L'essentiel
- Une requête vers un serveur tiers transmet l'adresse IP du visiteur : hors de l'EEE, le chapitre V du RGPD s'applique.
- Les destinataires américains certifiés au titre du EU-US Data Privacy Framework bénéficient de la décision d'adéquation de 2023.
- Les autres nécessitent un autre mécanisme, généralement des clauses contractuelles types assorties d'une évaluation.
Pourquoi une requête constitue un transfert
Lorsqu'un navigateur récupère un script, un pixel ou une police sur le serveur d'une autre société, ce serveur reçoit l'adresse IP du visiteur et souvent d'autres identifiants. Si le destinataire est établi hors de l'Espace économique européen, le chapitre V du RGPD s'applique à ce transfert.
Visiteur dans l'UEnavigateur
GET page
Votre siteUE
IP + identifiants
TiersÉtats-Unis
Chaque requête vers un tiers constitue un transfert vers le pays du destinataire. Est-il certifié au titre du Data Privacy Framework ? Sinon, quelle garantie s'applique ?
Ce qui a changé en 2020 et 2023
- En juillet 2020, la CJUE a invalidé le Privacy Shield UE-États-Unis (Schrems II, C-311/18) et exigé une évaluation du pays de destination en cas de recours aux clauses contractuelles types.
- Le 10 juillet 2023, la Commission européenne a adopté une décision d'adéquation relative au EU-US Data Privacy Framework. Les transferts vers des sociétés américaines certifiées dans ce cadre reposent sur cette décision ; les autres nécessitent toujours un autre mécanisme, généralement des clauses contractuelles types assorties d'une évaluation.
Ce qu'il faut vérifier pour chaque tiers
- Qui reçoit les données, et où il est établi.
- Pour un destinataire américain, s'il figure comme certifié sur la liste du Data Privacy Framework.
- Si la finalité exige un consentement préalable (voir l'article 25 du TDDDG), et si le service pourrait être remplacé ou hébergé dans l'UE.
- Que le fournisseur, sa finalité et le transfert figurent dans votre registre des activités de traitement.
Liste de contrôle
- Chaque tiers listé avec le pays où son destinataire est établi.
- Les destinataires américains vérifiés sur la liste du Data Privacy Framework (la certification peut expirer).
- Des clauses contractuelles types et une analyse d'impact du transfert pour les autres.
- Le consentement recueilli au préalable lorsque la finalité l'exige.
- Les transferts documentés dans le registre des activités de traitement (art. 30 RGPD).
Sources
- Chapitre V du RGPD (articles 44 à 49).
- CJUE, 16 juillet 2020, Data Protection Commissioner c. Facebook Ireland et Schrems, C-311/18.
- Décision d'exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 (EU-US Data Privacy Framework).
- Décision d'exécution (UE) 2021/914 de la Commission (clauses contractuelles types).
Information générale, ne constituant pas un conseil juridique. Faites examiner votre situation particulière par votre DPO ou votre conseil.