Questions fréquentes
Quelles bases juridiques permettent un transfert de données hors UE ?
Quatre bases principales : la décision d'adéquation pour les pays reconnus équivalents, le Data Privacy Framework pour les entreprises américaines certifiées, les clauses contractuelles types (SCC, décision 2021/914), et les règles d'entreprise contraignantes (BCR) pour les groupes multinationaux.
Le Data Privacy Framework suffit-il seul pour transférer des données vers les États-Unis ?
Juridiquement oui, s'il s'agit d'une entreprise américaine certifiée DPF. En pratique, il est recommandé de doubler cette base avec des SCC 2021 en redondance, compte tenu des recours en cours contre la décision d'adéquation.
Qu'est-ce qu'une analyse d'impact des transferts (TIA) ?
Imposée par la jurisprudence Schrems II de la CJUE (2020), la TIA (Transfer Impact Assessment) évalue l'effectivité de la protection des données dans le pays de destination : nature des données, lois d'accès des autorités locales, et nécessité de garanties supplémentaires comme le chiffrement à clés contrôlées par l'exportateur.
Quels sont les 4 modules des SCC 2021 ?
La décision 2021/914 de la Commission européenne prévoit 4 modules : module 1 responsable à responsable, module 2 responsable à sous-traitant, module 3 sous-traitant à sous-traitant, module 4 sous-traitant à responsable.
Faut-il un DPA distinct des SCC pour un transfert hors UE ?
Non, les SCC peuvent être annexées au DPA ou intégrées en avenant : elles couvrent simultanément le rôle de contrat de sous-traitance (Article 28) et de mécanisme de transfert (Article 46) lorsqu'elles sont utilisées comme base juridique du transfert.