Article 46 RGPD : Garanties Appropriées pour les Transferts Internationaux

1. Place de l'Article 46 dans le Chapitre V

En l'absence de décision d'adéquation au titre de l'Article 45, un responsable du traitement ou un sous-traitant ne peut transférer des données vers un pays tiers ou une organisation internationale sur le fondement de l'Article 46 que s'il met en place des garanties appropriées et si les personnes disposent de droits opposables et de voies de droit effectives. L'Article 46 organise des mécanismes réguliers de transfert ; les dérogations de l'Article 49 demeurent exceptionnelles.

2. Les garanties disponibles

Le choix du mécanisme dépend des parties, de la chaîne de traitement et du statut de l'importateur. Sans autorisation spécifique d'une autorité de contrôle, l'Article 46(2) permet notamment :

• Un instrument juridiquement contraignant et exécutoire entre autorités ou organismes publics.
• Les règles d'entreprise contraignantes (BCR) approuvées conformément à l'Article 47 pour les transferts intragroupe.
• Les clauses types de protection des données adoptées par la Commission européenne ou par une autorité de contrôle puis approuvées par la Commission (CCT / SCC).
• Un code de conduite approuvé au titre de l'Article 40, assorti de l'engagement contraignant et exécutoire de l'importateur d'appliquer les garanties appropriées.
• Un mécanisme de certification approuvé au titre de l'Article 42, lui aussi accompagné d'engagements contraignants et exécutoires de l'importateur.

Avec l'autorisation de l'autorité de contrôle compétente, l'Article 46(3) permet également des clauses contractuelles ad hoc entre exportateur et importateur ainsi que certaines dispositions administratives non juridiquement contraignantes entre autorités ou organismes publics, à condition qu'elles prévoient des droits opposables et effectifs.

3. Certification Art. 46(2)(f) : l'exemple Europrivacy v82

L'Avis 15/2026, adopté le 15 avril 2026, a approuvé les critères de l'extension Europrivacy destinée aux importateurs établis hors EEE qui ne sont pas directement soumis au RGPD au titre de l'Article 3(2). Le 6 août 2026, cette extension v2.0, également appelée v82, a été publiée au registre du CEPD comme mécanisme spécifique et label européen de protection des données utilisable pour les transferts.

• La certification est volontaire et porte sur un périmètre de traitements défini ; il faut vérifier le certificat, sa portée, sa validité et l'organisme certificateur.
• L'importateur doit souscrire des engagements contraignants et exécutoires couvrant les garanties appropriées, les droits des personnes et les recours effectifs.
• Le certificat ne remplace pas les autres obligations du Chapitre V, la responsabilité de l'exportateur ni le contrôle de la chaîne de sous-traitance.

Il faut distinguer l'extension Europrivacy Art. 46 pour importateurs de la certification Europrivacy générale Art. 42 : cette dernière démontre la conformité d'opérations couvertes, mais n'est pas en elle-même un outil de transfert.

4. Évaluation du pays tiers et mesures supplémentaires

Quel que soit l'outil retenu, l'exportateur doit vérifier si le droit et les pratiques du pays tiers risquent d'empêcher l'importateur de respecter effectivement les garanties promises. Lorsque ce risque existe, l'analyse du transfert (TIA) doit être documentée et des mesures supplémentaires techniques, contractuelles ou organisationnelles doivent assurer un niveau de protection essentiellement équivalent.

• Cartographier les flux, accès distants, sous-importateurs, catégories de données et finalités.
• Évaluer les lois et pratiques pertinentes du pays tiers au regard du transfert concret.
• Tester l'efficacité des mesures supplémentaires, notamment la maîtrise des clés de chiffrement et la minimisation.
• Suspendre le transfert ou mettre fin au mécanisme si les garanties ne peuvent pas être respectées dans la pratique.

5. Plan d'action documentaire

• Qualifier d'abord l'existence d'un transfert et rechercher une éventuelle décision d'adéquation.
• Choisir une garantie de l'Article 46 adaptée, sans réduire automatiquement le choix aux seules CCT.
• Documenter la portée du mécanisme, les engagements de l'importateur, les droits opposables et les voies de recours.
• Réaliser et actualiser l'évaluation du pays tiers et les mesures supplémentaires lorsque nécessaire.
• Inscrire le transfert au registre, mettre à jour l'information des personnes et organiser la revue périodique du mécanisme.

Sources Officielles Vérifiées

Voir aussi dans le Référentiel