Un prestataire américain certifié au Data Privacy Framework suffit-il ?

Pour un transfert vers une entité américaine certifiée, la décision d'adéquation du 10/07/2023 dispense d'un autre outil d'encadrement. Il faut vérifier sur la liste officielle que la certification couvre bien l'entité destinataire et les données concernées.

Qui prépare l'analyse d'un transfert fait par un sous-traitant ultérieur ?

Selon l'avis 22/2024 du CEPD, le sous-traitant qui exporte les données prépare la documentation ; le responsable l'évalue et peut s'appuyer dessus, en la complétant si elle paraît incomplète.

Transferts hors UE dans la chaîne d'un assistant IA

Dans une chaîne de revente, un transfert de données hors de l'Union européenne a rarement lieu chez vous. Il a lieu plus loin : chez l'hébergeur de l'éditeur, chez le fournisseur du modèle de langage qui rédige les réponses, chez un outil de supervision. Votre client, responsable de traitement, reste tenu de s'assurer que ces transferts sont encadrés. Le Comité européen de la protection des données (CEPD) l'a rappelé en 2024, tout en admettant qu'il s'appuie sur la documentation préparée par le sous-traitant qui exporte. Votre rôle de partenaire : savoir, pour chaque maillon, où vont les données et sur quelle base.

Les outils d'encadrement

La CNIL (Commission nationale de l'informatique et des libertés) rappelle que l'envoi de données hors de l'Union européenne et de l'Espace économique européen (EEE) suppose un niveau de protection suffisant, assuré par l'un de ces outils :

Outil	Principe
Décision d'adéquation	La Commission européenne reconnaît que le pays de destination offre une protection adéquate
Clauses contractuelles types (CCT)	Modèles de contrats de transfert adoptés par la Commission européenne
Règles d'entreprise contraignantes (BCR)	Politique interne d'un groupe, qui encadre ses transferts
Dérogations de l'article 49	Réservées à des situations particulières

Quand le transfert repose sur des clauses contractuelles types ou des règles d'entreprise, la CNIL renvoie à son guide sur l'analyse d'impact des transferts (AITD), qui évalue au cas par cas le niveau de protection dans le pays de destination.

Le cas des États-Unis

La Commission européenne a adopté le 10/07/2023 une décision d'adéquation pour les États-Unis, le cadre de protection des données UE–États-Unis (Data Privacy Framework, ou DPF). La CNIL en précise la portée :

seuls les transferts vers des entités américaines certifiées n'ont pas besoin d'un autre outil d'encadrement ;
la liste est tenue par le département du Commerce américain, sur le site dataprivacyframework.gov ;
l'exportateur doit vérifier la fiche de l'entité destinataire, y compris les filiales et les catégories de données couvertes ;
vers une entité non certifiée, il faut un autre outil (clauses contractuelles types, règles d'entreprise…) et une évaluation au cas par cas.

Le Tribunal de l'Union européenne a rejeté un recours en annulation contre ce cadre (affaire T-553/23). Une décision d'adéquation peut être remise en cause, comme l'a été le précédent cadre par l'arrêt « Schrems II » du 16/07/2020 : gardez la vérification à jour.

Ce que le CEPD dit des transferts entre sous-traitants

Dans son avis 22/2024 du 09/10/2024, le CEPD s'est penché sur le transfert fait par un sous-traitant ou un sous-traitant ultérieur, sur instruction du responsable :

le responsable reste soumis à ses obligations de choisir des sous-traitants aux garanties suffisantes et de veiller au respect des règles de transfert ;
le sous-traitant qui exporte doit préparer la documentation correspondante ;
le responsable doit l'évaluer et pouvoir la montrer à l'autorité de contrôle ; il peut s'appuyer sur ce que lui fournit le sous-traitant et le compléter ;
l'étendue de cette évaluation dépend de l'outil de transfert utilisé et du fait qu'il s'agisse d'un premier transfert ou d'un transfert ultérieur.

Concrètement, la documentation naît chez l'éditeur ou chez son prestataire, et doit remonter jusqu'au client. Vous êtes le passage obligé.

La cartographie à établir

Un tableau par plateforme, à remplir avec les réponses écrites de l'éditeur :

Maillon	Données concernées	Pays de traitement	Outil d'encadrement	Document à obtenir
Éditeur de la plateforme	Conversations, comptes des utilisateurs du client	À demander	Si hors Union : à demander	Engagement écrit sur les lieux de traitement
Hébergeur	Toutes les données stockées	À demander	Idem	Idem
Fournisseur du modèle de langage	Messages envoyés pour générer les réponses	À demander	Adéquation, CCT…	Fiche DPF vérifiée, ou clauses et analyse des transferts
Support technique	Accès ponctuel aux données	À demander	Idem	Idem

Ajoutez une question à l'éditeur : du personnel ou un prestataire situé hors de l'Union peut-il accéder aux données, par exemple pour le support ? La réponse peut changer l'analyse ; faites-la qualifier.

Où reporter l'information

Dans votre registre de sous-traitant : l'article 30 demande d'y inscrire les transferts et leurs garanties (voir le registre).
Dans la mention d'information du client : l'article 13 demande de signaler l'intention de transférer des données vers un pays tiers (voir la mention d'information).
Dans le tableau des sous-traitants : chaque changement de lieu de traitement est une information à transmettre à vos clients (voir le sous-traitant ultérieur).

Cette page est une information générale. L'analyse d'un transfert précis, et surtout celle d'un accès à distance depuis un pays tiers, se fait avec un avocat ou un délégué à la protection des données.