Modèle TIA 2026 : Transfer Impact Assessment méthodologie EDPB + template complet

Le TIA (Transfer Impact Assessment, ou analyse d’impact de transfert) est le document qui évalue si un transfert de données hors de l’UE, encadré par des clauses contractuelles types (CCT), offre en pratique un niveau de protection « substantiellement équivalent » à celui de l’Union. Il découle directement de l’arrêt Schrems II (CJUE, 16 juillet 2020, C-311/18) : les CCT restent valides, mais l’exportateur doit vérifier, transfert par transfert, que le droit du pays de destination n’en vide pas les garanties — et la clause 14 des CCT de 2021 (décision d’exécution (UE) 2021/914) rend cette évaluation contractuellement obligatoire et documentée.

Voici un modèle complet de TIA suivant les six étapes des recommandations EDPB 01/2020 (version finale du 18 juin 2021), puis la méthode pour l’adapter. Pour le cadre général, voir nos guides des transferts hors UE et des transferts internationaux.

Quand un TIA est-il nécessaire ?

• Requis : transfert fondé sur les garanties de l’article 46 RGPD — CCT 2021/914, BCR, ou autre instrument — vers un pays sans décision d’adéquation.
• Non requis : pays couvert par une décision d’adéquation (article 45) — dont la Suisse (voir la conformité RGPD en Suisse) et les États-Unis pour les seules entreprises certifiées Data Privacy Framework (décision d’adéquation du 10 juillet 2023) ; vérifiez la certification active de votre prestataire sur le site du DPF avant de vous en prévaloir.
• Vigilance : les transferts « ultérieurs » (votre sous-traitant américain héberge en UE mais son support accède depuis l’Inde) déclenchent aussi l’exigence.

Modèle complet de TIA (6 étapes EDPB)

TRANSFER IMPACT ASSESSMENT — [Nom du transfert] Version [1.0] — [date] — Rédacteur : [DPO] — Validation : [direction]

Étape 1 — Connaître le transfert

• Exportateur : [Société, qualité : responsable de traitement / sous-traitant]
• Importateur : [Société, pays, qualité]
• Traitement concerné : [ex. : hébergement du CRM] — lien registre : [réf.]
• Catégories de données : [identité, coordonnées, données RH…] ; données sensibles : [oui/non]
• Personnes concernées : [clients, salariés] — Volume : [ordre de grandeur]
• Nature du transfert : [stockage / accès à distance pour support / sous-traitance ultérieure]
• Transferts ultérieurs par l’importateur : [liste des sous-traitants et pays]

Étape 2 — Instrument de transfert

• [CCT 2021/914, module [1/2/3/4], signées le [date]] / [BCR approuvées le …]

Étape 3 — Évaluation du droit et des pratiques du pays tiers

• Lois de surveillance applicables à l’importateur : [ex. USA : FISA 702 — l’importateur est-il un “electronic communication service provider” ? Executive Order 12333 ; CLOUD Act pour les fournisseurs soumis à juridiction US]
• L’importateur est-il, en pratique, destinataire de demandes d’accès gouvernementales ? [Rapport de transparence : X demandes sur la période …]
• Droits de recours effectifs pour les personnes UE : [analyse ; pour les USA, mécanisme DPRC issu de l’EO 14086 — applicable même hors certification DPF pour l’évaluation]
• Sources utilisées : [textes, jurisprudence, rapports de transparence, doctrine EDPB, évaluations sectorielles]
• Conclusion : la législation [compromet / ne compromet pas] l’efficacité des garanties de l’article 46 pour CE transfert.

Étape 4 — Mesures supplémentaires (si nécessaire)

• Techniques : chiffrement en transit (TLS 1.3) et au repos [AES-256] avec clés détenues exclusivement par l’exportateur en UE ; pseudonymisation avant transfert avec table de correspondance conservée en UE ; traitement fractionné.
• Contractuelles : obligation de contester les demandes d’accès, notification à l’exportateur sauf interdiction, rapport de transparence périodique, audit.
• Organisationnelles : politique de gestion des demandes gouvernementales, minimisation des données transférées, revue annuelle.
• Évaluation : les mesures rendent-elles les données inintelligibles pour les autorités du pays tiers dans les scénarios identifiés ? [oui/non + démonstration]

Étape 5 — Décision et formalités

• [ ] Transfert autorisé sans mesures supplémentaires
• [ ] Transfert autorisé avec les mesures de l’étape 4 (mises en œuvre le [date])
• [ ] Transfert suspendu / non engagé (aucune mesure efficace identifiée)

Étape 6 — Réexamen

• Périodicité : [annuelle] et à chaque évolution (législation du pays tiers, nouveau sous-traitant, changement de certification DPF, jurisprudence).
• Prochaine revue : [date] — Responsable : [DPO]

Comment adapter ce modèle

Partez de votre registre, pas de vos contrats. L’inventaire des transferts (étape 1) est le vrai chantier : SaaS, support offshore, maison-mère hors UE, outils marketing. Croisez votre registre des traitements avec la liste des sous-traitants ultérieurs de chaque DPA — c’est là que se cachent les transferts oubliés. Legiscope facilite l’exercice en rattachant destinataires et pays à chaque traitement du registre.

Proportionnez l’étape 3. L’EDPB admet une approche fondée sur des sources objectives et, depuis la version finale des recommandations, la prise en compte de l’expérience pratique de l’importateur (demandes reçues ou non), à condition qu’elle soit corroborée. Exigez de vos prestataires leur documentation TIA : les grands fournisseurs cloud en publient, mais elle plaide leur cause — recoupez avec des sources indépendantes.

Soignez la question des clés de chiffrement. Pour les scénarios de type FISA 702, le chiffrement n’est une mesure efficace que si l’importateur ne peut pas techniquement accéder aux données en clair (cas d’usage 1 et 2 des recommandations EDPB). Un chiffrement dont le fournisseur détient les clés ne protège de rien : c’est l’erreur technique la plus fréquente des TIA. Voir aussi les architectures de cloud souverain pour les données les plus sensibles.

Ne traitez pas le DPF comme un blanc-seing. L’adéquation américaine ne couvre que les entités certifiées et activement inscrites ; elle est contestée en justice et son maintien dépend d’exécutifs successifs. Beaucoup d’organisations conservent des CCT + TIA en filet de sécurité pour leurs transferts critiques — position prudente que nous recommandons.

Erreurs courantes

• Un TIA générique « USA » recyclé pour tous les prestataires : l’évaluation dépend de l’importateur (secteur, soumission à FISA 702, données concernées). Un TIA par transfert ou par prestataire, pas par pays.
• Ignorer les accès à distance : un support technique en Inde ou au Maroc qui se connecte à des serveurs UE réalise un transfert au sens du chapitre V (lignes directrices EDPB 05/2021).
• Copier la conclusion avant l’analyse : un TIA qui conclut toujours « transfert autorisé » sans jamais identifier de risque ni de mesure ne convaincra ni la CNIL ni un juge. La sanction existe : l’EDPS a ordonné en mars 2024 à la Commission européenne elle-même de suspendre certains flux vers Microsoft 365 faute de garanties suffisantes.
• Oublier la revue périodique : la clause 14(f) des CCT impose de documenter et de réévaluer ; un TIA de 2022 jamais revu est un TIA périmé.
• Négliger l’articulation avec l’AIPD : transfert risqué + traitement à risque élevé = les deux analyses se complètent ; voir notre modèle d’AIPD.

FAQ

Le TIA est-il juridiquement obligatoire ?

Oui, dès lors que vous utilisez les CCT 2021/914 : leur clause 14 impose aux parties de documenter l’évaluation et de la tenir à disposition de l’autorité de contrôle. Indépendamment des CCT, l’obligation découle de Schrems II et du principe d’accountability (article 5(2)).

Qui doit rédiger le TIA : l’exportateur ou l’importateur ?

La responsabilité pèse sur l’exportateur (vous), mais la clause 14 exige la coopération de l’importateur, qui doit fournir les informations sur son droit local et ses pratiques. En pratique : partez de la documentation du prestataire, complétez, et gardez la décision finale.

Faut-il un TIA pour les États-Unis depuis le Data Privacy Framework ?

Pas pour les transferts vers des entités certifiées DPF (décision d’adéquation du 10 juillet 2023, texte sur EUR-Lex). Un TIA reste requis pour les entités non certifiées (transfert sous CCT) et recommandé en continuité d’activité si l’adéquation venait à être invalidée — le scénario Schrems III n’a rien de théorique.

Combien de temps faut-il pour réaliser un TIA ?

De 2 heures (prestataire documenté, transfert simple, modèle prêt) à plusieurs jours (importateur opaque, données sensibles, chaîne de sous-traitance longue). Le premier TIA coûte cher ; les suivants réutilisent l’analyse pays et les mesures types — d’où l’intérêt d’un modèle standardisé comme celui-ci.

Conclusion

Le TIA n’est pas un exercice académique : c’est la pièce qui rend vos CCT défendables. Six étapes, une conclusion honnête par transfert, des mesures supplémentaires réellement efficaces (chiffrement à clés européennes en tête), une revue annuelle. Commencez par vos trois transferts les plus critiques — hébergement, emailing, support — et descendez la liste : un TIA imparfait mais documenté vaut infiniment mieux que l’absence d’analyse que constatent aujourd’hui la plupart des contrôles CNIL sur le chapitre V.