Transferts de données RH hors de l'Union européenne

Au 4 novembre 2026, un transfert de données personnelles hors de l'Union n'est permis que s'il repose sur un outil prévu par le chapitre V du RGPD : décision d'adéquation, clauses contractuelles types, règles d'entreprise contraignantes ou, à titre exceptionnel, une dérogation de l'article 49. Selon la CNIL, l'accès à distance depuis un pays tiers par une entité distincte constitue aussi un transfert.

Repérer les transferts

Le premier travail consiste à savoir où les données vont réellement. Un outil d'IA peut faire appel à un hébergeur, à un fournisseur de modèle de langage et à un support technique situés dans des pays différents. Le guide CNIL d'analyse d'impact des transferts, publié en janvier 2025, précise que l'accès à distance depuis un pays tiers à des données stockées dans l'Espace économique européen constitue un transfert lorsqu'il est réalisé par une entité juridiquement distincte. En revanche, un salarié de la même entité qui consulte des données en déplacement ne réalise pas un transfert au sens du RGPD.

Les outils de transfert

L'article 45 permet le transfert vers un pays reconnu par la Commission comme assurant un niveau de protection adéquat. À défaut, l'article 46 admet des garanties appropriées : clauses contractuelles types adoptées par la Commission, règles d'entreprise contraignantes, codes de conduite ou certifications approuvés. Les clauses types actuelles datent du 4 juin 2021 et les anciennes ne peuvent plus servir depuis le 27 décembre 2022. Pour les États-Unis, la page de la CNIL consacrée aux clauses types signale une décision d'adéquation du 10 juillet 2023 et prévient qu'elle peut ne pas être à jour depuis cette décision.

L'analyse d'impact des transferts

Quand le transfert repose sur un outil de l'article 46, la CNIL demande une analyse d'impact des transferts avant l'envoi, menée par l'exportateur avec l'aide de l'importateur, en six étapes : décrire le transfert, identifier l'outil, évaluer le droit et les pratiques du pays, choisir des mesures supplémentaires, les mettre en œuvre, réévaluer. Le guide indique que les mesures contractuelles seules suffisent rarement à empêcher l'accès des autorités d'un pays tiers et que des mesures techniques sont souvent nécessaires. Sans protection équivalente possible, le transfert doit être abandonné.

Demandes d'autorités étrangères

L'article 48 du RGPD prévoit qu'une décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant le transfert ou la divulgation de données n'est reconnue que si elle repose sur un accord international, comme un traité d'entraide judiciaire. Pour un DRH, la question pratique est de savoir si le fournisseur ou l'un de ses sous-traitants est soumis à une loi étrangère qui pourrait l'obliger à communiquer des données. Cette information doit figurer dans les réponses du fournisseur et dans l'analyse d'impact des transferts.

À faire

1. Demander au fournisseur la liste de ses sous-traitants et le pays de chaque traitement, support compris.
2. Identifier pour chaque flux hors Union l'outil de transfert utilisé.
3. Réaliser ou obtenir une analyse d'impact des transferts lorsque des clauses types sont utilisées.
4. Privilégier un hébergement et un traitement des requêtes d'IA dans l'Union pour les données RH.
5. Mentionner les transferts dans le registre et dans la note d'information des salariés.

Textes de référence

• Articles 44 à 49 du RGPD (CNIL, chapitre V)
• CNIL : transferts de données hors UE, le cadre général
• CNIL : les clauses contractuelles types de la Commission européenne
• CNIL : guide pratique d'analyse d'impact des transferts (janvier 2025)

Questions fréquentes

Contenu d'information générale, qui ne constitue pas un conseil juridique.