Décision d’adéquation
Une décision d’adéquation est une décision de la Commission européenne reconnaissant qu’un pays, un territoire ou un cadre hors de l’UE assure un niveau de protection des données essentiellement équivalent, de sorte que les données personnelles peuvent y circuler sans garanties supplémentaires.L’article 45 du RGPD permet à la Commission de décider qu’un pays tiers assure un niveau de protection adéquat, après avoir évalué son État de droit, ses règles de protection des données, son contrôle et les voies de recours offertes aux Européens. Les transferts vers une destination adéquate n’exigent ni clauses contractuelles types ni analyse d’impact du transfert. Les décisions sont réexaminées périodiquement et peuvent être suspendues ou annulées ; la Cour de justice de l’Union européenne a invalidé deux cadres américains, le Safe Harbor en 2015 et le Privacy Shield en 2020.
La Commission reconnaît actuellement Andorre, l’Argentine, le Canada (pour les organisations commerciales), les îles Féroé, Guernesey, l’île de Man, Israël, le Japon, Jersey, la Nouvelle-Zélande, la Corée du Sud, la Suisse, le Royaume-Uni, l’Uruguay, et les États-Unis pour les entreprises certifiées dans le cadre du Data Privacy Framework UE-États-Unis (décision du 10 juillet 2023). Les deux décisions relatives au Royaume-Uni, adoptées en 2021, ont été renouvelées le 19 décembre 2025 pour six ans, jusqu’au 27 décembre 2031, après l’évaluation du Data (Use and Access) Act 2025. Le Royaume-Uni reconnaît à son tour l’EEE et la même liste de pays selon ses propres règles, et la Suisse tient une liste comparable.
Pour un site web, l’adéquation décide des formalités qu’exige un fournisseur : un prestataire américain de mesure d’audience ou de publicité certifié dans le cadre du Data Privacy Framework peut être utilisé sur la base de l’adéquation, alors qu’un prestataire non certifié a besoin des clauses. Voir la page UK GDPR et PECR pour le côté britannique.