- RGPD Chapitre V: les transferts de données à caractère personnel vers des pays tiers sont limités à moins qu'un mécanisme de transfert valide ne soit en place
- Trois principaux mécanismes : décision en matière d'adéquation, clauses contractuelles types (CCN), règles d'entreprise contraignantes (RCO)
- Utiliser un outil SaaS américain qui traite les données personnelles de l'UE implique probablement un transfert — vérifiez votre DPA
- Le Cadre de confidentialité des données UE-États-Unis (DPF) fournit un nouveau mécanisme d'adéquation pour les entreprises américaines certifiées en vertu de ce cadre
Un transfert transfrontalier de données se produit chaque fois que des données à caractère personnel sont envoyées à un pays en dehors de l'Espace économique européen (EEE) ou qu'elles y sont accessibles. Cela comprend l'envoi d'un fichier client à un collègue américain, en utilisant le stockage en nuage hébergé aux États-Unis, ou en donnant à une équipe de support non-EEE accès à votre CRM. La restriction ne concerne pas les frontières en soi — elle vise à assurer la protection du RGPD qui fournit les données aux voyageurs.
Voie d'achat HubSecure connexe
Conformité CRM guide conformité CRM pour les entreprises en croissance CRM module HubSpot comparaison conformité CRM guide Guide Bibliothèque réserver une démo workflow
Ressources connexes en matière de sécurité, de protection de la vie privée et de gouvernance
Continuer avec HubSecure centre de sécurité et de confiance , accord de traitement de données , sous-processeurs , flux de travail de conformité , opérateur AI régi .
Cas d'utilisation connexe
Ce guide appartient au cluster Workspace Alternatives and Tool Consolidation Guides. Continuer avec le moyeu produit pour les alternatives d'espace de travail et la consolidation des outils .
Pourquoi la restriction existe
Les restrictions de transfert du RGPD existent parce que tous les pays n'offrent pas des normes de protection des données équivalentes à celles de l'UE. Lorsque les données à caractère personnel quittent l'EEE, les droits de la personne concernée et les obligations du responsable du traitement doivent continuer à s'appliquer. Les mécanismes de transfert sont les outils juridiques qui rendent cela possible.
Décisions d'adéquation
Une décision d'adéquation est une décision de la Commission européenne selon laquelle un pays non EEE assure un niveau essentiellement équivalent de protection des données. Parmi les pays qui ont pris des décisions en matière d'adéquation, mentionnons le Royaume-Uni (après le Brexit), le Japon, la Nouvelle-Zélande, le Canada (organisations commerciales), la Suisse, la Corée du Sud et Israël. Les transferts vers des pays appropriés peuvent se faire sans garanties supplémentaires.
Le Cadre de protection des données UE-États-Unis (DPF), adopté en juillet 2023, prévoit un nouveau mécanisme d'adéquation pour les transferts aux entreprises américaines qui se sont auto-certifiées en vertu du DPF. Avant d'utiliser un fournisseur américain, vérifiez s'ils sont certifiés DPF sur le site Web du DPF américain.
Important: les décisions d'adéquation peuvent être invalidées par la Cour de justice de l'UE. Les décisions Schrems I et Schrems II ont invalidé les cadres Safe Harbor et Privacy Shield. Le DPF fait face à des défis juridiques permanents. Les organisations qui s'appuient uniquement sur le DPF devraient maintenir les CSC en recul dans leurs APM.
Clauses contractuelles types
Les CSC sont des clauses contractuelles types approuvées par la Commission européenne qui imposent aux parties au transfert des obligations équivalentes au RGPD. Il s'agit du mécanisme de transfert le plus utilisé pour les organisations sans décision adéquate. Les CSC de 2021 ont remplacé les anciennes clauses de 2010 et couvrent quatre scénarios de transfert :
- Contrôleur au contrôleur (p. ex., partage de données client avec une entreprise partenaire aux États-Unis)
- Contrôleur au processeur (par exemple, en utilisant un service cloud américain pour stocker les données des clients de l'UE)
- Processeur au processeur (p. ex., votre processeur faisant appel à un sous-processeur américain)
- Processeur au contrôleur (p. ex. un processeur qui retourne les données au contrôleur)
Les CSC doivent être incorporés au contrat sous-jacent sans modification des clauses de base. Vous devez également effectuer une évaluation d'impact du transfert (EAI) pour déterminer si les protections juridiques dans le pays de destination nuisent à l'efficacité des CSC.
Règles d'entreprise contraignantes (RCO)
Les BCR sont des politiques internes de protection des données approuvées par une autorité de surveillance de l'UE qui permettent aux groupes multinationaux de transférer des données à caractère personnel au sein du groupe à des entités non EEE. Les BCR sont longs et coûteux à obtenir et sont principalement utilisés par les grandes multinationales. Pour la plupart des PME, les CSC sont plus pratiques.
Mesures pratiques pour les entreprises réglementées
- Auditer votre pile technologique — identifier chaque fournisseur qui traite ou pourrait accéder aux données personnelles de l'UE, et où sont ses serveurs
- Vérifier les DPD — Le DPA du fournisseur comprend-il les CSC ou la certification DPF de référence?
- Conduire des AIT — pour les transferts vers les États-Unis et d'autres pays avec des lois générales sur l'accès du gouvernement
- Documenter tout — votre RPA doit enregistrer tous les transferts et les garanties en place
- Préférez que les fournisseurs d'origine singapourienne - lorsqu'il existe des produits équivalents, les services d'origine singapourienne éliminent la question du transfert
Est-ce que l'accès à distance par des employés non-EEE compte comme un transfert?
Oui. Si un employé non EEE peut accéder à distance aux données personnelles détenues dans l'EEE, c'est un transfert même si les données elles-mêmes ne quittent pas physiquement l'EEE. Les mêmes mécanismes de transfert s'appliquent.
Qu'est-ce qu'une évaluation d'impact de transfert?
Un AIT évalue si la loi et la pratique du pays bénéficiaire empêchent les CSC de fonctionner efficacement, par exemple si les services de renseignement du pays disposent de larges pouvoirs d'accès aux données. Si l'AIT identifie des problèmes, vous devez mettre en œuvre des mesures supplémentaires (cryptage supplémentaire, minimisation des données, protections contractuelles) ou arrêter le transfert.
Construit pour la conformité au RGPD dès le premier jour
HubSecure est actuellement hébergé par Singapour avec l'arrivée de l'infrastructure de l'UE (Francfort) Q3 2026. Chaque DPA comprend des CSC de l'UE et un résumé de l'analyse d'impact du transfert. Nous sommes transparents sur notre structure — HubSecure Holding LLC, Wyoming — et de donner aux clients les contrats dont ils ont besoin pour rester conformes aujourd'hui.
Voir notre page de sécuritéSources officielles et lectures complémentaires
Utiliser ces sources publiques pour vérifier le contexte réglementaire et la terminologie. HubSecure contenu est l'orientation des produits, pas des conseils juridiques.
Notes de crédibilité
Ce guide est rédigé pour l'évaluation des produits et des opérations, et non comme un avis juridique. Pour les obligations de conformité, confirmer les exigences auprès d'un avocat qualifié ou de l'organisme de réglementation pertinent.
Related HubSecure références: Sécurité · DPA · Sous-processeurs · Glossaire AML/KYC · Glossaire RBAC
Examen des équipes réglementées
Préparé par l'équipe de rédaction HubSecure à l'intention des exploitants, des responsables de la conformité et des examinateurs de TI qui évaluent les logiciels d'exploitation sécurisés des clients.
Auteurs · évaluateurs · Politique éditoriale