Données à l’étranger : quelles garanties examiner ?

Un transfert international ne se résume pas à l’adresse d’un centre de données. Il faut examiner les destinataires, les accès depuis l’étranger et les garanties applicables à chaque circulation annoncée.

Ce que ça veut dire

Le responsable de traitement décide des finalités et des moyens essentiels d’un traitement. Le sous-traitant agit pour son compte, selon des instructions. Un hébergeur peut remplir ce rôle pour les fichiers d’un client. Une entreprise peut toutefois avoir des rôles différents selon les usages : son statut ne se résume pas à une étiquette valable pour toute son activité.

Un transfert international de données doit être examiné dans son contexte. Sous le RGPD, la circulation vers des destinataires hors de l’Espace économique européen demande un cadre approprié. Un accès distant par une entité située à l’étranger peut compter dans l’analyse. Le pays inscrit sur une facture d’hébergement ne permet donc pas de décrire, seul, toute la circulation.

Des mécanismes existent, comme une décision d’adéquation, qui reconnaît une protection suffisante dans un périmètre donné, ou des clauses contractuelles types, modèles adoptés pour encadrer des transferts. La CNIL explique ces outils dans son livre blanc sur les données de paiement. Leur application demande de vérifier le destinataire, le périmètre couvert et les conditions effectives, plutôt que de retenir seulement le nom du mécanisme.

Un exemple concret

Imaginons un service fictif qui conserve vos documents dans un centre situé dans l’Union européenne. Son assistance technique dépend d’une entreprise extérieure. Une équipe de cette entreprise peut intervenir depuis un autre pays. Le service utilise aussi un prestataire distinct pour les messages de notification. L’hébergement principal décrit une partie de l’organisation, pas nécessairement les accès ni les données de notification.

Pour examiner cette chaîne, séparez les documents eux-mêmes des renseignements de compte et des informations d’assistance. Cherchez si le prestataire reçoit une copie, accède à distance ou traite seulement des données techniques. Une donnée personnelle peut apparaître dans un journal d’erreur ou dans une demande d’aide, même lorsque le document principal ne quitte pas son hébergement.

Dans votre note, écrivez « assistance : pays non trouvé » si la documentation ne le précise pas. N’en déduisez pas immédiatement que les documents sont copiés partout. Une information manquante justifie une demande ciblée. Elle ne constitue pas une preuve de la destination ou du contenu d’un transfert précis.

Quelles garanties faut-il examiner ?

Une décision d’adéquation peut comporter un périmètre lié à des organisations ou à un secteur. Évitez de transformer le nom d’un pays en garantie universelle. Consultez la référence officielle à jour citée par le service et vérifiez que le destinataire entre dans son champ. Les décisions et leurs conditions peuvent évoluer ; une ancienne capture ne remplace pas cette vérification au moment de votre démarche.

Quand des clauses contractuelles types sont invoquées, cherchez les opérations qu’elles couvrent et les informations sur l’évaluation du transfert. Selon la situation, des mesures supplémentaires peuvent être nécessaires. Une mesure technique comme le chiffrement doit être lue avec une question concrète : le destinataire peut-il obtenir les clés ou les données lisibles ? La présence du mot « sécurisé » ne répond pas à cette question.

Construire une fiche de lecture réutilisable

Ouvrez la politique de confidentialité depuis le site officiel. Repérez les rubriques consacrées aux prestataires, aux destinataires et aux transferts. Relevez le titre du document, sa version si elle figure, votre date de consultation et les passages pertinents. Construisez ensuite un tableau personnel avec « entité », « fonction », « données », « pays » et « garantie ». Gardez les inconnues visibles.

Le délégué à la protection des données, lorsqu’il est désigné, peut être un point de contact. Demandez par exemple quels pays sont concernés par l’assistance et comment obtenir des informations sur les garanties applicables. Restez sur des faits et sur votre besoin d’information. Pour apprécier la validité juridique d’un transfert particulier, l’autorité compétente ou un professionnel peut vous orienter.

La fiche exporter ses données avec Google Takeout aide à récupérer certains contenus d’un service, mais un export ne cartographie pas tous ses transferts. La fiche demander l’effacement à un site répond à un autre objectif. Distinguez toujours la connaissance du circuit des données de l’action que vous souhaitez demander.

Pour aller plus loin

La prochaine leçon rassemble demandes, réponses et documents dans un dossier. Vous apprendrez à préparer un recours adapté au problème et au territoire concerné.