Transferts internationaux selon le RGPD : TIA, CCT, Schrems II et mesures supplémentaires

Le transfert de données à caractère personnel en dehors de l'Espace économique européen en vertu du RGPD n'est pas un processus de contrat mécanique qui est complété uniquement par la signature d'un document de clauses contractuelles standard (SCC). En particulier, après Schrems II, l'exportateur de données et l'importateur de données doivent évaluer les lois et pratiques du pays tiers où le transfert aura lieu dans le cadre du flux de données réel.

En pratique, cette évaluation est généralement appelée Transfer Impact Assessment (TIA) ou Data Transfer Impact Assessment.

Qu'est-ce que TIA?

Une TIA documente si le mécanisme choisi pour un transfert international de données personnelles peut assurer une protection adéquate dans les conditions réelles et définit, si nécessaire, des mesures supplémentaires.

Le RGPD ne prévoit pas de formulaire type distinct nommé « TIA ». Toutefois, les CCT actuelles de la Commission européenne comprennent la clause 14, qui exige des parties qu’elles évaluent les lois et pratiques pertinentes du pays tiers.

Pourquoi Schrems II est-il important?

L’arrêt Schrems II, C-311/18, de la Cour de justice de l’Union européenne a établi que les exportateurs ne peuvent pas se fier uniquement au texte du mécanisme de transfert ; ils doivent aussi considérer la protection réellement assurée dans le pays tiers.

Qu’exige la clause 14 des CCT ?

En vertu de la clause 14 du SCC de la décision de mise en œuvre 2021/914 de la Commission, les parties évaluent qu'il n'existe aucune législation ou pratique qui empêche l'importateur de données du pays tiers de se conformer aux obligations du SCC.

L’évaluation peut notamment prendre en compte :

Les conditions concrètes du transfert,
longueur de la chaîne de traitement,
les catégories de données,
nature du destinataire,
finalité du traitement,
emplacement de stockage,
le droit et les pratiques des pays tiers,
Mesures techniques, contractuelles et organisationnelles supplémentaires

Ces facteurs sont à examiner dans leur contexte.

Étape 1 : cartographier les flux de données

La première question n'est pas de savoir à quel pays envoyons-nous des données ?

Il faut d’abord déterminer :

quelles données personnelles sont transférées,
depuis quel système,
à quel destinataire,
à quelle fin,
par quels sous-traitants ultérieurs.

Ces éléments doivent être connus.

Étape 2 : déterminer le mécanisme de transfert

Selon le chapitre V du RGPD, un transfert peut reposer sur :

une décision d’adéquation,
un mécanisme de garanties appropriées,
SCC,
des règles d’entreprise contraignantes,

ou un autre mécanisme juridique applicable à la situation concrète.

Étape 3 : Évaluer le droit des pays tiers

Si le SCC est utilisé, il faut examiner si les lois et les pratiques dans le pays où l'importateur de données est situé empêchent le respect des dispositions contractuelles.

Les pouvoirs d’accès des autorités publiques aux données personnelles et les garanties contre ces pouvoirs sont particulièrement importants.

Étape 4 : Examiner les conditions concrètes de transfert

Le profil de risque de chaque transfert de données vers le même pays n'est pas le même.

Par exemple :

sauvegarde client chiffrée,
données des salariés en clair,
tickets d’assistance client,
données de prompts envoyées à une API d’IA

peuvent nécessiter des évaluations techniques et opérationnelles différentes.

Étape 5 : Mesures supplémentaires

Les recommandations de l'EDPB 01/2020 sont une référence importante à l'évaluation des mesures complémentaires, le cas échéant.

Mesures techniques

Chiffrement fort,
Contrôle séparé des clés,
pseudonymisation,
minimisation des données.

Mesures contractuelles

la notification des demandes d'autorité publique,
des obligations de transparence,
contrôle des sous-traitants ultérieurs.

Mesures organisationnelles

les procédures d'accès,
réponse aux incidents,
vérification,
autorisation du personnel.

Le chiffrement résout-il tous les problèmes ?

Non. L’efficacité du chiffrement dépend de qui détient la clé et de la nécessité de déchiffrer les données pendant le traitement.

Si le fournisseur cloud doit traiter les données en clair, le chiffrement du disque seul peut ne pas réduire suffisamment le risque.

Transferts liés à l’IA et aux SaaS

Lors de l’utilisation d’API d’IA, de CRM, d’outils analytiques ou d’autres plateformes SaaS, il faut aussi vérifier :

Pays où les données sont traitées,
la liste des sous-traitants ultérieurs,
la conservation des données,
l’utilisation des données pour entraîner les modèles,
les habilitations d’accès.

Ces vérifications sont également nécessaires.

Une TIA n’est pas un document établi une fois pour toutes

L'évaluation devrait être réexaminée lorsque la structure du transfert ou les conditions des pays tiers changent.

Une réévaluation peut par exemple être nécessaire après :

l’ajout d’un sous-traitant ultérieur,
changement de catégorie de données,
le passage à un nouveau pays,
Changement significatif du régime juridique

Ces changements peuvent déclencher une réévaluation.

Liste de contrôle TIA

Le flux de données a-t-il été cartographié ?
Le mécanisme de transfert est-il clair ?
Le module SCC est-il correctement sélectionné ?
L’évaluation prévue par la clause 14 a-t-elle été réalisée ?
Le droit et la pratique des pays tiers ont-ils été étudiés?
La chaîne du sous-processeur est-elle connue ?
La nécessité de mesures supplémentaires a-t-elle été évaluée?
A-t-on confirmé que les mesures techniques sont réellement efficaces?
L'évaluation a-t-elle été enregistrée par écrit?
Une réévaluation périodique est-elle prévue?

L'approche B10

B10 Digital Agency évalue le mécanisme juridique avec les flux techniques réels lors des transferts internationaux. Un inventaire technique indique quelles données les systèmes SaaS, cloud, API et IA transmettent à quels pays.

Cadre de référence officiel

Ce guide a été actualisé en tenant compte du chapitre V du RGPD, de la clause 14 des CCT de la décision d’exécution (UE) 2021/914 de la Commission et de la version finale des recommandations EDPB 01/2020.

Conclusion

L'objectif de l'TIA n'est pas de mettre un formulaire dans le fichier, mais de montrer si le mécanisme de transfert utilisé fournit une protection adéquate dans le flux de données réel. Le SCC, l'analyse par pays et les mesures techniques devraient être abordés dans le cadre de la même évaluation.

Ce contenu est à titre d'information générale seulement.