Qu’est-ce qu’une Analyse d’impact sur le transfert (AIT) ?

Une AIT est nécessaire lorsque vous vous appuyez sur un instrument de transfert de l’article 46, comme les clauses contractuelles types de la Commission ou des règles d’entreprise contraignantes, pour envoyer des données personnelles hors EEE. Les recommandations 01/2020 du CEPD considèrent aussi comme des transferts l’accès à distance depuis un pays tiers, par exemple pour du support, et le stockage dans un cloud situé hors EEE.

Elle n’est pas nécessaire lorsque le pays de destination bénéficie d’une décision d’adéquation au titre de l’article 45. Il suffit alors de vérifier que la décision reste valable. Pour les États-Unis, la décision d’adéquation de la Commission du 10 juillet 2023 relative au cadre de protection des données UE-États-Unis (décision d’exécution (UE) 2023/1795) couvre les organisations certifiées dans ce cadre, et non tout destinataire américain.

Les dérogations de l’article 49, comme le consentement explicite ou la nécessité pour un contrat conclu avec la personne, sont le dernier recours. Le CEPD rappelle qu’elles ne peuvent pas devenir la règle en pratique et doivent rester limitées à des situations particulières.

Les clauses contractuelles types font de l’analyse une obligation contractuelle. Selon la clause 14 des clauses adoptées par la décision d’exécution (UE) 2021/914 du 4 juin 2021, les parties garantissent qu’elles n’ont aucune raison de croire que le droit et les pratiques du pays de destination empêchent l’importateur de respecter ses obligations, et s’engagent à documenter cette évaluation et à la mettre à la disposition de l’autorité de contrôle compétente sur demande.

La clause 14, point b), énumère trois éléments à prendre en compte :

• Les circonstances particulières du transfert : la longueur de la chaîne de traitement, le nombre d’acteurs et les canaux de transmission, les transferts ultérieurs, le type de destinataire, la finalité, les catégories et le format des données, le secteur économique et le lieu de stockage des données.
• Le droit et les pratiques du pays de destination, y compris ceux qui imposent la communication de données aux autorités publiques ou qui autorisent leur accès, pertinents au regard du transfert, ainsi que les limitations et garanties applicables.
• Les garanties contractuelles, techniques ou organisationnelles ajoutées aux clauses, y compris les mesures appliquées pendant la transmission et au traitement dans le pays de destination.

Le CEPD organise le travail en six étapes : connaître ses transferts, identifier l’instrument de transfert, évaluer s’il est efficace dans le pays de destination, adopter des mesures supplémentaires si nécessaire, accomplir les formalités que ces mesures exigent, et réévaluer à intervalles appropriés. La cartographie part de votre registre des activités de traitement et inclut les transferts ultérieurs de vos sous-traitants vers des sous-traitants ultérieurs situés dans d’autres pays.

Vous adoptez des mesures supplémentaires qui portent la protection au niveau européen d’équivalence substantielle. Les recommandations du CEPD en donnent une liste non exhaustive d’exemples techniques, contractuels et organisationnels, et soulignent qu’une mesure efficace pour un pays peut ne pas l’être pour un autre : il faut parfois en combiner plusieurs.

Si aucune mesure ne permet de combler la lacune, vous devez éviter, suspendre ou arrêter le transfert. Les clauses le prévoient. L’importateur informe sans délai l’exportateur s’il a des raisons de croire qu’il est ou est devenu soumis à des lois ou pratiques non conformes, par exemple après un changement législatif ou une demande de communication (clause 14, point e)). L’exportateur doit alors identifier des mesures, et suspendre le transfert s’il estime qu’aucune garantie appropriée ne peut être assurée ou si l’autorité de contrôle compétente le lui demande (clause 14, point f)).

Une AIT n’est pas un dossier figé. Réévaluez-la lorsque le droit, les destinataires ou les données changent, et consignez le résultat. Les manquements aux règles de transfert des articles 44 à 49 relèvent du plafond d’amendes le plus élevé, à l’article 83, paragraphe 5, point c).

L’article 16 de la nLPD suit une logique proche. Des données personnelles peuvent être communiquées à l’étranger si le Conseil fédéral a constaté que l’État de destination assure un niveau de protection adéquat ; la liste figure à l’annexe 1 de l’ordonnance sur la protection des données. Depuis le 15 septembre 2024, cette annexe inclut les États-Unis pour les organisations certifiées dans le cadre de protection des données Suisse-États-Unis.

Sans constat d’adéquation, un niveau de protection approprié doit être garanti par l’un des instruments de l’article 16, alinéa 2, par exemple des clauses de protection des données préalablement communiquées au PFPDT, des clauses types de protection des données approuvées, établies ou reconnues par le PFPDT, ou des règles d’entreprise contraignantes approuvées par le PFPDT ou par l’autorité d’un État assurant une protection adéquate. Le responsable qui utilise des clauses types prend les mesures appropriées pour que le destinataire les respecte (article 10 de l’ordonnance). L’article 17 prévoit des exceptions étroites, comme le consentement explicite. Voir le RGPD s’applique-t-il aux entreprises suisses ?