Transfert de données hors UE : comment sécuriser le transfert avec les SCC 2021 après l'arrêt Schrems II

Les clauses contractuelles types de 2021, ou SCC 2021, restent en 2026 le mécanisme le plus utilisé pour encadrer un transfert de données personnelles vers un pays tiers. Adoptées par la décision d'exécution (UE) 2021/914 de la Commission européenne du 4 juin 2021, elles ont remplacé les clauses adoptées en 2001 et 2010 sous l'ancienne directive 95/46/CE. Leur seule signature ne suffit toutefois plus à sécuriser un transfert depuis l'arrêt Schrems II de la Cour de justice de l'Union européenne : l'entreprise doit choisir le bon module, documenter le transfert, évaluer le droit du pays de destination et prévoir, si nécessaire, des mesures supplémentaires.

Cet article détaille la méthode à suivre pour qualifier un transfert international, choisir le mécanisme et le module SCC adaptés, compléter correctement les annexes, et organiser la gouvernance continue que ce type de contrat exige désormais.

Qu'est-ce qu'un transfert de données hors UE

Avant toute rédaction contractuelle, il faut déterminer si un transfert international existe réellement — la question se pose plus souvent qu'il n'y paraît, y compris lorsque l'infrastructure principale de l'entreprise est hébergée en Europe. Un transfert existe dès lors qu'un exportateur soumis au RGPD transmet ou rend accessibles des données personnelles à un importateur situé dans un pays tiers, ou à un importateur qui n'est pas soumis au RGPD pour le traitement concerné.

Certaines situations sont fréquemment sous-estimées par les entreprises : l'accès à distance par une équipe support située dans un pays tiers, le recours à un fournisseur SaaS établi hors Espace économique européen, l'accès aux données par un sous-traitant ultérieur situé hors EEE, ou encore l'utilisation d'un service d'intelligence artificielle hébergé hors Union européenne. Le simple fait que les serveurs principaux soient situés dans l'Union européenne ne suffit donc pas toujours à exclure un transfert : il faut également examiner les accès à distance, les sous-traitants ultérieurs et les possibilités d'accès par les autorités du pays tiers concerné.

Cartographier avant de contractualiser

Avant toute analyse contractuelle, il convient de cartographier précisément l'exportateur, l'importateur, les données concernées, les personnes concernées, le pays de destination, les accès techniques, les sous-traitants ultérieurs et les éventuels transferts ultérieurs. Cette cartographie conditionne directement le choix du mécanisme juridique et, le cas échéant, du module SCC à utiliser.

Les mécanismes permettant un transfert

Le chapitre V du RGPD organise une hiérarchie de fondements juridiques possibles, les SCC n'en constituant qu'un parmi d'autres. Cette section précise les trois grandes familles de mécanismes avant de détailler le fonctionnement des SCC elles-mêmes.

La décision d'adéquation

Un transfert peut être réalisé sans SCC vers un pays bénéficiant d'une décision d'adéquation de la Commission européenne, le niveau de protection de ce pays étant alors considéré comme essentiellement équivalent à celui garanti dans l'Union européenne. Il convient néanmoins de vérifier que la décision est toujours en vigueur, qu'elle couvre le type de transfert envisagé, qu'elle concerne bien le destinataire visé, et qu'elle ne comporte pas de limites sectorielles ou temporelles susceptibles d'exclure le traitement en cause.

Les garanties appropriées de l'article 46

En l'absence de décision d'adéquation, le transfert peut être fondé sur les garanties de l'article 46 du RGPD : clauses contractuelles types de la Commission, règles d'entreprise contraignantes, code de conduite approuvé, ou mécanisme de certification. Les SCC 2021 constituent, en pratique, le mécanisme le plus utilisé pour les relations commerciales entre entreprises européennes et destinataires établis dans des pays tiers, notamment parce qu'elles ne nécessitent pas de validation préalable par une autorité de contrôle, à la différence des règles d'entreprise contraignantes.

Les dérogations de l'article 49

Les dérogations de l'article 49 du RGPD doivent être interprétées strictement. Elles concernent notamment le consentement explicite de la personne, la nécessité du transfert pour l'exécution ou la conclusion d'un contrat, un motif important d'intérêt public, ou la constatation, l'exercice ou la défense de droits en justice. Ces dérogations ne doivent pas être utilisées comme mécanisme permanent pour organiser des transferts réguliers, massifs ou structurels lorsque des garanties appropriées, telles que les SCC, peuvent être mises en place.

Le choix du module SCC selon les rôles des parties

Cette section détaille l'architecture modulaire des SCC 2021, dont le mauvais usage constitue l'une des erreurs les plus fréquentes en pratique.

Les quatre configurations possibles

Les SCC 2021 reposent sur une approche modulaire destinée à couvrir différents scénarios de transfert, chaque module correspondant à une combinaison précise de rôles entre exportateur et importateur. Le tableau suivant synthétise ces quatre configurations.

SCC et DPA : deux instruments à ne pas confondre

La CNIL distingue expressément les clauses de sous-traitance de l'article 28 du RGPD des clauses contractuelles types consacrées aux transferts internationaux : ces deux instruments répondent à des objets différents et ne se substituent pas l'un à l'autre.

Le DPA, prévu par l'article 28 du RGPD, encadre la relation contractuelle de sous-traitance elle-même — instructions, confidentialité, sécurité, droits des personnes, sous-traitants ultérieurs, audits, restitution ou suppression des données. Les SCC 2021, quant à elles, mettent en œuvre une garantie appropriée au sens de l'article 46 du RGPD pour sécuriser spécifiquement le transfert vers le pays tiers. Un DPA ne remplace donc pas les SCC lorsqu'un transfert international nécessite une garantie de l'article 46, et inversement, les SCC ne remplacent pas nécessairement le DPA exigé par l'article 28 lorsqu'il existe une relation de sous-traitance entre les parties.

Dans le cas le plus fréquent en pratique — celui d'un transfert d'un responsable de traitement européen vers un sous-traitant situé hors EEE —, il peut donc être nécessaire de combiner les obligations de l'article 28, le module 2 des SCC, les annexes relatives au traitement et à la sécurité, ainsi que les mesures supplémentaires issues de l'analyse du pays de destination. Les clauses obligatoires que doit comporter un DPA sont détaillées dans notre article consacré au DPA et aux clauses indispensables du contrat de sous-traitance RGPD.

Compléter correctement les annexes des SCC 2021

Une annexe mal renseignée fragilise l'ensemble du mécanisme, même lorsque les clauses générales sont signées sans aucune modification de leur texte officiel.

Annexe I — parties et description du transfert

Cette annexe doit identifier l'exportateur et l'importateur, leurs coordonnées et personnes de contact, leurs rôles respectifs, les activités de traitement concernées, les catégories de personnes et de données, la fréquence des transferts, la durée de conservation, les finalités poursuivies et les pays concernés. Une description insuffisamment précise complique ensuite le contrôle du respect des clauses en cas d'audit ou de contentieux.

Annexe II — mesures techniques et organisationnelles

Cette annexe doit décrire concrètement les mesures de sécurité applicables au transfert et au traitement : chiffrement, pseudonymisation, gestion des habilitations, authentification forte, journalisation, résilience des systèmes, gestion des incidents. Une annexe purement déclarative, qui se limite à affirmer que l'importateur applique des « mesures appropriées », est généralement considérée comme insuffisante.

Annexe III — sous-traitants ultérieurs

Cette annexe doit être renseignée dès lors que le transfert implique des sous-traitants ultérieurs, en précisant leur identité, leur pays de localisation, les services qui leur sont confiés et le mécanisme de notification des changements.

L'analyse du pays tiers après l'arrêt Schrems II

Depuis l'arrêt Schrems II de la Cour de justice de l'Union européenne, la signature des SCC ne constitue plus une garantie automatiquement suffisante pour sécuriser un transfert. L'exportateur et l'importateur doivent vérifier, avant tout transfert, si le droit et les pratiques du pays tiers permettent effectivement à l'importateur de respecter les clauses signées.

Cette analyse doit porter sur les pouvoirs des autorités publiques du pays de destination, les règles d'accès aux données applicables sur son territoire, les mécanismes de surveillance en vigueur, l'indépendance des autorités de contrôle locales et les voies de recours réellement disponibles pour les personnes concernées. Il convient d'apprécier le droit du pays de destination tel qu'il est appliqué en pratique, et non uniquement à partir du texte contractuel ou de la loi telle qu'elle est formellement rédigée.

Le Transfer Impact Assessment

L'exportateur doit documenter une analyse de l'impact du transfert, généralement désignée sous l'acronyme TIA pour Transfer Impact Assessment. Cette analyse comprend la description du transfert, l'identification des données et des destinataires, le fondement juridique retenu, l'analyse du droit et des pratiques du pays tiers, l'évaluation du risque d'accès par les autorités locales, l'identification des mesures supplémentaires éventuellement nécessaires, ainsi qu'une date de réexamen.

Le TIA doit être régulièrement réévalué lorsque le droit du pays change, lorsque le destinataire ou le service change, lorsqu'une autorité demande l'accès aux données, ou lorsqu'une décision judiciaire affecte l'appréciation portée sur le pays concerné. Cette actualisation périodique constitue, en pratique, l'un des points les plus fréquemment contrôlés lors des audits de conformité menés sur les contrats internationaux.

Les mesures supplémentaires à envisager

Les SCC peuvent être complétées par des mesures supplémentaires lorsque l'analyse du pays tiers révèle un risque que les clauses seules ne suffisent pas à neutraliser. Une mesure supplémentaire doit être réellement efficace au regard du risque identifié : une clause générique ne suffit pas si la loi du pays tiers permet un accès excessif aux données en clair.

Mesures techniques

Les mesures techniques peuvent inclure le chiffrement de bout en bout, la conservation des clés dans l'Union européenne, la pseudonymisation avant transfert, la tokenisation ou la minimisation des données transmises, ainsi que la suppression des identifiants directs lorsque l'usage envisagé le permet.

Mesures contractuelles et organisationnelles

Le contrat peut prévoir l'obligation pour l'importateur de contester les demandes d'accès illégales, l'interdiction de communiquer volontairement les données sauf obligation légale contraignante, la limitation des transferts ultérieurs, ainsi qu'une gouvernance interne assortie d'une revue périodique des transferts et d'une documentation systématique des décisions prises.

Les obligations en cas de demande d'une autorité étrangère

Les SCC 2021 encadrent précisément les demandes d'accès formulées par une autorité publique du pays tiers. L'importateur doit examiner la légalité de la demande reçue, vérifier si l'autorité qui la formule est effectivement compétente, informer l'exportateur sauf interdiction légale de le faire, et ne fournir que les données strictement exigées par le droit applicable. Il doit également documenter son analyse et contester la demande lorsqu'il dispose de motifs sérieux de le faire.

Le contrat doit prévoir une procédure pratique organisant l'alerte, la coopération entre les parties, la contestation éventuelle de la demande, la conservation des documents afférents, et l'évaluation du maintien ou non du transfert à la suite de l'incident.

La transition depuis les anciennes clauses

Les SCC 2021 ont remplacé les clauses contractuelles types adoptées en 2001 et 2010 sous l'ancienne directive 95/46/CE. Les nouveaux contrats conclus à partir du 27 septembre 2021 devaient utiliser les nouvelles clauses, tandis que les anciennes clauses pouvaient continuer à régir certains contrats existants jusqu'au 27 décembre 2022. Depuis cette dernière échéance, tout contrat reposant uniquement sur les anciennes clauses doit avoir été remplacé ou mis à jour.

En 2026, une entreprise qui découvrirait encore l'usage des anciennes clauses dans son portefeuille contractuel doit vérifier en urgence la date du contrat concerné, la version des clauses effectivement signées, l'existence d'un avenant de mise à jour, et la conformité des annexes au regard du traitement tel qu'il est aujourd'hui réellement mis en œuvre.

Foire aux questions sur les SCC 2021 et le transfert de données hors UE

Que sont les SCC 2021 et depuis quand s'appliquent-elles ?

Les SCC 2021, ou clauses contractuelles types, sont un modèle de clauses adopté par la Commission européenne dans sa décision d'exécution (UE) 2021/914 du 4 juin 2021, entrée en vigueur le 27 juin 2021. Elles permettent d'encadrer un transfert de données personnelles vers un pays tiers en offrant une garantie appropriée au sens de l'article 46 du RGPD.

Quelle différence entre SCC et DPA ?

Le DPA encadre la relation de sous-traitance elle-même en application de l'article 28 du RGPD, tandis que les SCC encadrent spécifiquement le transfert des données vers un pays tiers en application de l'article 46. Ces deux instruments répondent à des objets différents et peuvent devoir être combinés dans une même relation contractuelle.

Les SCC suffisent-elles après l'arrêt Schrems II ?

Non, pas à elles seules. Depuis cet arrêt, l'exportateur et l'importateur doivent également analyser le droit et les pratiques du pays de destination, documenter cette analyse dans un Transfer Impact Assessment, et mettre en œuvre des mesures supplémentaires lorsque l'analyse révèle un risque que les clauses ne suffisent pas à neutraliser.

Quel module choisir entre les quatre modules SCC ?

Le choix dépend des rôles réels des parties dans le transfert : module 1 pour un transfert entre deux responsables de traitement, module 2 pour un transfert d'un responsable vers un sous-traitant, module 3 pour un transfert entre un sous-traitant européen et son sous-traitant ultérieur, module 4 pour un transfert d'un sous-traitant vers son propre responsable de traitement établi hors EEE.

Qu'est-ce qu'un Transfer Impact Assessment ?

Le Transfer Impact Assessment, ou TIA, est l'analyse documentée que l'exportateur doit réaliser pour évaluer si le droit et les pratiques du pays de destination permettent réellement à l'importateur de respecter les clauses contractuelles signées, et pour identifier les mesures supplémentaires éventuellement nécessaires.

Les anciennes clauses contractuelles types sont-elles encore valables en 2026 ?

Non. Les anciennes clauses adoptées en 2001 et 2010 ne pouvaient plus servir de fondement à un transfert depuis le 27 décembre 2022, date à laquelle tout contrat reposant uniquement sur ces anciennes clauses devait avoir été remplacé ou mis à jour avec les SCC 2021.

Conclusion

Les SCC 2021 ne sont pas un formulaire que l'on se contente de signer en annexe d'un contrat de prestation. Depuis l'arrêt Schrems II, leur efficacité juridique dépend d'une analyse documentée du pays de destination, d'un choix de module correspondant aux rôles réels des parties, et d'une gouvernance continue du transfert dans le temps. Cette rigueur rejoint celle exigée pour la rédaction d'un DPA conforme à l'article 28 du RGPD : dans les deux cas, la solidité du contrat se mesure à sa capacité à refléter précisément la réalité du traitement, et non à la simple reprise d'un modèle standard. Pour approfondir la relation contractuelle avec vos sous-traitants au-delà du seul enjeu du transfert international, notre article sur le DPA et les clauses indispensables du contrat de sous-traitance RGPD détaille l'ensemble des clauses attendues par l'article 28.

Article rédigé sur la base de l'état du droit et des textes officiels disponibles à la date de publication.

‍