Tous les pays n’offrent pas la même protection
Le RGPD interdit en principe le transfert de données personnelles vers des pays hors de l’Espace Économique Européen (EEE), sauf si ce pays offre un niveau de protection comparable.
Pays avec une décision d’adéquation complète
Les pays et territoires suivants ont été évalués comme adéquats (avril 2026) :
- Andorre, Argentine, Canada (PIPEDA), Îles Féroé, Guernesey, Israël, Île de Man, Japon, Jersey, Nouvelle-Zélande, République de Corée, Suisse, Uruguay, Royaume-Uni, États-Unis (EU-US Data Privacy Framework, uniquement organisations certifiées)
Le EU-US Data Privacy Framework
Il ne s’applique qu’aux organisations américaines activement certifiées. Vérifiez sur dataprivacyframework.gov.
Les décisions d’adéquation précédentes pour les États-Unis (Safe Harbor et Privacy Shield) ont été invalidées par la Cour de justice de l’UE. Le framework actuel pourrait connaître le même sort.
Pays sans décision d’adéquation
Clauses Contractuelles Types (CCT)
L’option la plus courante. La plupart des grands fournisseurs les incluent déjà dans leurs conditions.
Règles d’Entreprise Contraignantes (BCR)
Pour les multinationales. Moins pertinent pour les PME.
Consentement explicite
Dans des cas exceptionnels. Ce n’est pas une solution structurelle.
Que documenter ?
Par fournisseur : pays de traitement, décision d’adéquation applicable, garanties supplémentaires en place.
GDPRWise vous aide à documenter par tiers où les données sont traitées et quelles garanties s'appliquent.