Adéquation UE–États-Unis : vérifier le DPF
Comment vérifier qu’un transfert vers les États-Unis relève du Data Privacy Framework : entité certifiée, périmètre, preuves et suivi.
Un fournisseur annonce « certifié DPF » dans sa documentation. Votre contrat est signé avec sa société européenne, mais les tickets de support partent vers deux sociétés américaines. La certification affichée ne répond pas encore à votre question : laquelle reçoit quelles données, et dans quel périmètre ?
La décision d’adéquation du 10 juillet 2023 permet certains transferts vers les États-Unis. Elle ne constitue pas une homologation générale des logiciels américains. Ce guide aide à décider si un flux précis peut démarrer, à conserver les preuves utiles et à traiter une vérification qui échoue.
Ce qu’il faut retenir
- Le DPF couvre les destinataires américains inscrits au programme, dans le périmètre applicable ; une marque commerciale ne suffit pas.
- Vérifiez les entités, les catégories de données et le statut avant de vous prévaloir de l’adéquation.
- Les obligations relatives au traitement et au contrat de sous-traitance restent distinctes.
- Une anomalie doit produire une décision sur le flux concerné, pas seulement une remarque dans le dossier d’achat.
Ce que permet la décision d’adéquation
L’Art. 45(1) du RGPD permet un transfert couvert par une décision d’adéquation sans autorisation spécifique. Pour les États-Unis, l’Art. 1 de la décision 2023/1795 vise les organisations figurant sur la liste DPF tenue par le Department of Commerce. La Commission continue de présenter ce périmètre dans sa liste des décisions d’adéquation.
Un transfert effectivement couvert n’exige donc pas de clauses contractuelles types pour ce même transfert. En revanche, l’adéquation ne fournit ni la base légale de votre traitement ni une dispense de minimisation, de sécurité ou d’information. Le mécanisme de transfert répond à une question supplémentaire, organisée par le chapitre V du RGPD, Art. 44 à 49.
Si le fournisseur traite les données pour votre compte, examinez séparément le contrat de sous-traitance prévu à l’article 28. Une certification valable ne corrige pas une absence d’instructions, une assistance aux droits imprécise ou un circuit d’effacement inexpliqué.
Vérifier une entité plutôt qu’un logo
Commencez par les flux : stockage, support, administration, sauvegarde, connecteurs et accès exceptionnels. Relevez, pour chaque opération, la dénomination juridique du destinataire. Demandez une explication écrite lorsque le contrat, la liste des sous-traitants et la documentation commerciale emploient des noms différents. Notre méthode de cartographie des transferts hors UE permet d’organiser ce relevé.
Consultez ensuite la liste officielle DPF. Rapprochez le résultat de l’entité identifiée ; vérifiez les filiales couvertes et la participation au cadre UE–États-Unis pertinent pour votre flux. Conservez l’adresse de la fiche et une copie datée des informations utilisées. Un dossier de certification annoncé comme « en cours » ne démontre pas l’inscription.
La CNIL rappelle de contrôler aussi les catégories de données, notamment les données commerciales et de ressources humaines. Une affirmation générale du fournisseur ne suffit pas à élargir ce périmètre. Voir ses questions-réponses, notamment les points 4 et 8.
La distinction RH appelle une lecture concrète des usages. Une demande relative à la paie ou à une sanction disciplinaire ne devient pas un simple ticket commercial parce qu’elle emprunte le même outil. L’annexe I, section III.6(c), de la décision prévoit les engagements nécessaires pour étendre le bénéfice du DPF aux informations RH transférées dans le contexte de la relation de travail. Les entités couvertes sont identifiées selon la section III.6(b)(i). Ces règles figurent dans le texte final de la décision 2023/1795.
Cas pratique : ouvrir le support clients, exclure le support RH
Le cas suivant est entièrement fictif. Les sociétés A et B, leurs périmètres de certification et les contrôles décrits sont des hypothèses pédagogiques ; aucune certification réelle de fournisseur n’est attestée ici.
La PME française Atelier Aube vend des luminaires. Elle souhaite centraliser ses demandes de garantie dans un service hébergé dans l’Union européenne. Le contrat est signé avec une société européenne. Son annexe prévoit toutefois des accès de support depuis les États-Unis, assurés par deux entités du groupe : A pour le support courant, B pour les escalades techniques.
La responsable administrative, Inès, recense les données nécessaires : identité du client, coordonnées, référence de commande et description du défaut. Les photographies doivent montrer le produit ; les documents sans rapport avec la garantie sont exclus. L’équipe RH souhaite profiter du même abonnement pour envoyer ses questions de paie.
Dans le scénario, Inès relève une inscription active de A couvrant les données non RH. La fiche consultée ne couvre pas B et aucune inscription distincte de B n’est trouvée. Le commercial répond que « tout appartient au même groupe ». Inès classe cette réponse comme insuffisante : elle n’établit ni la couverture de B ni un autre mécanisme pour son accès.
Elle suspend donc l’ouverture, puis soumet deux options précises : un service limité à A avec exclusion effective de B, ou un dossier permettant d’encadrer également les accès de B. Le fournisseur accepte la première option et remet un engagement contractuel accompagné d’une description du routage. Le canal RH est exclu de ce projet ; il reste dans l’environnement déjà utilisé par les salariés.
Une fiche de décision effectivement renseignée
| Point de contrôle | Résultat dans le cas fictif | Décision |
|---|---|---|
| Traitement | Gestion des garanties clients d’Atelier Aube | Seul usage admis |
| Destinataire américain | Société A, dénomination rapprochée du contrat et de la fiche | Adéquation retenue pour ce périmètre |
| Société B | Couverture non établie | Aucun accès autorisé |
| Données | Identité, contact, commande, défaut du produit | Limiter le formulaire et les pièces |
| Demandes RH | Questions de paie envisagées par l’équipe | Canal exclu, circuit existant conservé |
| Preuves | Fiche datée, annexe contractuelle, description du routage | Classées avec la décision d’ouverture |
| Vérification opérationnelle | Escalade à B possible lors du premier essai | Ouverture refusée à ce stade |
| Suivi | Inès responsable du dossier ; changement d’entité soumis à réexamen | Pas d’extension automatique |
Cette fiche est un outil d’organisation, sans format réglementaire imposé. Elle distingue une conclusion juridique, une instruction au fournisseur et une vérification opérationnelle. Les réunir dans une case unique « conforme » ferait disparaître l’anomalie la plus importante.
Pourquoi la première correction ne suffit pas
Avant tout import réel, l’équipe utilise trois tickets inventés : un défaut simple, une pièce jointe fictive et une demande nécessitant une escalade. Les deux premiers suivent le circuit annoncé. Le troisième est encore affecté à B par une règle automatique. La modification du contrat n’a donc pas été traduite dans le fonctionnement du service.
Inès maintient le refus d’ouverture et conserve le résultat. Le fournisseur corrige la règle, retire les habilitations concernées et explique comment les escalades seront désormais traitées par A. L’équipe rejoue les trois situations et vérifie aussi l’impossibilité d’affecter manuellement un ticket à B. Dans ce scénario, ces contrôles concordent avec les engagements remis : le service clients peut ouvrir dans le périmètre restreint.
La clôture mentionne les éléments contrôlés et leur limite. Elle ne prétend pas démontrer l’absence de tout accès technique caché chez le fournisseur ; cette assurance dépend aussi des garanties contractuelles et des preuves de contrôle disponibles. Une difficulté non résolue sur ces garanties empêcherait de conclure favorablement.
Enfin, Inès refuse l’import du dossier RH proposé après l’ouverture. Le succès du contrôle clients ne vaut pas validation d’un nouvel usage. Elle inscrit cette demande dans un examen séparé, sans tenter de lui appliquer artificiellement la certification non RH.
Si le destinataire n’est pas couvert
L’absence de couverture DPF ne signifie pas nécessairement que le transfert est impossible. Elle signifie que ce mécanisme ne justifie pas le flux examiné. Recherchez, avant de le lancer, des garanties appropriées telles que celles prévues à l’article 46 du RGPD, avec l’analyse requise pour leur utilisation effective.
Une annexe de clauses contractuelles types jointe au contrat ne dispense pas d’identifier les parties, les données, les opérations et les conditions d’accès. Les dérogations de l’Art. 49 visent des situations particulières ; elles ne remplacent pas cette démarche pour installer commodément un service récurrent.
Dans un dossier existant, séparez trois actions : arrêter les nouveaux flux non justifiés, déterminer le sort des données déjà transmises et rechercher un circuit de remplacement. La conservation d’une copie utile à l’analyse ne permet pas de poursuivre indéfiniment le service comme auparavant. Documentez les destinataires sollicités, les réponses et la mesure effectivement appliquée.
Suivre les changements sans refaire tout le dossier
Le contrôle initial ne suffit pas si l’entité change. Préparez des événements déclencheurs : nouvelle société de support, nouvelle catégorie de données, renouvellement du fournisseur ou évolution du statut DPF. Ajoutez une échéance de vérification adaptée au service. Il s’agit d’une organisation de suivi ; le RGPD ne fixe pas ici un intervalle universel de contrôle pour chaque PME.
La section III.6 de l’annexe I prévoit une recertification annuelle. Une organisation retirée de la liste ne peut plus se prévaloir du mécanisme pour recevoir de nouvelles données européennes. Pour les données reçues auparavant, examinez les conséquences applicables au motif de sortie : les obligations ne disparaissent pas avec le logo. Les sections I.3 et III.6 du texte de la décision distinguent notamment poursuite de protection, autre moyen autorisé, restitution ou suppression.
Le 3 septembre 2025, le Tribunal de l’Union européenne a rejeté le recours Latombe, T-553/23. L’appréciation portait sur la situation lors de l’adoption de la décision de 2023. Elle ne garantit pas le maintien de toutes les circonstances futures, comme l’explique le communiqué du Tribunal. L’histoire du Privacy Shield invite à conserver un dossier réexaminable, plutôt qu’une approbation définitive.
FAQ
Un hébergement européen suffit-il pour éviter cette vérification ?
Il ne renseigne pas à lui seul sur les accès de support ou les autres destinataires. Identifiez le circuit réel avant de conclure qu’aucun transfert pertinent n’existe. La localisation du stockage est un élément du dossier, pas sa totalité.
Faut-il le consentement au transfert couvert par le DPF ?
Le consentement explicite prévu par l’Art. 49(1)(a) n’est pas nécessaire pour utiliser une adéquation applicable. Le traitement doit néanmoins disposer de sa propre base légale et respecter les autres obligations pertinentes.
Une inscription actuelle régularise-t-elle les transferts anciens ?
Elle ne prouve pas leur licéité à leur date. Examinez le mécanisme et les conditions qui s’appliquaient alors, en conservant les anciennes preuves plutôt qu’en les remplaçant par la fiche actuelle.
Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.
Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.