes : lisez la clause d’hébergement de votre contrat, demandez par écrit la preuve de la certification ou des clauses types, et consignez les réponses. Un transfert bien encadré se prouve en quelques documents ; un transfert fragile se reconnaît à l’absence de réponse. Entre les deux, la CNIL et le juge tranchent au vu des pièces, et les pièces se constituent maintenant.