Transfert international de données
Un transfert international de données est l’envoi de données personnelles, ou leur mise à disposition, depuis l’EEE vers un pays ou une organisation situés en dehors, ce que le RGPD n’autorise qu’avec une décision d’adéquation, des garanties appropriées ou une dérogation étroite.Le chapitre V du RGPD, articles 44 à 49, encadre ces transferts. L’article 44 pose le principe selon lequel le niveau de protection ne doit pas être compromis, y compris pour les transferts ultérieurs. L’article 45 autorise les transferts vers les pays couverts par une décision d’adéquation. L’article 46 les autorise moyennant des garanties appropriées, principalement les clauses contractuelles types, et l’article 47 ajoute les règles d’entreprise contraignantes pour les groupes de sociétés. L’article 48 précise qu’une décision d’une juridiction ou d’une autorité étrangère ne justifie pas à elle seule un transfert. L’article 49 liste des dérogations pour des situations particulières, comme le consentement explicite après information sur les risques, ou un transfert nécessaire à un contrat avec la personne, qui sont destinées à des cas occasionnels plutôt qu’à des flux courants.
L’arrêt Schrems II de la Cour de justice de l’Union européenne (C-311/18, 16 juillet 2020) a invalidé le Privacy Shield et imposé aux exportateurs qui utilisent les clauses de vérifier le droit du pays de destination. En 2022, plusieurs autorités, dont l’autorité autrichienne et la CNIL, ont constaté que des sites utilisant Google Analytics transféraient des données vers les États-Unis en violation du chapitre V. Le Data Privacy Framework UE-États-Unis, en vigueur depuis le 10 juillet 2023, couvre désormais les entreprises américaines certifiées.
Chaque balise tierce est un transfert potentiel : un script de mesure d’audience, une police, un lecteur vidéo ou un widget de chat hébergés à l’étranger reçoivent l’adresse IP et les identifiants du visiteur. Le guide Google Fonts montre à quel point le déclencheur peut être minime.