Votre site utilise Google Analytics, votre CRM est hébergé chez Salesforce, et vos sauvegardes tournent sur AWS ? Félicitations : vous transférez probablement des données personnelles hors de l’UE sans le savoir.
En 2026, les transferts de données vers des pays tiers (États-Unis, Inde, Chine, etc.) restent l’un des sujets les plus complexes du RGPD. Entre l’invalidation du Privacy Shield, les exigences de la CNIL, et les risques juridiques croissants, les entreprises françaises sont prises en étau. Pourtant, ignorer ces règles expose à des amendes lourdes et à des sanctions administratives.
Ce guide vous donne le tableau complet des obligations 2026, les risques concrets, et les solutions pour sécuriser vos transferts de données, que vous soyez une PME, une agence web ou un DPO.
Pourquoi les transferts hors UE sont un problème (et pas seulement pour les GAFAM)
Le RGPD (art. 44 à 50) impose que les données personnelles des Européens bénéficient d’un niveau de protection équivalent à celui de l’UE, même lorsqu’elles sont transférées vers un pays tiers. Problème : la plupart des pays (États-Unis, Inde, Chine, Brésil, etc.) n’offrent pas ce niveau de protection.
Pourtant, les transferts sont omniprésents :
- Un site web utilisant Google Analytics envoie des données aux États-Unis.
- Un e-commerce hébergé sur Shopify (Canada) transfère les données clients hors UE.
- Une entreprise utilisant Microsoft 365 ou AWS stocke ses données sur des serveurs américains ou asiatiques.
- Un sous-traitant basé en Inde ou aux Philippines traite des données pour le compte d’une entreprise européenne.
Résultat : 65 % des entreprises françaises utilisent des outils cloud américains (source : CNIL, rapport 2025), souvent sans savoir qu’elles violent le RGPD.
Le tableau des obligations par type de transfert (2026)
| Type de transfert | Obligation légale | Garanties à mettre en place | Risque en cas de non-conformité |
|---|---|---|---|
| Vers un pays reconnu "adéquat" (ex. : Royaume-Uni, Japon, Suisse) |
Aucune garantie supplémentaire (art. 45 RGPD) | Vérifier la liste officielle de la Commission européenne (15 pays en 2026) | Faible (sauf si le pays perd son statut) |
| Vers les États-Unis (Google, Meta, AWS, Salesforce, etc.) |
Clauses contractuelles types (SCC) + Analyse d’impact (TIA) (art. 46 RGPD) |
|
Élevé : Amendes CNIL (jusqu’à 4 % du CA), suspension des transferts, actions en justice |
| Vers un pays sans décision d’adéquation (Inde, Chine, Brésil, etc.) |
Clauses contractuelles types (SCC) ou Règles d’entreprise contraignantes (BCR) (art. 46 RGPD) |
|
Élevé (risque juridique et réputationnel) |
| Sous-traitance hors UE (ex. : centre d’appels en Inde, développeur au Maroc) |
Contrat avec clauses SCC + TIA (art. 28 RGPD) |
|
Moyen (responsabilité partagée avec le sous-traitant) |
| Transfert occasionnel (ex. : envoi d’un CV à un recruteur aux États-Unis) |
Dérogation possible (art. 49 RGPD) |
|
Faible (si la dérogation est justifiée et documentée) |
Attention : Les SCC seules ne suffisent plus depuis l’arrêt Schrems II (2020). Vous devez compléter par une analyse d’impact (TIA) pour évaluer les risques liés aux lois locales (ex. : Cloud Act aux États-Unis, loi chinoise sur la cybersécurité).
États-Unis : quoi de neuf en 2026 ?
Les transferts vers les États-Unis restent le cas le plus problématique. Voici les évolutions clés :
Invalidation du Privacy Shield (arrêt Schrems II)
La Cour de justice de l’UE (CJUE) invalide le Privacy Shield, estimant que les lois américaines (Cloud Act, FISA) ne protègent pas suffisamment les données des Européens.
Nouvelles SCC et recommandations de la CNIL
La Commission européenne publie des clauses contractuelles types (SCC) mises à jour, et la CNIL publie des recommandations pour les transferts vers les États-Unis.
Premières sanctions CNIL sur les transferts
La CNIL sanctionne plusieurs entreprises pour des transferts non conformes vers les États-Unis, avec des amendes allant jusqu’à 1,2 million d’euros.
Contrôles renforcés et amendes record
La CNIL intensifie ses contrôles sur les transferts internationaux, avec des amendes ciblant les entreprises utilisant Google Analytics, Meta Business Suite ou AWS sans garanties suffisantes.
En 2026, les entreprises doivent donc :
- Signer les SCC mises à jour (2021) : Les anciennes versions ne sont plus valables.
- Réaliser une Transfer Impact Assessment (TIA) : Documenter les risques liés aux lois américaines (Cloud Act, FISA) et les mesures compensatoires mises en place (chiffrement, pseudonymisation).
- Limiter les données transférées : Ne transmettre que les données strictement nécessaires, et privilégier l’anonymisation lorsque c’est possible.
- Documenter le transfert dans le registre des traitements : L’article 30 du RGPD impose de lister tous les transferts hors UE, avec les garanties associées.
Solutions pour se mettre en conformité (sans tout casser)
Voici les options pour sécuriser vos transferts de données, classées par niveau de risque et de complexité :
Vérifiez votre conformité en 2 minutes
Notre outil gratuit analyse vos transferts de données et vous indique les risques RGPD.
Cas pratiques : Google, Meta, AWS... comment faire ?
Voici comment sécuriser les transferts pour les outils les plus utilisés par les entreprises françaises :
Google Analytics
Problème : Les données sont transférées vers les États-Unis par défaut.
Solution :
- Utiliser Google Analytics 4 (GA4) avec les SCC signées.
- Activer l’option « Data Processing Amendment » dans les paramètres.
- Réaliser une TIA pour évaluer les risques liés au Cloud Act.
- Limiter la collecte aux données strictement nécessaires (ex. : désactiver le suivi des adresses IP).
Meta (Facebook, Instagram, WhatsApp)
Problème : Les données des utilisateurs européens sont stockées aux États-Unis.
Solution :
- Signer les SCC mises à jour dans les paramètres de Meta Business Suite.
- Désactiver le partage des données avec des partenaires tiers (ex. : publicitaires).
- Utiliser des outils alternatifs basés dans l’UE (ex. : Matomo pour l’analytics, Rocket.Chat pour la messagerie).
AWS (Amazon Web Services)
Problème : Les données sont souvent hébergées sur des serveurs américains par défaut.
Solution :
- Choisir une région européenne (ex. : Frankfurt, Paris, Dublin).
- Signer les SCC avec AWS et réaliser une TIA.
- Activer le chiffrement des données au repos et en transit.
- Limiter l’accès aux données aux seules personnes autorisées.
Que faire en cas de contrôle CNIL ?
La CNIL a renforcé ses contrôles sur les transferts internationaux en 2026. Voici comment réagir :
Avant le contrôle
Préparez les documents suivants :
- Votre registre des traitements (art. 30 RGPD), avec la liste des transferts hors UE.
- Les contrats signés avec vos sous-traitants (SCC, BCR, etc.).
- Les analyses d’impact (TIA) pour les transferts vers les États-Unis ou d’autres pays à risque.
- Les preuves de conformité (ex. : captures d’écran des paramètres de Google Analytics, factures d’hébergement dans l’UE).
Pendant le contrôle
La CNIL peut vous demander :
- De justifier chaque transfert (pourquoi ce pays ? pourquoi ce sous-traitant ?).
- De prouver que vous avez évalué les risques (TIA, mesures techniques).
- De montrer que vous avez informé les personnes concernées (mention dans la politique de confidentialité).
- De suspendre un transfert non conforme sous 48h si la CNIL l’exige.
Bon à savoir : La CNIL privilégie les mesures correctives plutôt que les sanctions pour les entreprises de bonne foi. Si vous montrez que vous avez fait des efforts pour vous conformer (même partiellement), les amendes seront réduites.
Questions fréquentes
Qu’est-ce qu’un transfert de données hors UE selon le RGPD ?
Un transfert de données hors UE désigne toute communication, copie ou accès à des données personnelles depuis l’UE vers un pays tiers ou une organisation internationale. Cela inclut les hébergements cloud (AWS, Google Cloud), les outils SaaS (Meta, Salesforce) ou les sous-traitants basés hors UE. Exemple : Si votre site utilise Google Analytics, les données des visiteurs sont transférées vers les serveurs de Google aux États-Unis.
Quels sont les risques juridiques en 2026 pour les transferts non conformes ?
Les risques incluent :
- Des amendes jusqu’à 4 % du chiffre d’affaires mondial (art. 83 RGPD).
- Des injonctions de la CNIL pour suspendre les transferts sous 48h.
- Des actions en responsabilité civile en cas de fuite de données (ex. : plainte d’un client dont les données ont été exposées).
- Un risque réputationnel (perte de confiance des clients, impact sur la marque).
Quelles sont les alternatives aux clauses contractuelles types (SCC) ?
Les alternatives incluent :
- Les règles d’entreprise contraignantes (BCR), réservées aux grands groupes (ex. : multinationales).
- Les dérogations spécifiques (art. 49 RGPD) : consentement explicite, intérêt public, exécution d’un contrat.
- L’hébergement des données dans l’UE (ex. : AWS Frankfurt, Google Paris, OVH).
- L’anonymisation des données avant transfert (si les données ne sont plus personnelles, le RGPD ne s’applique plus).
Comment vérifier si un pays tiers offre un niveau de protection adéquat ?
Consultez la liste des décisions d’adéquation de la Commission européenne. En 2026, seuls 15 pays bénéficient de cette reconnaissance, dont :
- Le Royaume-Uni (post-Brexit)
- Le Japon
- La Suisse
- Le Canada (pour les données commerciales)
- La Corée du Sud
Attention : Cette liste est mise à jour régulièrement. Vérifiez toujours la version la plus récente.
Dois-je documenter mes transferts de données dans mon registre des traitements ?
Oui, l’article 30 du RGPD impose de documenter tous les transferts de données hors UE dans votre registre des activités de traitement. Vous devez préciser :
- Le pays de destination (ex. : États-Unis, Inde).
- Les garanties mises en place (SCC, BCR, décision d’adéquation).
- Les mesures techniques et organisationnelles (chiffrement, pseudonymisation, etc.).
- La finalité du transfert (ex. : hébergement cloud, sous-traitance).
Si vous utilisez notre générateur de registre des traitements, ces informations sont automatiquement incluses.
Quelles sont les obligations spécifiques pour les transferts vers les États-Unis en 2026 ?
Depuis l’invalidation du Privacy Shield en 2020, les transferts vers les États-Unis doivent s’appuyer sur :
- Les clauses contractuelles types (SCC) mises à jour par la Commission européenne en 2021.
- Une Transfer Impact Assessment (TIA) pour évaluer les risques liés aux lois américaines (Cloud Act, FISA).
- Des mesures techniques supplémentaires : chiffrement des données, limitation de l’accès, pseudonymisation.
- Une mention dans votre politique de confidentialité pour informer les utilisateurs du transfert.
Exemple de mention :
« Vos données peuvent être transférées vers les États-Unis dans le cadre de l’utilisation de [nom de l’outil, ex. : Google Analytics]. Ce transfert est encadré par des clauses contractuelles types (SCC) et des mesures techniques de protection (chiffrement, pseudonymisation). »
Comment réaliser une Transfer Impact Assessment (TIA) ?
Une TIA est une analyse d’impact qui permet d’évaluer les risques liés à un transfert de données vers un pays tiers. Voici les étapes clés :
- Identifier le pays de destination et ses lois locales (ex. : Cloud Act aux États-Unis, loi chinoise sur la cybersécurité).
- Évaluer les risques : accès des autorités locales aux données, niveau de protection des droits des personnes concernées.
- Mettre en place des mesures compensatoires : chiffrement, pseudonymisation, limitation de l’accès aux données.
- Documenter l’analyse dans un rapport écrit (à conserver en cas de contrôle CNIL).
La CNIL propose un guide pour réaliser une TIA.
Puis-je transférer des données vers un sous-traitant basé hors UE ?
Oui, mais sous conditions strictes (art. 28 RGPD) :
- Le sous-traitant doit offrir des garanties suffisantes (ex. : certification ISO 27001, adhésion à un code de conduite).
- Vous devez signer un contrat avec des clauses SCC ou des BCR.
- Vous devez documenter le transfert dans votre registre des traitements.
- Vous devez informer les personnes concernées (mention dans la politique de confidentialité).
Exemple : Si vous externalisez votre service client à un centre d’appels en Inde, vous devez signer un contrat avec des SCC et réaliser une TIA pour évaluer les risques liés aux lois locales.
Les transferts de données hors UE sont un sujet complexe, mais négliger ces obligations expose votre entreprise à des risques juridiques et financiers majeurs. En 2026, la CNIL ne fait plus de cadeaux : les contrôles se multiplient, et les amendes pleuvent.
La bonne nouvelle ? Des solutions existent pour se mettre en conformité sans tout révolutionner. Que vous optiez pour l’hébergement dans l’UE, les SCC + TIA, ou les dérogations ponctuelles, l’essentiel est d’agir avant de recevoir une mise en demeure.
Pour aller plus loin, consultez notre article sur les durées de conservation des données, ou utilisez notre outil gratuit de vérification RGPD pour identifier vos risques en 2 minutes.
Recevez la checklist de conformité RGPD (12 points)
La liste complète des éléments à vérifier sur votre site, point par point, pour vous mettre en conformité. Envoi immédiat par e-mail.
Jérémy Pierre
Expert en conformité RGPD, Jérémy accompagne les sites et agences dans la mise en conformité de leurs traitements de données depuis le lancement de RGPDKit.
Rédaction assistée par IA. Cet article a été préparé avec l’aide d’outils d’intelligence artificielle, à partir de sources juridiques publiques (textes officiels, délibérations de la CNIL), puis relu avant publication. Les références citées peuvent être vérifiées directement auprès des sources indiquées. Il ne constitue pas un conseil juridique personnalisé.