Rester conforme au RGPD dans les échanges de données avec des pays tiers, partie 3b : dans le reste du monde, régime général

Dans ce dernier Fil RGPD sur les transferts de données entre professionnel(le)s du droit, nous reviendrons sur les éléments essentiels du régime général applicable en cas de transferts de données vers des pays dits « tiers ».

Rappel : pays tiers et principe de base

Pour rappel, la notion de « pays tiers » recouvre :

• les pays ne se trouvant pas dans l’Espace économique européen (voyez le premier Fil de cette série) ;
• les pays non sujets à une décision d’adéquation de la Commission européenne (voyez a contrario le deuxième Fil de cette série).

On ajoute à ces pays toute entité ne figurant pas dans la fameuse liste du Département du Commerce américain, et qui ne bénéficie donc pas du régime d’adéquation particulier qui s’y rapporte.

Pour tous ces pays et toutes ces entités, les transferts sont donc soumis soit au régime général, dont nous abordons les points essentiels ici, soit aux régimes d’exception que nous avons vus dans la partie 3a.

L’objectif du régime de protection des transferts de données personnelles est, pour rappel, d’assurer à l’étranger, chez votre correspondant(e), un niveau de protection de ces données (à peu près) équivalent à celui offert par le RGPD.

Les outils

L’article 46 du RGPD énumère une grande palette d’outils destinés à offrir des « garanties appropriées ». Parmi ces outils, l’entité qui effectue le transfert doit sélectionner celui qui correspond à sa situation.

Dans l’immense majorité des cas, un seul outil, de nature contractuelle, sera utilisé : les clauses contractuelles standard de la Commission européenne en matière de transferts. Elles ne doivent pas être confondues avec les clauses contractuelles dites « article 28 », qui sont destinées à régir les obligations des sous-traitants visés par cet article.

D’autres outils pourraient être utilisés, par exemple en cas de transfert de données entre deux entités d’un même groupe qui seraient soumises à ce que l’on appelle des « règles d’entreprise contraignantes » (Binding Corporate Rules ou Inter-Company Agreement), développées en interne et approuvées par les autorités compétentes. Les avocat(e)s travaillant dans des cabinets internationaux sont particulièrement concerné(e)s et invité(e)s à se renseigner sur cette possibilité.

Mode d’emploi des clauses contractuelles standard

Dans le contexte des transferts internationaux, on appelle « exportateur » la personne ou l’entité qui transfère les données personnelles soumises au RGPD vers un pays tiers ou une entreprise non reprise dans la liste du Département du Commerce. On appelle « importateur » la personne ou l’entité qui reçoit ces données.

Si vous envoyez des données à un collègue étranger, vous êtes exportateur. C’est à vous qu’il revient de compléter les clauses selon la procédure qui suit. Sauf mention contraire dans les étapes qui suivent, le texte des clauses ne peut en aucun cas être modifié. Toute modification entraînerait la nullité des clauses de plein droit.

1. Obtenir les clauses : voici la version la plus récente des clauses, à jour au 2 octobre 2026 (lien de téléchargement direct).
2. Copier-coller le texte des clauses (sous le titre « Annexe ») dans votre contrat avec votre correspondant(e), le cas échéant. Les clauses peuvent aussi être utilisées indépendamment de tout contrat-cadre.
3. Qualifier votre correspondant(e) au sens du RGPD : nous vous renvoyons pour cela à la fiche n°7 de votre boîte à outils RGPD, également disponible dans le syllabus RGPD de la formation initiale.
4. Choisir un module : en fonction de la qualification retenue à l’étape précédente, vous devez choisir un module parmi les quatre existants. Pour un(e) avocat(e) belge envoyant des données à l’étranger, dans la mesure où il ou elle est responsable du traitement, il lui faudra choisir entre le module 1 et le module 2, selon que le ou la correspondant(e) est considéré(e) comme un responsable de traitement (conjoint ou non, peu importe) ou un sous-traitant. Les deux autres modules s’appliquent dans des situations bien particulières que nous n’abordons pas ici.
5. Effacer le texte qui concerne les autres modules que celui que vous avez choisi, dans toutes les clauses où ce texte se trouve.
6. Le cas échéant, effacer la clause d’adhésion et ne laisser que le titre (« Clause 7 – clause d’adhésion »), suivi de la mention « non applicable » ou d’une mention similaire. La clause d’adhésion permet à une partie qui rejoindrait le contrat en cours de route d’adhérer aux clauses par simple modification de l’annexe I.A.
7. Choisir un régime d’autorisation si votre correspondant(e) est un sous-traitant : soit il ne peut faire à son tour appel à un sous-traitant qu’après avoir obtenu votre autorisation écrite préalable spécifique, soit il ne peut le faire que si ce sous-traitant figure dans la liste reprise dans l’annexe III.A (autorisation préalable générale).
8. Choisir une possibilité d’arbitrage indépendant dans le pays où les données sont envoyées (clause 11).
9. Choisir l’autorité de contrôle compétente (clause 13) : l’avocat(e) belge qui transmet des données à l’étranger reste soumis(e) à l’Autorité de protection des données belge. La première option doit être sélectionnée (« [Si l’exportateur de données est établi dans un État membre de l’Union] (…) »).
10. Réaliser ou obtenir et conserver une analyse d’impact de transfert du régime juridique et des pratiques applicables en matière de protection des données et des droits fondamentaux dans le pays où il est prévu d’envoyer les données (clause 14). Comme dans le régime d’exception, une recherche sur internet avec les termes « data protection world » vous permettra de trouver une série d’analyses prêtes à l’emploi, souvent disponibles gratuitement pour le pays de votre correspondant(e). Si la sécurité des données et le respect des droits fondamentaux ainsi que des droits des personnes concernées ne peuvent être garantis par ce pays, le transfert ne peut être envisagé sous le régime général.
11. Choisir le droit applicable en fonction de votre situation.
12. Compléter les annexes comme indiqué, et signer.

Il importe ensuite de garder une copie de ces clauses dans vos archives, de conserver une copie de l’analyse menée et de consigner ce transfert dans le registre de traitement, dans le respect du secret professionnel, comme toujours.

Le régime général applicable aux transferts est sans nul doute l’un des aspects les plus difficiles à appréhender du RGPD. Si la mise en conformité à de tels standards vous paraît difficile (elle l’est), envisagez de vous faire épauler par un(e) spécialiste. L’investissement en vaudra la peine, car l’Autorité de protection des données veille au grain et les sanctions peuvent être importantes en cas d’infraction au RGPD, comme nous l’avons déjà vu.