Votre entreprise utilise un logiciel de paie, de gestion client ou de messagerie hébergé aux États-Unis, ou votre employeur confie vos données à un prestataire dont les serveurs se trouvent hors d’Europe. Vos bulletins de paie, vos messages ou votre dossier client quittent alors l’Espace économique européen. La question se pose aussitôt : ce départ est-il autorisé, à quelles conditions, et que faire s’il ne l’est pas ? Depuis l’arrêt Schrems II de la Cour de justice de l’Union européenne, qui a privé d’effet le bouclier de protection avec les États-Unis, et depuis la décision d’adéquation de 2023 qui a mis en place un nouveau cadre pour les organismes américains certifiés, les règles applicables aux transferts vers les États-Unis se sont empilées sans toujours se simplifier. Cet article expose ces règles à partir des textes officiels et des décisions lues en intégralité, puis décrit les vérifications utiles côté entreprise et les recours ouverts à la personne dont les données voyagent : information, accès, plainte devant la Commission nationale de l’informatique et des libertés, action devant le juge et réparation.
I. Repérer le transfert et vérifier la base qui l’autorise
A. Le transfert commence souvent sans que personne ne le voie
Le règlement européen ne définit pas lui-même le transfert vers un pays tiers, mais le Comité européen de la protection des données retient trois critères cumulatifs : un responsable ou un sous-traitant soumis au règlement communique des données à une autre organisation, et cette organisation se trouve hors de l’Espace économique européen. Le guide du Comité consacré aux transferts internationaux illustre le cas de la petite entreprise qui partage des données avec des partenaires ou des fournisseurs établis hors d’Europe. Concrètement, il y a transfert dès qu’une société française stocke les données de ses clients sur un cloud américain, dès qu’un éditeur de logiciel de recrutement traite les candidatures sur des serveurs situés aux États-Unis, ou dès qu’un sous-traitant européen fait appel à son tour à un prestataire établi hors d’Europe. Le simple accès distant depuis un pays tiers à une base restée en Europe peut lui aussi constituer un transfert, car le critère tient à la mise à disposition, pas au déplacement physique des serveurs.
Le principe posé par le chapitre du règlement consacré aux transferts est strict : aucun envoi vers un pays tiers ne peut avoir lieu si les conditions de ce chapitre ne sont pas respectées par le responsable et le sous-traitant, et l’ensemble s’applique de façon à ne pas compromettre le niveau de protection garanti. Le respect des autres règles ne suffit donc pas : base juridique du traitement, sécurité et minimisation restent exigées, et les conditions de transfert s’y ajoutent. Le Comité européen le rappelle aux petites structures, qui doivent disposer d’une base juridique appropriée, mettre en œuvre les mesures de sécurité nécessaires et limiter les données à ce qui est nécessaire, comme l’explique le même guide. Si le destinataire agit comme sous-traitant, un contrat reste obligatoire comme pour un sous-traitant situé dans l’Espace économique européen.
La transparence accompagne cette exigence : lorsque les données sont collectées auprès de la personne, le responsable doit l’informer de son intention de transférer les données hors d’Europe et de l’existence ou non d’une décision d’adéquation. Une politique de confidentialité qui tait l’hébergement américain de l’outil de gestion, alors que les données des clients y sont envoyées, manque à cette obligation d’information. C’est souvent par cette lecture attentive des mentions d’information, des conditions générales du prestataire et de la documentation technique que la personne concernée découvre le voyage de ses données, avant d’exercer ses droits.
B. Trois voies seulement : adéquation, garanties appropriées ou dérogation
La première voie est la décision d’adéquation : quand la Commission constate qu’un pays assure un niveau de protection adéquat, le transfert vers ce pays ne nécessite aucune autorisation spécifique et devient comparable à un transfert interne à l’Espace économique européen, même si les autres principes du règlement continuent de s’appliquer. Le guide européen recense les pays déclarés adéquats : Andorre, Argentine, Canada pour les organisations commerciales, îles Féroé, Guernesey, Israël, île de Man, Japon, Jersey, Nouvelle-Zélande, République de Corée, Suisse, Royaume-Uni, Uruguay, et les États-Unis pour les organisations commerciales participant au cadre UE-États-Unis. Pour les États-Unis, la décision d’exécution 2023/1795 du 10 juillet 2023 sur le cadre de protection des données UE–États-Unis limite l’adéquation aux transferts vers les organismes américains inscrits sur la liste tenue par le ministère américain du commerce. Vérifier l’inscription effective du prestataire sur cette liste constitue la première diligence avant de se prévaloir du cadre. La décision organise en outre un suivi permanent par la Commission, notamment sur les transferts ultérieurs, l’exercice des droits individuels et l’accès des autorités publiques américaines aux données transférées, pour déterminer si le niveau adéquat perdure.
La deuxième voie, la plus pratiquée par les entreprises françaises qui recourent à des outils américains non certifiés, repose sur les garanties appropriées. Sans décision d’adéquation, le transfert n’est possible que si l’exportateur a prévu de telles garanties et si les personnes disposent de droits opposables et de voies de droit effectives. Ces garanties peuvent prendre plusieurs formes sans autorisation particulière de l’autorité de contrôle : règles d’entreprise contraignantes, codes de conduite assortis d’engagements contraignants, et surtout les clauses types adoptées par la Commission. Les modèles ont été modernisés par la Commission européenne le 4 juin 2021, comme le rappelle la page de la Commission consacrée aux clauses types, et passé le 27 décembre 2022 les anciennes clauses ne peuvent plus être utilisées. Les nouvelles clauses combinent des stipulations générales et une approche par module selon les rôles réels des parties : transferts entre responsables, entre responsable et sous-traitant, entre sous-traitants, ou d’un sous-traitant vers un responsable, comme le détaille la même page. Le choix du module dépend des rôles réels dans le traitement, pas de l’intitulé commercial : un éditeur de logiciel qui définit lui-même les finalités de l’analyse des données de votre clientèle agit comme responsable, même si le contrat le qualifie de prestataire technique. Les clauses doivent être reprises sans autre modification que le choix du module et la complétude des annexes décrivant les traitements, et peuvent être insérées dans un contrat plus large comportant des garanties supplémentaires compatibles avec elles.
Signer ces clauses ne clôt pas l’examen. Depuis l’arrêt Schrems II du 16 juillet 2020, dont le dossier peut être consulté sur le site de la Cour de justice, l’exportateur doit évaluer si le droit du pays de destination permet en pratique de respecter les engagements souscrits : la Commission rappelle que les nouvelles clauses intègrent cette jurisprudence et imposent à l’exportateur de tenir compte de la législation applicable à l’importateur pour déterminer si les clauses pourront produire tous leurs effets, selon sa page dédiée. La Cour exige un niveau de protection substantiellement équivalent à celui garanti dans l’Union, en tenant compte à la fois des stipulations contractuelles et du système juridique du pays tiers, notamment l’accès de ses autorités publiques aux données. Quand ce niveau ne peut pas être atteint par les clauses seules, des mesures supplémentaires s’imposent, par exemple un chiffrement dont seul l’exportateur détient les clés ou une pseudonymisation robuste, et si aucune mesure ne restaure ce niveau, le transfert doit être suspendu ou réorganisé, par exemple par un hébergement européen. Rappelons que la Cour avait déclaré invalide la décision sur le bouclier de protection avec les États-Unis : les transferts vers ce pays opérés entre cette invalidation et la décision d’adéquation de 2023 ne pouvaient donc reposer ni sur l’adéquation ni sur le bouclier, mais seulement sur des garanties appropriées complétées si nécessaire, ou sur une dérogation.
La troisième voie regroupe les dérogations pour des situations particulières, utilisables seulement en l’absence d’adéquation et de garanties appropriées. Chaque transfert dérogatoire suppose l’une des conditions prévues par le texte, parmi lesquelles le consentement explicite de la personne après information sur les risques liés à l’absence d’adéquation et de garanties, la nécessité d’exécuter un contrat avec elle ou des mesures précontractuelles prises à sa demande, la sauvegarde de ses intérêts vitaux, ou encore la nécessité de constater, exercer ou défendre des droits en justice. Le consentement recueilli pour le traitement en général ne vaut pas consentement au transfert : l’information doit porter précisément sur les risques propres à l’envoi hors d’Europe. Ces dérogations se prêtent aux transferts occasionnels et justifiés, non à des flux massifs et répétés comme la synchronisation permanente d’une base clients vers un serveur américain.
II. Mettre l’entreprise en conformité et exercer les recours de la personne
A. Les diligences attendues de l’entreprise qui envoie des données hors d’Europe
L’entreprise commence par cartographier ses flux : quels traitements quittent l’Espace économique européen, vers quels pays, vers quels destinataires et pour quelles finalités. Le registre des activités de traitement, les contrats de sous-traitance et la documentation des outils (hébergeur, éditeur, modules complémentaires) fournissent cette carte. Lorsqu’un traitement est confié à un sous-traitant, le contrat doit définir l’objet et la durée, la nature et la finalité, les types de données et les catégories de personnes concernées, ainsi que les droits et obligations du responsable. Si le sous-traitant recrute à son tour un autre sous-traitant établi hors d’Europe, il lui faut l’autorisation écrite préalable du responsable, spécifique ou générale, et en cas d’autorisation générale le responsable doit être informé de tout changement prévu pour pouvoir s’y opposer. La chaîne de sous-traitance américaine en cascade, fréquente dans les offres cloud, se contrôle à cet endroit précis : exiger la liste des sous-traitants ultérieurs, leur localisation et le module de clauses applicable à chaque maillon.
Vient ensuite le choix de la base de transfert pour chaque flux. Si le destinataire américain figure sur la liste du cadre de protection des données, l’adéquation de 2023 suffit, sous réserve de vérifier périodiquement le maintien de la certification, car une radiation fait retomber le flux sur les autres voies. Sinon, l’entreprise conclut les clauses types de 2021 dans le module correspondant aux rôles réels, complète les annexes décrivant les traitements, puis conduit l’évaluation du droit du pays importateur : accès des autorités publiques aux données, voies de recours ouvertes aux personnes européennes, effectivité pratique des engagements. Lorsque cette analyse révèle un risque que les clauses seules ne couvrent pas, des mesures supplémentaires techniques ou organisationnelles s’imposent, et si aucune mesure ne restaure un niveau substantiellement équivalent, le transfert doit être suspendu ou réorganisé, par exemple par un hébergement européen ou un chiffrement avec clés conservées en Europe. Les anciennes clauses ne peuvent plus servir depuis le 27 décembre 2022, de sorte qu’un contrat signé avant cette date et jamais mis à jour constitue une non-conformité directement constatable.
La découverte d’un transfert sans base appelle une réaction graduée et documentée. Côté interne, l’entreprise met en demeure le prestataire de justifier la base du flux, exige la localisation exacte des traitements, suspend les nouveaux envois le temps de régulariser et, si le contrat le permet, résilie ou change de solution. Côté réglementaire, une violation de données liée à ce flux doit être notifiée à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures après sa découverte, tandis que le sous-traitant alerte le responsable dans les meilleurs délais et que la personne concernée est informée directement en cas de risque élevé pour ses droits. Un accès des autorités d’un pays tiers aux données transférées, lorsqu’il excède ce que le droit de l’Union admet, peut caractériser une telle violation et déclencher ces notifications. Chaque étape gagne à être horodatée et conservée : registre mis à jour, analyse du droit étranger, clauses signées avec leurs annexes, échanges avec le prestataire. En cas de contrôle, ces pièces démontrent une démarche de conformité ; en cas de litige avec le prestataire, elles fondent la mise en cause de sa responsabilité contractuelle. Le président de la Commission dispose d’ailleurs d’un pouvoir d’avertissement en amont : « Le président de la Commission nationale de l’informatique et des libertés peut avertir un responsable de traitement ou son sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi. » (article 20 de la loi Informatique et Libertés sur Légifrance)
B. Les armes de la personne dont les données sont parties sans base valable
La personne concernée dispose d’abord du droit de savoir et de comprendre. Elle peut interroger l’organisme sur l’existence d’un transfert, sa destination, sa base et les garanties, puis exercer son droit d’accès pour obtenir la copie de ses données et les informations sur leur circulation, comme l’expose le dossier consacré au droit d’accès et à la copie des données. La loi française renvoie ce droit aux conditions prévues par le texte européen, et le juge peut ordonner en référé des mesures contre tout risque de dissimulation. Une réponse évasive, un refus de préciser l’hébergeur ou l’invocation d’un bouclier de protection invalidé depuis 2020 orientent vers la réclamation. Toute personne qui estime qu’un traitement de ses données viole le règlement peut porter plainte devant l’autorité de contrôle de son pays de résidence, de son lieu de travail ou du lieu de la violation. Pour une personne résidant en France, cette autorité est la Commission nationale de l’informatique et des libertés, dont le siège est à Paris ; la démarche de plainte, de relance et de contestation devant la Commission suit les mêmes étapes qu’en matière de prospection ou de vidéosurveillance. L’autorité saisie informe l’auteur de la réclamation de l’état d’avancement et de l’issue, y compris de la possibilité d’un recours juridictionnel.
Les pouvoirs de l’autorité donnent à la plainte une portée concrète. Quand le responsable ne respecte pas ses obligations, le président de la Commission peut le mettre en demeure, notamment « De mettre les opérations de traitement en conformité avec les dispositions applicables » (article 20 de la loi Informatique et Libertés sur Légifrance), puis saisir la formation restreinte en vue de sanctions prononcées après procédure contradictoire. Parmi ces mesures figure « la suspension des flux de données adressées à un destinataire situé dans un pays tiers ou à une organisation internationale » (article 20 de la loi Informatique et Libertés sur Légifrance), à l’exception des traitements intéressant la sûreté de l’État ou la défense. L’injonction de mise en conformité peut en outre être assortie, hors traitements mis en œuvre par l’État, d’une astreinte dont le montant ne peut excéder cent mille euros par jour de retard. Et les manquements exposent à des amendes dont les plafonds reprennent ceux du règlement : « une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. » (article 20 de la loi Informatique et Libertés sur Légifrance) Les transferts illicites vers un pays tiers relèvent des cas les plus lourdement sanctionnés par le texte européen, dont la présentation par chapitres est consultable sur le site de la Commission. La sanction prononcée contre un acteur majeur du transport de personnes illustre l’échelle des risques : l’autorité néerlandaise, relayée par le Comité européen le 26 août 2024, a infligé une amende de 290 millions d’euros pour des transferts de données de chauffeurs vers les États-Unis opérés pendant plus de deux ans sans outil de transfert, les clauses types n’étant plus utilisées depuis août 2021, selon le communiqué du Comité européen. Les données visées comprenaient notamment des coordonnées de comptes, des licences, des données de localisation, des photographies, des pièces d’identité et parfois des données pénales ou de santé.
En France, le contentieux de l’hébergement de santé montre que le débat reste ouvert même après la décision d’adéquation de 2023. L’affaire jugée par le Conseil d’État le 25 juin 2025 concernait le groupement d’intérêt public chargé par la loi de recueillir les bases de données de santé afin d’en faciliter le partage, dont « la solution technique d’hébergement retenue par ce GIP […] est assurée par la filiale d’une société soumise au droit des Etats-Unis » (décision du Conseil d’État sur Légifrance). « Par un courrier du 19 novembre 2020, le ministre des solidarités et de la santé a affirmé partager l’objectif […] qu’une nouvelle solution technique soit adoptée dans un délai inférieur à deux ans, afin d’éviter tout risque que les données en cause fassent l’objet de demandes d’accès par les autorités des Etats-Unis » (décision du Conseil d’État sur Légifrance), puis, constatant l’absence de solution alternative, un courrier du 15 février 2023 a proposé que les demandes d’autorisation « ne portent pas sur l’hébergement de la totalité de la base principale du système national des données de santé […] mais soient formulées traitement par traitement » (décision du Conseil d’État sur Légifrance). Le Conseil d’État a jugé que ce second courrier ne révélait « l’existence d’aucune décision du ministre susceptible de faire l’objet d’un recours en excès de pouvoir » (décision du Conseil d’État sur Légifrance, même décision), car « le ministre n’a aucunement renoncé à l’adoption d’une nouvelle solution technique alternative » (décision du Conseil d’État sur Légifrance), et « La requête de la société Clever Cloud et autres est rejetée. » (décision du Conseil d’État sur Légifrance) L’enseignement procédural compte autant que le fond : contester un hébergement exposé au droit américain suppose d’identifier une décision précise faisant grief, faute de quoi le juge administratif rejette sans examiner le transfert lui-même.
La voie judiciaire complète ce dispositif. Toute personne qui estime que ses droits ont été violés par un traitement contraire au règlement dispose d’un recours effectif devant le juge, et l’action peut être portée devant les juridictions de l’État membre de sa résidence habituelle, ce qui ouvre le tribunal judiciaire de Paris à la personne domiciliée à Paris ou en Île-de-France. Le responsable comme le sous-traitant répondent du dommage causé par un traitement contraire au règlement, le sous-traitant seulement s’il a méconnu ses obligations propres ou agi hors des instructions licites, et chacun peut s’exonérer en prouvant que le fait dommageable ne lui est nullement imputable. Le préjudice réparable après un transfert illicite se prouve par pièces : démarches engagées, perte de chance liée à l’exposition des données, anxiété documentée par un suivi, ou conséquences d’un accès indésirable.
Conclusion
Un transfert de données vers les États-Unis n’est ni libre ni interdit par principe : il est conditionné. Hors organismes américains inscrits sur la liste du cadre de protection des données, il exige des garanties appropriées, en pratique les clauses types de 2021 dans le bon module, complétées par une évaluation honnête du droit du pays importateur et, si nécessaire, par des mesures supplémentaires qui en garantissent l’effectivité. Les anciennes clauses ne protègent plus depuis le 27 décembre 2022 et le bouclier de protection n’existe plus depuis l’arrêt Schrems II. L’entreprise qui cartographie ses flux, contractualise sa chaîne de sous-traitance, choisit la base adaptée et conserve ses preuves se met en état de répondre à un contrôle comme à une mise en demeure d’un client. La personne dont les données voyagent sans base valable n’est pas démunie : demande d’information et d’accès, réclamation devant la Commission qui peut suspendre les flux vers le pays tiers, et action en réparation devant le juge de sa résidence forment une chaîne complète, dont chaque maillon se prépare par écrit et se prouve par pièces.