Le règlement général sur la protection des données (RGPD, règlement (UE) 2016/679) fixe au chapitre V (art. 44 à 49) les conditions du transfert de données à caractère personnel vers des pays hors de l'UE. Le Data Act (règlement (UE) 2023/2854) encadre notamment le changement de fournisseur de services cloud et la protection des données non personnelles contre l'accès illicite de gouvernements hors de l'UE. Pour vous, acheteur, cela se traduit par des questions concrètes sur le lieu d'hébergement, les sous-traitants ultérieurs, l'outil de transfert et les conditions de sortie.
Faits et dates vérifiés pour la dernière fois le 11 octobre 2026 · Cette page fournit des informations générales et ne constitue pas un conseil juridique ; vérifiez le texte des règlements pour votre situation.
La décision d'exécution (UE) 2021/914 adopte les clauses contractuelles types (CCT) comme garanties appropriées au sens de l'art. 46, par. 1 et par. 2, point c), du RGPD. Les anciennes CCT ont été abrogées à compter du 27 septembre 2021 ; les contrats fondés sur les anciennes décisions sont réputés offrir des garanties appropriées jusqu'au 27 décembre 2022 si le traitement reste inchangé (art. 4).
La Commission adopte la décision d'adéquation pour le cadre de protection des données UE-États-Unis (Data Privacy Framework, décision d'exécution (UE) 2023/1795, art. 45 RGPD). Le Tribunal de l'UE a rejeté un recours en annulation le 3 septembre 2025 (T-553/23). Un pourvoi a été formé le 31 octobre 2025 (C-703/25 P).
Le Data Act est entré en vigueur. Jusqu'au 12 janvier 2027, les fournisseurs de services de traitement de données ne peuvent facturer que des frais de changement de fournisseur réduits, n'excédant pas leurs coûts directs (art. 29, par. 2 et 3).
Le Data Act est applicable (art. 50), y compris le chapitre VI sur le changement de fournisseur (art. 23 à 31) et l'art. 32 sur l'accès illicite de gouvernements hors de l'UE.
La Commission présente la proposition Digital Omnibus (COM(2025) 837, procédure 2025/0360(COD)). La proposition n'est ni adoptée ni publiée (situation au 11 octobre 2026).
Les fournisseurs de services de traitement de données ne peuvent plus imposer de frais de changement de fournisseur (art. 29, par. 1).
Le RGPD s'applique au traitement de données à caractère personnel. Le chapitre V concerne le transfert vers un pays tiers ou une organisation internationale, y compris les transferts ultérieurs, et vise les responsables du traitement et les sous-traitants (art. 44). Les violations des art. 44 à 49 peuvent être sanctionnées par des amendes pouvant atteindre 20 millions d'euros ou, pour une entreprise, 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (art. 83, par. 5, point c)).
Les règles de changement de fournisseur du Data Act (chapitre VI) visent les fournisseurs de services de traitement de données, en pratique les services cloud. Le considérant 81 cite IaaS, PaaS et SaaS comme modèles de fourniture. Les services conçus sur mesure et les versions d'essai relèvent d'un régime allégé (art. 31). L'art. 32 concerne les données non personnelles détenues dans l'Union ; pour les données personnelles, le RGPD reste le cadre applicable.
Un transfert n'est permis que si les conditions du chapitre V sont remplies, afin que le niveau de protection garanti par le RGPD ne soit pas compromis (art. 44).
Décision d'adéquation (art. 45) : lorsque la Commission a constaté un niveau de protection adéquat, aucune autorisation spécifique n'est requise. La liste de la Commission comprend notamment la Suisse, le Japon, le Royaume-Uni et la République de Corée. Pour les États-Unis, la décision ne vaut que pour les organisations participant au Data Privacy Framework. Le Tribunal de l'UE a rejeté le recours en annulation le 3 septembre 2025 (T-553/23) ; un pourvoi a été formé le 31 octobre 2025 (C-703/25 P). Suivez l'affaire sur curia.europa.eu.
Garanties appropriées (art. 46) : sans décision d'adéquation, il faut des garanties appropriées, avec des droits opposables et des voies de recours effectives pour les personnes concernées. Les clauses types de protection des données adoptées par la Commission sont très utilisées (art. 46, par. 2, point c)) ; depuis 2021, elles figurent dans la décision d'exécution (UE) 2021/914, avec quatre modules (responsable à responsable, responsable à sous-traitant, sous-traitant à sous-traitant, sous-traitant à responsable). À la clause 14, les parties déclarent n'avoir aucune raison de penser que les lois et pratiques du pays tiers empêchent l'importateur de respecter ses obligations ; si des garanties appropriées ne peuvent être assurées, l'exportateur suspend le transfert. Selon la clause 15, l'importateur doit informer l'exportateur des demandes des autorités publiques, en examiner la légalité, les contester s'il existe des motifs, et ne communiquer que le minimum admissible.
Mesures supplémentaires : les recommandations 01/2020 du CEPD (version 2.0, 18 juin 2021) décrivent six étapes : connaître vos transferts, identifier votre outil de transfert, évaluer son efficacité dans le pays tiers (en pratique souvent appelée analyse d'impact du transfert), adopter des mesures supplémentaires, accomplir les étapes procédurales et réévaluer périodiquement. Le CEPD juge le chiffrement efficace lorsque les clés restent exclusivement sous le contrôle de l'exportateur ou d'une entité de confiance dans l'EEE ou dans une juridiction offrant un niveau de protection essentiellement équivalent (cas d'usage 1). Lorsqu'un sous-traitant cloud a besoin des données en clair et que la législation problématique s'applique en pratique, le CEPD n'envisage aucune mesure technique efficace (cas d'usage 6). L'accès à distance constitue lui aussi un transfert (cas d'usage 7).
Décisions étrangères (art. 48) : une décision de justice ou une décision administrative d'un pays tiers exigeant un transfert ou une divulgation n'est reconnue ou exécutoire que si elle repose sur un accord international, tel qu'un traité d'entraide judiciaire. L'art. 49 prévoit des dérogations pour des situations particulières, par exemple le consentement explicite après information sur les risques.
Sous-traitants (art. 28) : un sous-traitant ne recrute pas un autre sous-traitant sans autorisation écrite préalable, spécifique ou générale. En cas d'autorisation générale, il informe le responsable des changements envisagés afin que celui-ci puisse s'y opposer (art. 28, par. 2). Il agit sur instructions documentées, y compris pour les transferts vers un pays tiers (art. 28, par. 3, point a)), et demeure pleinement responsable de ses sous-traitants ultérieurs (art. 28, par. 4). La clause 9 des CCT propose deux options : autorisation préalable spécifique, ou autorisation générale avec liste et préavis.
Les fournisseurs doivent supprimer les obstacles commerciaux, techniques, contractuels et organisationnels au changement de fournisseur (art. 23). Cette obligation ne vise que les services, contrats et pratiques du fournisseur que le client quitte (art. 24).
L'art. 25 fixe des conditions contractuelles minimales. Le préavis maximal pour engager le changement est de deux mois (art. 25, par. 2, point d)). Le changement intervient sans retard injustifié et en tout cas dans une période transitoire maximale de 30 jours calendaires (art. 25, par. 2, point a)). Si cela est techniquement irréalisable, le fournisseur le notifie dans les 14 jours ouvrables suivant la demande et indique une période alternative de sept mois au plus (art. 25, par. 4) ; le client peut prolonger la période transitoire une fois (art. 25, par. 5). Le contrat énumère aussi toutes les catégories de données et d'actifs numériques transférables (art. 25, par. 2, point e)), une période de récupération des données d'au moins 30 jours calendaires (point g)), l'effacement complet des données exportables et des actifs numériques générés directement par le client (point h), les frais de changement autorisés (point i)) et le soutien à la stratégie de sortie du client (point b)).
Les frais de changement sont supprimés progressivement (art. 29). Du 11 janvier 2024 au 12 janvier 2027, des frais réduits sont admis, n'excédant pas les coûts directement liés au changement. À partir du 12 janvier 2027, aucun frais de changement ne peut être imposé. Avant la conclusion du contrat, le fournisseur informe clairement sur les tarifs standard, les pénalités de résiliation anticipée et les frais réduits de changement (art. 29, par. 4), ainsi que sur les services dont le changement est très complexe ou coûteux, ou impossible (art. 29, par. 5). En cas d'utilisation en parallèle de deux services, seuls des frais de sortie de données (egress) répercutant les coûts réels, sans les dépasser, peuvent être imposés (art. 34, par. 2).
Sur le plan technique, un fournisseur IaaS prend des mesures raisonnables pour faciliter l'équivalence fonctionnelle (art. 30, par. 1). Les autres fournisseurs, y compris SaaS, mettent à disposition des interfaces ouvertes (art. 30, par. 2) et respectent les spécifications communes une fois publiées (art. 30, par. 3). Les données exportables sont exportées dans un format structuré, couramment utilisé et lisible par machine (art. 30, par. 5).
Art. 28 : les fournisseurs publient sur leur site la juridiction à laquelle l'infrastructure TIC de chaque service est soumise, ainsi qu'une description générale de leurs mesures contre l'accès illicite de gouvernements hors de l'UE aux données non personnelles. Ces sites sont mentionnés dans le contrat.
Art. 32 : les fournisseurs prennent toutes les mesures techniques, organisationnelles et juridiques adéquates, y compris contractuelles, pour empêcher l'accès illicite à des données non personnelles détenues dans l'Union, ou leur transfert, par des pays tiers (paragraphe 1). Une décision d'un pays tiers n'est reconnue ou exécutoire que si elle repose sur un accord international (paragraphe 2). En l'absence d'un tel accord, l'accès n'est possible que sous conditions : motifs et proportionnalité exposés, examen d'une objection par une juridiction du pays tiers, et prise en compte des intérêts juridiques du fournisseur des données (paragraphe 3). Le fournisseur ne communique que le minimum admissible (paragraphe 4) et informe le client avant de s'exécuter, sauf pour les demandes à des fins répressives (paragraphe 5).
Utilisez ces points dans les appels d'offres, questionnaires et contrats de sous-traitance. Demandez si possible la clause contractuelle et la documentation, pas seulement une déclaration.
NIS2, DORA et le Cyber Resilience Act portent sur la sécurité, la résilience et la sécurité des produits ; le RGPD et le Data Act portent sur la destination des données et ses conditions. Le CLOUD Act est une loi américaine, traitée séparément. L'art. 48 RGPD et l'art. 32, par. 2 du Data Act indiquent, côté droit de l'UE, quand une décision d'une autorité étrangère peut être reconnue ou exécutée.
Digital Omnibus : le 19 novembre 2025, la Commission a présenté une proposition (COM(2025) 837) qui concerne notamment le RGPD et le Data Act. Selon l'Observatoire législatif du Parlement européen (2025/0360(COD)), la proposition n'est, au 11 octobre 2026, ni adoptée ni publiée ; le dossier est au stade « en attente de décision de la commission ». Les règles de cette page sont celles qui s'appliquent aujourd'hui.
Le score n'est pas une évaluation de conformité au RGPD ou au Data Act et ne prouve pas qu'un fournisseur s'y conforme. Ces textes aident toutefois à formuler les questions qui sous-tendent certaines dimensions.
Vous voulez savoir comment votre propre parc logiciel se situe en matière de souveraineté numérique ? Faites l'évaluation gratuite.
Faire l'évaluation gratuitePas automatiquement. Le chapitre V vise les transferts vers des pays tiers, y compris les transferts ultérieurs (art. 44), et le CEPD considère l'accès à distance comme un transfert (recommandations 01/2020, cas d'usage 7). Interrogez aussi sur les sous-traitants ultérieurs et le support.
Les CCT sont une garantie appropriée (art. 46, par. 2, point c)), mais les parties doivent aussi apprécier si les lois et pratiques du pays tiers empêchent le respect des clauses (clause 14). Le CEPD décrit six étapes dans les recommandations 01/2020.
La décision du 10 juillet 2023 ne vaut que pour les organisations américaines participantes. Le Tribunal de l'UE a rejeté un recours en annulation le 3 septembre 2025 (T-553/23) ; un pourvoi a été formé le 31 octobre 2025 (C-703/25 P).
Pas entièrement. Jusqu'au 12 janvier 2027, des frais de changement réduits, n'excédant pas les coûts directs, sont admis (art. 29, par. 2 et 3) ; ensuite, aucun frais de changement ne peut être imposé (art. 29, par. 1). En cas d'utilisation en parallèle, les frais de sortie peuvent répercuter les coûts réels sans les dépasser (art. 34, par. 2).
Le considérant 81 cite le SaaS comme modèle de fourniture de services de traitement de données. L'équivalence fonctionnelle (art. 30, par. 1) vise l'IaaS ; les autres services doivent notamment offrir des interfaces ouvertes (art. 30, par. 2). Les services sur mesure et les versions d'essai relèvent d'un régime allégé (art. 31).
La disposition oblige les fournisseurs à prendre des mesures adéquates contre l'accès illicite à des données non personnelles détenues dans l'Union, ou leur transfert, par des pays tiers. Les décisions d'autorités de pays tiers ne sont reconnues que sur la base d'un accord international (paragraphe 2) ou aux conditions du paragraphe 3.
Non. Selon l'Observatoire législatif, la proposition du 19 novembre 2025 (COM(2025) 837) n'était ni adoptée ni publiée au 11 octobre 2026.