Le fichier de fidélité quitte la galerie

Reviens aux Arcades, le centre commercial qui sert de fil rouge à cette série. La direction vient de confier l'animation du programme de fidélité à une centrale située hors d'Europe. Chaque nuit, une copie du fichier client part vers ses serveurs : identité, coordonnées, historique d'achat, tickets scannés.

Sur le papier, rien n'a changé. Le même fichier, les mêmes finalités, le même prestataire qu'avant, simplement installé plus loin. Dans les faits, le fichier vient de sortir du territoire où le règlement produit ses effets, et où une autorité de contrôle peut venir taper à la porte.

Le chapitre V du RGPD existe pour ça. Sa règle tient en une phrase : ce qui est protégé en Europe doit le rester quand ça en sort. L'article 44 le formule en imposant que le niveau de protection garanti par le règlement ne soit pas compromis, y compris lors des transferts ultérieurs vers un autre pays ou une autre organisation.

Le reste du chapitre, ce sont les mécanismes qui permettent de le vérifier. Et depuis 2020, ils demandent nettement plus qu'une signature au bas d'un contrat.

Un transfert hors UE n'est pas interdit. Il doit reposer sur un fondement, et ce fondement doit produire son effet dans le pays de destination, pas seulement dans le contrat.

Ce que le chapitre V appelle un transfert

Le règlement ne définit nulle part le mot « transfert ». Il définit l'organisation internationale à l'article 4(26), il parle de pays tiers sans en donner de définition, et laisse la pratique et la jurisprudence remplir les blancs.

Le Comité européen de la protection des données a comblé ce vide dans ses lignes directrices 05/2021 sur l'articulation entre l'article 3 et le chapitre V. Trois conditions cumulatives : l'exportateur est soumis au RGPD pour ce traitement, il transmet des données ou les rend accessibles à un autre acteur, et cet acteur se trouve dans un pays tiers ou est une organisation internationale.

Le deuxième critère est celui qui surprend. Rendre accessible suffit. Aux Arcades, si le support de la centrale ouvre le fichier resté sur le serveur du centre depuis un poste situé hors d'Europe, rien n'a bougé physiquement, et il s'agit pourtant d'un transfert.

Situation aux Arcades Côté SI Transfert au sens du chapitre V
La centrale reçoit chaque nuit une copie du fichier Réplication d'une base vers une région hors EEE Oui
Le support de la centrale consulte le fichier resté en France Accès distant d'une équipe située hors EEE Oui, la mise à disposition suffit
Un client en voyage hors d'Europe remplit lui-même le formulaire d'adhésion Une personne concernée transmet ses propres données Non, la personne n'est pas un exportateur
Le prestataire est installé en Norvège Hébergement dans un pays de l'EEE hors UE Non, l'EEE n'est pas un pays tiers
La filiale suisse consulte le fichier Pays couvert par une décision d'adéquation Oui, mais l'article 45 en fournit le fondement

La dernière ligne mérite un arrêt. Une décision d'adéquation ne supprime pas le transfert, elle lui donne un fondement. La nuance compte au moment de remplir le registre des traitements, qui demande d'identifier les transferts et leur base.

Ensuite vient l'ordre de recherche, toujours le même. On regarde d'abord si le pays de destination bénéficie d'une décision d'adéquation (article 45). À défaut, on cherche une garantie appropriée (article 46). À défaut encore, et seulement pour des cas ponctuels, on regarde les dérogations de l'article 49.

La question n'est pas « où sont mes serveurs » mais « qui peut lire mes données, depuis où ». Un accès distant compte autant qu'une copie.

L'adéquation : quand la Commission a vérifié pour tout le monde

Aux Arcades, il existe un centre partenaire dont le règlement intérieur a été examiné une fois, en détail, par la direction du groupe. Résultat : les enseignes peuvent échanger avec lui sans refaire l'examen à chaque livraison. C'est l'esprit de l'adéquation.

L'article 45 permet à la Commission européenne de constater qu'un pays tiers, un territoire, un secteur déterminé de ce pays ou une organisation internationale assure un niveau de protection adéquat. Une fois cette décision adoptée, le transfert ne requiert aucune autorisation spécifique.

Ce que la Commission examine est listé à l'article 45(2) : l'état de droit et le respect des droits fondamentaux, la législation pertinente, y compris en matière de sécurité publique, de défense et d'accès des autorités aux données, l'existence d'autorités de contrôle indépendantes et réellement opérationnelles, et les engagements internationaux du pays.

La liste évolue. La Suisse, le Japon, le Royaume-Uni ou le Canada pour ses organisations commerciales en font partie, mais figer une liste dans un billet de blog est le meilleur moyen de la voir périmer. La page des décisions d'adéquation de la Commission européenne fait foi.

Une adéquation n'est pas acquise pour toujours. L'article 45(3) prévoit un réexamen périodique, au moins tous les quatre ans, et l'article 45(5) permet à la Commission d'abroger, de modifier ou de suspendre sa décision. Certaines décisions comportent même une échéance et doivent être renouvelées pour survivre.

L'histoire l'a confirmé deux fois plutôt qu'une : le Safe Harbor est tombé en 2015, le Privacy Shield en 2020. Les deux étaient des décisions d'adéquation.

L'adéquation est le fondement le plus confortable et le plus fragile. Elle ne demande aucun travail contractuel, et elle peut disparaître par une décision de justice.

Les garanties appropriées de l'article 46

Sans adéquation, on retombe sur le contrat. Aux Arcades, c'est la logique connue : puisque personne ne garantit le sérieux de la centrale, on l'écrit noir sur blanc dans la convention de prestation, avec des obligations précises et un droit de regard.

L'article 46 organise cette famille de fondements, à une condition posée dès son premier paragraphe : les personnes concernées doivent disposer de droits opposables et de voies de recours effectives. Un engagement qui ne se réclame nulle part ne vaut rien.

L'article 46(2) énumère les outils utilisables sans autorisation particulière d'une autorité de contrôle. Deux dominent la pratique.

Les clauses contractuelles types sont un jeu de clauses adopté par la Commission, à intégrer au contrat sans en modifier la substance. Le jeu en vigueur date de 2021, remplace les modèles antérieurs et s'organise en modules selon la qualité des parties : responsable vers responsable, responsable vers sous-traitant, sous-traitant vers sous-traitant, sous-traitant vers responsable. Le choix du module découle de la qualification des rôles, pas d'une préférence commerciale. Une réserve importante figure dans la décision qui les adopte : elles sont prévues pour un importateur dont le traitement ne relève pas déjà directement du RGPD par son article 3(2).

Les règles d'entreprise contraignantes, définies à l'article 4(20) et encadrées par l'article 47, sont une politique interne juridiquement contraignante pour toutes les entités d'un groupe. Elles conviennent aux flux intragroupe d'une multinationale, et exigent une approbation par l'autorité de contrôle compétente via le mécanisme de cohérence. Ce n'est pas un chantier de quelques semaines.

Fondement Ce que c'est Quand il sert Ce qu'il exige
Adéquation, art. 45 Une décision de la Commission européenne Le pays ou le secteur destinataire est couvert Rien de plus qu'un flux intra-UE, mais une veille sur la décision
Clauses contractuelles types, art. 46(2)(c) Des clauses adoptées par la Commission, modulaires Le cas le plus courant entre entités sans lien capitalistique Un contrat signé, une évaluation du droit local, des mesures supplémentaires si besoin
Règles d'entreprise contraignantes, art. 46(2)(b) et 47 Une politique de groupe contraignante et opposable Flux intragroupe d'une structure multinationale stable Une approbation par l'autorité compétente, et la même évaluation du droit local
Code de conduite ou certification, art. 46(2)(e) et (f) Un référentiel approuvé, assorti d'engagements exécutoires de l'importateur Écosystèmes sectoriels organisés L'existence d'un mécanisme approuvé et l'adhésion effective de l'importateur
Dérogations, art. 49 Des situations limitativement énumérées Transferts ponctuels, non répétitifs Une interprétation stricte, et jamais un flux régulier

Reste la question que le contrat ne peut pas régler seul : que se passe-t-il si le droit du pays de destination oblige l'importateur à violer ses propres engagements ?

Une garantie de l'article 46 est un engagement pris par une entreprise. Elle ne s'impose ni au législateur ni aux services de renseignement du pays où cette entreprise est installée.

Schrems II, et pourquoi signer ne suffit plus

Aux Arcades, imagine que la centrale s'engage par contrat à ne montrer le fichier à personne. Puis que la police locale, en vertu du droit de son pays, exige de le consulter sans en informer qui que ce soit. Le contrat n'a pas été violé par mauvaise foi. Il a simplement été rendu inopérant par une loi que ni la centrale ni le centre commercial ne peuvent écarter.

C'est exactement le raisonnement de la Cour de justice de l'Union européenne dans son arrêt du 16 juillet 2020, affaire C-311/18, connu sous le nom de Schrems II. La Cour y a jugé deux choses.

D'abord, elle a invalidé la décision d'adéquation du Privacy Shield entre l'Union européenne et les États-Unis. Motif : les programmes de surveillance américains examinés, au premier rang desquels ceux fondés sur la section 702 du FISA et sur l'executive order 12333, n'étaient pas assortis de limitations satisfaisant aux exigences européennes de nécessité et de proportionnalité, et les personnes concernées ne disposaient pas de voies de recours équivalentes devant un organe indépendant.

Ensuite, elle a maintenu la validité des clauses contractuelles types, mais sous condition. L'exportateur, le cas échéant avec l'importateur, doit vérifier au cas par cas si le droit du pays de destination permet réellement de respecter le niveau de protection promis, et prévoir des mesures supplémentaires quand ce n'est pas le cas. À défaut, il lui revient de suspendre le transfert, et l'autorité de contrôle est tenue d'intervenir si l'exportateur ne le fait pas.

Cette vérification porte un nom dans la pratique : l'analyse d'impact du transfert. Le Comité européen de la protection des données en a détaillé la méthode dans ses recommandations 01/2020 sur les mesures qui complètent les outils de transfert, en six étapes : connaître ses transferts, identifier l'outil sur lequel on s'appuie, évaluer son efficacité au regard du droit et des pratiques du pays de destination, adopter des mesures supplémentaires si nécessaire, accomplir les formalités qui en découlent, et réévaluer à intervalles réguliers.

Les clauses de 2021 ont intégré cette exigence : elles comportent une section consacrée aux lois et pratiques locales, qui oblige les parties à garantir qu'elles n'ont aucune raison de croire que ce droit empêche l'importateur de tenir ses engagements, et à conserver la documentation de cette évaluation.

Toutes les mesures supplémentaires ne se valent pas, et l'écart entre elles est large.

Famille Exemple Ce qu'elle empêche vraiment
Technique Chiffrement dont les clés restent chez l'exportateur, dans l'EEE Une réquisition adressée à l'importateur ne donne accès qu'à des données illisibles
Technique Pseudonymisation robuste, table de correspondance conservée dans l'EEE L'importateur ne peut pas rattacher les enregistrements à des personnes identifiées
Contractuelle Engagement de notifier et de contester toute demande d'accès Peu de chose face à une autorité qui interdit de divulguer sa demande, c'est un complément
Organisationnelle Politique interne de traitement des réquisitions, rapports de transparence, cloisonnement des équipes Elle discipline et documente, elle ne lie pas l'autorité étrangère

Les recommandations 01/2020 vont plus loin et décrivent des situations pour lesquelles le Comité n'a identifié aucune mesure supplémentaire efficace : l'hébergement chez un prestataire d'un pays tiers qui a besoin des données en clair pour rendre son service, et l'accès distant à des données en clair à des fins opérationnelles. Ce sont, malheureusement, deux des configurations les plus banales d'une architecture cloud.

C'est aussi la raison pour laquelle la cryptographie redevient un sujet juridique. Un chiffrement au repos dont le fournisseur détient les clés protège contre le vol d'un disque, pas contre une demande adressée au fournisseur. Qui détient la clé décide qui peut lire.

L'article 48 ferme une dernière porte. Une décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant la communication de données ne peut être reconnue ou rendue exécutoire que si elle se fonde sur un accord international, du type traité d'entraide judiciaire.

flowchart TD flux["Des données personnelles sortent de l'EEE
ou deviennent accessibles depuis un pays tiers"] q1{"Pays couvert par une
décision d'adéquation ?"} adeq["Art. 45 : le transfert repose sur l'adéquation.
Décision révisable, à surveiller"] q2{"Un outil de l'art. 46
est-il mobilisable ?"} tia["Analyse d'impact du transfert :
le droit du pays de destination laisse-t-il
l'outil produire son effet ?"] q3{"Des mesures supplémentaires
rendent-elles la protection effective ?"} feu["Transfert fondé.
Évaluation documentée,
réexaminée à intervalles réguliers"] q4{"Situation ponctuelle relevant
d'une dérogation de l'art. 49 ?"} derog["Dérogation de l'art. 49,
d'interprétation stricte"] nogo["Aucun fondement :
le transfert ne peut pas avoir lieu"] flux --> q1 q1 -- oui --> adeq q1 -- non --> q2 q2 -- oui --> tia q2 -- non --> q4 tia --> q3 q3 -- oui --> feu q3 -- non --> q4 q4 -- oui --> derog q4 -- non --> nogo classDef entree fill:#1f2428,stroke:#5f5e5a,color:#f5f2ec classDef question fill:#ede9e1,stroke:#b5651d,color:#1a1a1a classDef valide fill:#b5651d,stroke:#5f5e5a,color:#f5f2ec classDef vigilance fill:#d89253,stroke:#5f5e5a,color:#1a1a1a classDef bloque fill:#a0413e,stroke:#5f5e5a,color:#f5f2ec class flux entree class q1,q2,q3,q4 question class adeq,feu valide class tia,derog vigilance class nogo bloque

Vue d'ingénieur, tout cela commence par une cartographie. Tant qu'on ne sait pas quels flux sortent, vers qui et sous quel régime, l'analyse n'a pas d'objet. Une ligne par destination, tenue à jour avec le registre, ressemble à ceci.

# Cartographie des flux sortants, une entrée par destination
- traitement: "Programme de fidélité des Arcades"
  exportateur: "Les Arcades, responsable de traitement, France"
  importateur: "Centrale d'animation, sous-traitant, pays tiers"
  categories: ["identité", "coordonnées", "historique d'achat"]
  mise_a_disposition: ["réplication nocturne", "accès support 24/7"]
  fondement: "art. 46(2)(c), clauses contractuelles types, module 2"
  evaluation_transfert: "2026-03-11"
  mesures_supplementaires:
    - "chiffrement au repos, clés conservées dans l'EEE"
    - "pseudonymisation avant export, correspondance non transférée"
  sous_traitants_ulterieurs: ["hébergeur régional", "prestataire de routage e-mail"]
  reexamen: "2027-03-11"
Depuis Schrems II, l'outil de transfert n'est plus une case à cocher. Il faut démontrer qu'il produit son effet dans le pays de destination, et garder la trace de cette démonstration.

Les dérogations de l'article 49

Le fichier complet part chaque nuit chez la centrale : c'est un flux. Envoyer le dossier d'un client précis à un avocat installé hors d'Europe pour défendre le centre dans un litige : c'est autre chose. L'article 49 vise ce second cas.

Il énumère des situations particulières : le consentement explicite de la personne après information sur les risques, la nécessité pour l'exécution d'un contrat conclu avec elle ou dans son intérêt, des motifs importants d'intérêt public, la constatation ou la défense d'un droit en justice, la protection d'intérêts vitaux quand la personne est incapable de consentir, et les transferts issus d'un registre public.

S'y ajoute, au second alinéa du même paragraphe, une dérogation résiduelle très encadrée : un transfert non répétitif, portant sur un nombre limité de personnes, nécessaire aux fins d'intérêts légitimes impérieux, assorti de garanties appropriées, et signalé à l'autorité de contrôle comme aux personnes concernées.

Le Comité européen de la protection des données a consacré ses lignes directrices 2/2018 à ces dérogations, avec une position constante : elles s'interprètent strictement et visent des transferts occasionnels et non répétitifs.

Autrement dit, la réplication nocturne du fichier client ne relève pas de l'article 49, quelle que soit la formulation retenue dans les conditions générales. La régularité d'un flux exclut à peu près par construction le recours à une dérogation.

L'article 49 n'est pas la porte de secours d'un flux industriel. C'est la porte étroite d'un envoi ponctuel.

Le cadre UE-États-Unis de 2023

Aux Arcades, tous les prestataires d'un même pays ne se valent pas. La direction accepte de livrer sans contrat spécifique à ceux qui figurent sur un annuaire officiel, tenu par un tiers, avec une inscription vérifiable et révocable. Les autres passent par la convention détaillée.

C'est la mécanique du cadre de protection des données entre l'Union européenne et les États-Unis, objet d'une décision d'adéquation de la Commission adoptée le 10 juillet 2023, trois ans après l'invalidation du Privacy Shield. Côté américain, cette adéquation s'appuie notamment sur l'executive order 14086 du 7 octobre 2022, qui encadre les activités de renseignement électromagnétique par des principes de nécessité et de proportionnalité et institue une voie de recours en deux étapes, dont une juridiction de contrôle dédiée.

Sa particularité tient à sa portée. L'adéquation ne couvre pas les États-Unis en bloc, mais les organisations qui se sont auto-certifiées et qui figurent sur la liste tenue par le département du Commerce, consultable sur le site officiel du Data Privacy Framework. Une certification peut expirer, être retirée, ou ne couvrir que certaines catégories de données.

S'en prévaloir suppose donc une vérification préalable de l'inscription du destinataire précis, pas de son groupe ni de sa maison mère. Pour une entité non certifiée, on revient à l'article 46 et à l'analyse qui l'accompagne.

Le cadre a déjà été contesté devant le juge de l'Union, et l'article 45(3) impose de toute façon un réexamen périodique. Sa longévité n'est pas garantie par avance, ce qui plaide pour une cartographie capable de dire, rapidement, quels flux dépendent de lui.

Une adéquation par auto-certification déplace la vérification vers l'exportateur : elle ne vaut que pour l'entité inscrite, à la date où on la consulte.

Meta Platforms Ireland : 1,2 milliard d'euros

Le cas qui a donné sa portée concrète à tout ce qui précède se passe d'attaquant. Aucune intrusion, aucune donnée volée. Un flux, et un fondement jugé insuffisant.

Le 22 mai 2023, la Data Protection Commission irlandaise, autorité chef de file pour Meta Platforms Ireland Limited, a annoncé la conclusion de son enquête sur les transferts vers les États-Unis des données des utilisateurs européens du service Facebook. Sa décision, adoptée dix jours plus tôt, retient un manquement à l'article 46(1) et prononce une amende administrative de 1,2 milliard d'euros, la plus lourde infligée au titre du RGPD.

Le raisonnement suit Schrems II ligne à ligne. Les transferts reposaient sur les clauses contractuelles types, et l'autorité a considéré que les mesures adoptées ne compensaient pas les risques d'accès par les autorités américaines identifiés par la Cour de justice. La décision est intervenue après la décision contraignante 1/2023 du Comité européen de la protection des données, adoptée le 13 avril 2023 dans le cadre du mécanisme de règlement des litiges de l'article 65.

L'amende n'était pas la seule mesure. Deux injonctions l'accompagnaient : suspendre tout transfert futur vers les États-Unis dans un délai de cinq mois, et mettre les traitements en conformité avec le chapitre V dans les six mois. L'affaire remonte à une plainte déposée par Maximillian Schrems auprès de l'autorité irlandaise dix ans plus tôt, à l'origine de la lignée qui a donné Schrems I puis Schrems II.

Le dossier laisse trois enseignements.

Un transfert peut être sanctionné pour lui-même, sans qu'aucun manquement à la sécurité au sens de l'article 32 soit en cause. Un fondement qui ne tient pas suffit.

La conformité se décide ensuite dans le droit du pays de destination, au-delà du contrat signé. Les clauses étaient en place. Elles ne suffisaient pas.

Reste le calendrier. La décision d'adéquation du 10 juillet 2023 a rouvert une voie pour les transferts vers des entités américaines certifiées, moins de deux mois après cette sanction, qui portait sur la période antérieure. Les fondements bougent, les flux restent, et c'est la cartographie qui permet de raccrocher les seconds aux premiers.

Le dossier illustre ce que le billet sur la conformité et ses quatre référentiels décrivait : une obligation légale se sanctionne par une décision contraignante, et le montant ne dépend pas de la bonne volonté affichée.

Meta a été sanctionnée pour un flux, pas pour une fuite. L'analyse d'impact du transfert était le cœur du dossier.

Points clés

  • Le chapitre V pose un principe simple à l'article 44 : le niveau de protection du RGPD ne doit pas être compromis quand les données sortent, transferts ultérieurs compris.
  • Un transfert ne suppose pas de déplacement physique. Rendre des données accessibles depuis un pays tiers, par un simple accès support à distance, en est un.
  • L'ordre de recherche du fondement reste stable : décision d'adéquation (art. 45), puis garanties appropriées (art. 46), puis dérogations strictes et ponctuelles (art. 49).
  • Depuis l'arrêt C-311/18 du 16 juillet 2020, une garantie de l'article 46 s'accompagne d'une évaluation du droit du pays de destination et, le cas échéant, de mesures supplémentaires, les seules réellement efficaces étant souvent techniques.
  • Le cadre UE-États-Unis de 2023 fonctionne par auto-certification : il vaut pour l'entité inscrite sur la liste officielle, à vérifier destinataire par destinataire.

Dans la série

Palier 3 : Tenir la galerie. Domaine : Protection des données.

Pour aller plus loin