CJUE C-311/18 Schrems II : Régime des Transferts de Données Hors UE

1. Contexte & Invalidation du Privacy Shield

Par son arrêt du 16 juillet 2020 (C-311/18 - Schrems II, ECLI:EU:C:2020:559), la Cour de Justice de l'Union Européenne a invalidé la décision d'adéquation EU-US Privacy Shield en raison des programmes de surveillance américains (notamment Section 702 FISA et Executive Order 12333) ne prévoyant pas de garanties substantiellement équivalentes à celles exigées par la Charte des droits fondamentaux de l'UE (absence de recours juridictionnel effectif pour les personnes concernées européens).

2. Maintien des CCT & Exigence de Mesures Supplémentaires

La Cour a confirmé la validité de principe des Clauses Contractuelles Types (CCT / SCCs), tout en établissant une obligation rigoureuse pour l'exportateur européen :

• Évaluation d'impact du transfert (TIA / Transfer Impact Assessment) : L'exportateur doit évaluer au cas par cas si la législation du pays tiers permet à l'importateur de respecter les engagements des CCT.
• Mesures supplémentaires nécessaires : Si la législation du pays tiers autorise des accès disproportionnés des autorités publiques, l'exportateur doit adopter des garanties techniques (chiffrement de bout en bout sans clé accessible dans le pays tiers), contractuelles ou organisationnelles efficaces.

Régime actuel des transferts vers les États-Unis : Tous les transferts vers les USA ne sont pas interdits. Depuis juillet 2023, le cadre EU-US Data Privacy Framework (DPF) constitue une décision d'adéquation valide pour les organisations américaines certifiées. Pour les importateurs non certifiés, le recours aux CCT avec analyse d'impact (TIA) demeure obligatoire.

3. Démarche de Conformité pour les Exportateurs de Données

Tout recours à un sous-traitant ou hébergeur hors UE impose de cartographier la chaîne de transfert, de vérifier la certification DPF ou de formaliser des CCT assorties d'une analyse des législations locales d'accès étatique.

4. Les CCT ne sont pas l'unique garantie de l'Article 46

Les CCT constituent un mécanisme fréquent, mais l'Article 46 prévoit aussi les règles d'entreprise contraignantes (BCR), certains instruments entre autorités publiques, les codes de conduite et les mécanismes de certification accompagnés d'engagements contraignants et exécutoires de l'importateur. Depuis le 6 août 2026, le registre du CEPD publie l'extension Europrivacy v82 comme premier label européen de protection des données utilisable comme outil de transfert au titre de l'Article 46(2)(f).

La certification n'est ni une décision d'adéquation ni une autorisation générale de transférer. Consultez la fiche permanente Article 46 — garanties appropriées pour comparer les mécanismes et leurs conditions.

Sources Officielles Vérifiées

Voir aussi dans le Référentiel