Article 96 RGPD : les accords internationaux antérieurs

Quand une banque française transmet, chaque année, les données de ses clients américains au fisc des États-Unis au titre de l’accord FATCA, elle s’appuie sur un traité signé en 2013 — soit avant même que le RGPD n’existe. Comment un tel transfert peut-il rester licite sous l’empire d’un règlement adopté en 2016 ? La réponse tient dans un article que personne ne lit : l’article 96 du RGPD, une clause transitoire qui « gèle » dans le temps une catégorie précise d’accords internationaux. Décryptage.

Ce que dit l’article 96 du RGPD

L’Art. 96 RGPD s’intitule « Relation avec les accords conclus antérieurement ». Il figure dans le chapitre XI, consacré aux dispositions finales, et tient en une seule phrase :

« Les accords internationaux impliquant le transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales qui ont été conclus par les États membres avant le 24 mai 2016 et qui respectent le droit de l’Union tel qu’applicable avant cette date restent en vigueur jusqu’à leur modification, leur remplacement ou leur révocation. »

L’idée est simple, et profondément pragmatique. Le RGPD a refondu le régime des transferts de données hors de l’Union européenne (chapitre V, articles 44 à 49). Mais les États membres avaient, bien avant 2016, signé des dizaines de traités bilatéraux qui organisent précisément ce type de transfert : conventions fiscales, accords d’entraide judiciaire, traités de sécurité sociale, accords d’échange de renseignements. Faire tomber d’un coup tous ces accords aurait été à la fois irréaliste sur le plan diplomatique et juridiquement chaotique. L’article 96 organise donc leur survie : ils restent en vigueur tant qu’ils ne sont pas modifiés, remplacés ou révoqués.

Une clause transitoire à liste fermée

Il faut bien comprendre la nature de cet article : c’est une disposition de droit transitoire, pas une habilitation générale. Comme l’a souligné la doctrine, l’article 96 vise une liste fermée d’accords — ceux qui réunissent, de manière cumulative, trois conditions.

D’abord, il doit s’agir d’accords conclus par les États membres, et non par l’Union européenne elle-même. C’est une distinction décisive sur laquelle je reviens plus bas. Ensuite, l’accord doit avoir été conclu avant le 24 mai 2016 — date d’entrée en vigueur du RGPD (à ne pas confondre avec sa date d’application du 25 mai 2018, que détaille l’article 99 du RGPD). Enfin, l’accord devait respecter le droit de l’Union applicable à l’époque, c’est-à-dire pour l’essentiel la directive 95/46/CE qui régissait alors la protection des données.

Aucun accord signé après le 24 mai 2016 ne peut donc se prévaloir de l’article 96. Pour les transferts organisés par des accords postérieurs, le régime de droit commun du chapitre V s’applique pleinement : décision d’adéquation (article 45 du RGPD), garanties appropriées (article 46 du RGPD) ou dérogations (article 49 du RGPD).

Accords des États membres ou accords de l’Union ?

C’est le point le plus subtil de l’article 96, et celui que confond le plus souvent la pratique. L’article ne couvre que les accords conclus par les États membres à titre individuel. Les accords conclus par l’Union européenne elle-même obéissent à une autre logique, énoncée au considérant 102 du RGPD :

« Le présent règlement s’entend sans préjudice des accords internationaux conclus entre l’Union et des pays tiers en vue de réglementer le transfert des données à caractère personnel, y compris les garanties appropriées en faveur des personnes concernées. »

Autrement dit, les grands accords-cadres négociés au niveau européen — l’accord PNR (Passenger Name Record) entre l’Union et les États-Unis ou l’Australie, l’accord TFTP dit « SWIFT » sur le transfert de données financières à des fins de lutte antiterroriste — ne relèvent pas de l’article 96. Ils tirent leur validité de leur propre base juridique dans les traités européens et du contrôle de la Cour de justice de l’Union, comme l’a illustré l’avis 1/15 de la CJUE du 26 juillet 2017 qui a invalidé le projet d’accord PNR UE-Canada.

L’article 96, lui, ne s’intéresse qu’aux traités bilatéraux nationaux. La distinction est essentielle pour qui veut identifier la bonne base juridique d’un transfert : tout dépend de savoir qui a signé l’accord.

Un exemple concret : l’accord FATCA

Pour mesurer la portée pratique de l’article 96, l’accord FATCA entre la France et les États-Unis est l’illustration parfaite. Signé à Paris le 14 novembre 2013 et publié par le décret n° 2015-1 du 2 janvier 2015, cet accord intergouvernemental organise l’échange automatique de renseignements fiscaux : les institutions financières françaises identifient les comptes détenus par des contribuables américains, transmettent ces informations à l’administration fiscale française, qui les communique ensuite à l’Internal Revenue Service américain.

Ce dispositif implique, par construction, un transfert de données à caractère personnel (identité, numéros de compte, soldes, revenus financiers) vers un pays tiers. Conclu avant le 24 mai 2016 et conforme au droit de l’Union de l’époque, il entre exactement dans le champ de l’article 96 : il reste en vigueur sous le RGPD, sans qu’il soit nécessaire de lui trouver une nouvelle base de transfert dans le chapitre V. Le même raisonnement vaut pour les nombreuses conventions fiscales bilatérales, accords d’entraide pénale internationale ou conventions de sécurité sociale signés par la France avant 2016.

Cela ne signifie pas pour autant que ces accords échappent à tout contrôle. Ils ont d’ailleurs été contestés : la question des « Américains accidentels » — ces binationaux soumis à FATCA sans lien réel avec les États-Unis — a donné lieu à des recours et à des saisines de la CNIL, sans que le principe même de l’accord soit remis en cause au titre de l’article 96.

Ce que l’article 96 ne fait pas

Il faut se garder de surinterpréter cette clause. L’article 96 n’immunise pas indéfiniment les accords qu’il vise. Trois limites doivent être gardées à l’esprit.

D’une part, la survie de l’accord cesse dès qu’il est « modifié, remplacé ou révoqué ». Toute renégociation postérieure au 24 mai 2016 fait basculer l’accord dans le régime de droit commun du RGPD.

D’autre part, l’article 96 ne dispense pas le responsable de traitement de ses autres obligations : un transfert fondé sur un accord antérieur reste soumis aux principes généraux du règlement (licéité, minimisation, sécurité, information des personnes). L’accord couvre la base du transfert international, pas l’ensemble du traitement.

Enfin, l’article 96 ne doit pas être confondu avec l’article 48 du RGPD, qui traite d’une question voisine mais distincte : celui-ci pose qu’une décision d’une autorité d’un pays tiers exigeant un transfert n’est reconnue que si elle repose sur un accord international, type traité d’entraide judiciaire. Là où l’article 48 encadre les injonctions étrangères, l’article 96 se borne à préserver la validité d’accords déjà conclus.

Pourquoi cela intéresse un praticien

On pourrait croire qu’une clause transitoire ne concerne que les juristes des ministères. Dans mon expérience de conseil, l’article 96 rend pourtant trois services très concrets.

Il offre d’abord une sécurité juridique appréciable : lorsqu’un transfert découle d’un traité bilatéral signé avant 2016 (fiscalité, sécurité sociale, coopération judiciaire), il est inutile de chercher à le rattacher artificiellement à une décision d’adéquation ou à des clauses contractuelles types. L’accord vaut, par lui-même, base du transfert.

Il impose ensuite un réflexe de datation. Face à un transfert organisé par un accord international, la première question à se poser est : cet accord a-t-il été conclu, ou renégocié, avant ou après le 24 mai 2016 ? La réponse détermine le régime applicable.

Il invite enfin à distinguer la source de l’accord. Un accord de l’Union (PNR, TFTP) ne s’analyse pas comme un accord d’État membre : confondre les deux, c’est se tromper de base juridique et de juge compétent. Cette grille de lecture, banale en apparence, évite des contresens coûteux dans la cartographie des transferts.

Ce qu’il faut retenir

• L’article 96 RGPD est une clause transitoire : les accords internationaux de transfert de données conclus par les États membres avant le 24 mai 2016, et conformes au droit de l’Union de l’époque, restent en vigueur.
• Cette survie dure jusqu’à modification, remplacement ou révocation de l’accord ; toute renégociation postérieure fait basculer le transfert dans le régime de droit commun du chapitre V.
• L’article 96 ne vise que les accords des États membres, pas ceux de l’Union (PNR, TFTP), qui relèvent du considérant 102 et de leur propre base juridique.
• Exemple type : l’accord FATCA France–États-Unis du 14 novembre 2013, qui organise un transfert de données fiscales et demeure valable sous le RGPD.
• L’article 96 ne dispense d’aucune autre obligation du RGPD et ne se confond pas avec l’article 48 sur les injonctions des autorités étrangères.

FAQ

Quels accords sont visés par l’article 96 du RGPD ?

Uniquement les accords internationaux conclus par les États membres avant le 24 mai 2016, impliquant un transfert de données vers un pays tiers ou une organisation internationale, et conformes au droit de l’Union applicable à l’époque (essentiellement la directive 95/46/CE). Il s’agit typiquement de conventions fiscales, d’accords d’entraide judiciaire ou de traités de sécurité sociale.

L’accord FATCA reste-t-il valable sous le RGPD ?

Oui. Signé le 14 novembre 2013, l’accord FATCA entre la France et les États-Unis a été conclu avant le 24 mai 2016. Il entre dans le champ de l’article 96 et reste en vigueur tant qu’il n’est pas modifié, remplacé ou révoqué, sans qu’il soit nécessaire de lui trouver une nouvelle base de transfert dans le chapitre V du RGPD.

L’article 96 couvre-t-il les accords PNR et SWIFT ?

Non. Les accords PNR et TFTP (« SWIFT ») ont été conclus par l’Union européenne, et non par les États membres individuellement. Ils relèvent du considérant 102 et de leur propre base juridique dans les traités, sous le contrôle de la Cour de justice de l’Union, et non de la clause transitoire de l’article 96.

Que se passe-t-il si un accord antérieur à 2016 est renégocié ?

Dès qu’un accord visé par l’article 96 est modifié, remplacé ou révoqué, il sort du bénéfice de la clause transitoire. Le transfert qu’il organise doit alors être reconsidéré au regard du régime de droit commun du RGPD : décision d’adéquation (Art. 45), garanties appropriées (Art. 46) ou dérogations (Art. 49).

---

Vous suivez l’actualité du RGPD et des régulations numériques européennes ? Recevez nos analyses de conformité chaque semaine : décryptages d’articles, décisions de la CNIL et veille réglementaire, rédigés par un docteur en droit.