Schrems II et analyse d'impact des transferts (TIA) : guide pratique GDPR

L'arrêt Schrems II du 16 juillet 2020 a invalidé le Privacy Shield UE-États-Unis tout en confirmant que les clauses contractuelles types demeurent, en principe, un mécanisme de transfert valable.

Toutefois, les organisations qui s'appuient sur les SCCs ne peuvent pas considérer que ces clauses se suffisent à elles-mêmes. Elles doivent examiner si le système juridique et les pratiques du pays de destination permettent aux protections prévues par les SCCs de produire pleinement leurs effets.

Si nécessaire, des garanties supplémentaires peuvent être requises.

L'EDPB a ensuite élaboré une méthodologie en six étapes pour évaluer les transferts internationaux et identifier les mesures supplémentaires.

Le principe en pratique

1. Identifier le transfert
2. Identifier le mécanisme juridique
3. Évaluer le pays de destination
4. Déterminer les mesures supplémentaires
5. Documenter la décision
6. Surveiller les évolutions

Une analyse d'impact des transferts (TIA) est une évaluation documentée d'un transfert international de données, destinée à déterminer si le mécanisme de transfert offre un niveau de protection approprié compte tenu des circonstances.

Une TIA peut porter sur :

• Les données à caractère personnel transférées
• Le destinataire des données
• Le lieu vers lequel les données sont transférées
• La finalité et la nature du traitement
• Le mécanisme de transfert invoqué
• La législation et les pratiques du pays de destination
• L'accès éventuel du gouvernement ou des autorités publiques
• Les droits et voies de recours ouverts aux personnes concernées
• Les garanties techniques, contractuelles et organisationnelles
• La nécessité ou non de mesures supplémentaires
• La possibilité de procéder au transfert et à quelles conditions

Une TIA doit reposer sur le scénario de transfert précis, et non sur une seule évaluation générique du pays.

Commencez par déterminer si des données à caractère personnel sont transférées vers un pays situé hors de l'EEE ou rendues accessibles depuis un tel pays.

Les scénarios concernés peuvent comprendre :

• Le recours à un fournisseur cloud situé hors de l'EEE
• L'hébergement de données à caractère personnel hors de l'EEE
• L'accès à distance par du personnel situé hors de l'EEE
• Le partage de données avec un sous-traitant ou un sous-traitant ultérieur à l'étranger
• Le recours à des équipes de support client internationales
• L'envoi de données à un prestataire d'analyse ou de publicité à l'étranger
• L'accès international aux données au sein d'un groupe
• Les transferts ultérieurs effectués par des sous-traitants

L'analyse du transfert doit reposer sur l'environnement de traitement réel, y compris les régions cloud, les modalités d'accès à distance, les sauvegardes et les sous-traitants ultérieurs.

On ne peut pas évaluer correctement un transfert que l'on n'a pas identifié.

Établissez un inventaire couvrant :

Votre registre au titre de l'article 30, votre registre des fournisseurs, vos schémas de flux de données et votre architecture cloud constituent des points de départ utiles, mais ils doivent être confrontés à l'environnement technique réel.

Le chapitre V du GDPR prévoit plusieurs mécanismes pour les transferts internationaux.

C'est le cœur de l'évaluation du transfert.

L'organisation doit examiner si la législation et les pratiques du pays de destination pourraient porter atteinte aux protections exigées par le mécanisme de transfert retenu.

Les facteurs pertinents peuvent comprendre :

Le cadre des garanties essentielles européennes de l'EDPB constitue une référence utile pour analyser les mesures de surveillance.

Lorsque l'évaluation du pays de destination met en évidence des risques que le mécanisme de transfert ne traite pas suffisamment, des mesures supplémentaires peuvent être nécessaires.

L'EDPB distingue, dans les grandes lignes, les mesures techniques, contractuelles et organisationnelles.

Une TIA défendable doit être écrite, fondée sur des éléments probants et propre au transfert concerné.

Un dossier de TIA exploitable peut contenir :

Conclusion finale

L'organisation doit indiquer si :

• A. Le transfert peut avoir lieu tel qu'il a été évalué ;
• B. Le transfert peut avoir lieu sous réserve de mesures supplémentaires déterminées ; ou
• C. Le transfert ne doit pas avoir lieu tant que le dispositif de transfert n'a pas été modifié.

Une TIA ne doit pas être considérée comme un document rédigé une fois pour toutes puis oublié.

Une réévaluation peut être appropriée en cas de changement substantiel concernant :

Une organisation peut aussi instaurer un cycle de réexamen périodique dans le cadre de son programme de gouvernance de la protection des données.

La méthodologie de l'EDPB prévoit expressément une réévaluation à intervalles appropriés et lorsque les circonstances changent.

L'EU-US Data Privacy Framework a instauré un cadre d'adéquation pour les transferts vers les organisations américaines éligibles qui y adhèrent.

Ce point est important, car un transfert vers une organisation américaine couverte et certifiée peut s'appuyer sur la décision d'adéquation correspondante, sans qu'il soit automatiquement nécessaire de recourir aux SCCs.

Les organisations doivent toutefois vérifier :

• Si le destinataire américain est actuellement certifié
• Si la certification couvre le service et les données concernés
• Si le transfert entre dans le champ d'application de la décision d'adéquation
• Si les transferts ultérieurs sont correctement couverts
• Si d'autres destinataires ou sous-traitants ultérieurs relèvent de mécanismes de transfert différents

Le DPF doit donc être apprécié au niveau du transfert réel, plutôt que de traiter « les États-Unis » comme une catégorie de transfert unique.

Non — du moins pas au sens où chaque transfert international devrait faire l'objet d'un document autonome intitulé « TIA ».

L'analyse juridique dépend du mécanisme de transfert et des circonstances.

Par exemple :

• Une décision d'adéquation applicable peut constituer le mécanisme de transfert au titre de l'article 45.
• Les transferts fondés sur des SCCs exigent une évaluation appropriée de la législation et des pratiques du pays de destination.
• Les transferts fondés sur des BCR exigent de prendre en compte les circonstances applicables.
• Les dérogations de l'article 49 sont assorties d'exigences et de limites qui leur sont propres.

Même lorsqu'une TIA autonome n'est pas légalement requise, documenter le fondement du transfert et son évaluation peut s'avérer précieux en matière de responsabilisation et de gouvernance.

Ces documents ont des finalités différentes.

Une TIA ne remplace pas les SCCs lorsque celles-ci constituent le mécanisme de transfert retenu.

De même, la signature de SCCs ne dispense pas d'évaluer si le transfert peut fonctionner efficacement dans le pays de destination.

Avant de clôturer une TIA, vérifiez que vous avez documenté :