Une analyse d’impact du transfert, ou TIA (Transfer Impact Assessment), explique pourquoi un flux international précis bénéficie de garanties effectives. Elle relie les données réellement accessibles, le destinataire, le droit applicable et les mesures mises en œuvre. Un dossier générique fourni par un prestataire constitue une pièce à examiner ; sa conclusion ne vaut pas automatiquement pour tous ses clients ni pour toutes les configurations de son service.
Ce guide propose une méthode de rédaction et une trame courte à adapter. Il s’appuie notamment sur le guide final de la CNIL relatif à l’AITD, annoncé le 9 juillet 2025. La méthode de la CNIL est une aide, pas un formulaire réglementaire obligatoire. Les sources et le périmètre du transfert comptent davantage que le nombre de pages remplies.
Dans quels cas faut-il une TIA ?
Il faut d’abord qualifier le transfert. Les lignes directrices 05/2021 du CEPD retiennent trois critères cumulatifs : un exportateur soumis au RGPD pour le traitement concerné ; une transmission ou mise à disposition auprès d’un autre responsable ou sous-traitant ; un importateur situé dans un pays tiers ou une organisation internationale. Le cadre pertinent est l’Espace économique européen, qui inclut aussi la Norvège, l’Islande et le Liechtenstein.
Un accès distant peut donc être un transfert sans téléchargement. Une société de maintenance établie dans un pays tiers qui consulte des dossiers hébergés à Paris peut être importatrice. À l’inverse, le salarié d’une même entité qui consulte ses outils pendant un déplacement ne constitue pas, de ce seul fait, un destinataire juridiquement distinct. Cette situation reste à sécuriser : l’absence de transfert au sens du chapitre V ne dispense pas d’évaluer les risques du travail à distance.
La TIA intervient avant un transfert reposant sur un instrument de l’article 46, notamment des clauses contractuelles types ou des règles d’entreprise contraignantes. Lorsqu’une décision d’adéquation couvre exactement le destinataire et les données, l’article 45 permet le transfert sans cette analyse. Les dérogations de l’article 49 obéissent à leurs propres conditions ; elles ne deviennent pas une solution habituelle destinée à contourner une évaluation défavorable. Le guide des transferts de données hors UE aide à distinguer ces voies.
Au 29 septembre 2026, la liste des décisions d’adéquation de la Commission comprend notamment la Suisse et, pour les États-Unis, les organisations commerciales participant au cadre UE–États-Unis. Il faut vérifier l’entité juridique, sa participation active et la couverture du transfert ; la présence du nom d’un groupe ne suffit pas à couvrir toute filiale. Pour la Suisse, notre guide du RGPD et du droit suisse précise le contexte local. L’adéquation ne remplace ni la base juridique du traitement, ni l’information, ni les obligations de sous-traitance.
TIA et AIPD : deux questions complémentaires
L’AIPD examine les risques d’un traitement susceptible d’engendrer un risque élevé pour les personnes. La TIA vérifie l’effectivité des garanties du transfert compte tenu du pays de destination. Un même projet peut nécessiter les deux, mais leurs déclencheurs diffèrent. Une application de santé peut présenter des risques importants même sans transfert international ; un service exportant des données courantes sous clauses types doit examiner ses garanties sans qu’une AIPD soit automatiquement requise. Le modèle d’AIPD permet de conserver cette séparation tout en partageant la description technique du projet.
Étape 1 : décrire le flux effectivement utilisé
Commencez par un cas délimité : quel service, quelle entité cliente, quelle version de l’offre, quelles fonctions activées ? Recensez les données saisies, les pièces jointes, les journaux et les données de support. Les identifiants techniques peuvent rester personnels. Un contrat limité au contenu des dossiers peut laisser hors analyse des journaux de connexion transmis à un autre prestataire.
Identifiez les personnes concernées, les finalités, les volumes, la fréquence et les durées. Expliquez surtout qui peut lire les données et dans quelles circonstances. La localisation du stockage principal ne suffit pas lorsque l’assistance, les sauvegardes ou une fonction d’analyse reposent sur d’autres entités. Le schéma doit montrer ces accès et les transferts ultérieurs ; une simple mention « hébergement européen » ne répond pas à cette question.
Rattachez chaque flux à la fiche correspondante du registre des traitements. Le registre fournit le contexte, tandis que la TIA développe le raisonnement propre au transfert. Cette liaison évite qu’un changement de prestataire soit enregistré dans les achats sans apparaître dans l’analyse juridique. Elle aide aussi à déterminer si deux flux sont assez semblables pour partager une analyse, ou s’ils exigent des conclusions séparées.
Un dossier commun est possible pour plusieurs transferts réellement comparables. Conservez alors une matrice des différences : catégories de données, pays, destinataires, accès en clair et garanties. Une différence importante doit recevoir sa propre analyse. Mutualiser l’étude du droit d’un pays est utile ; transposer sans vérification une conclusion sur un stockage chiffré à une assistance qui lit les dossiers ne l’est pas.
Étape 2 : identifier l’instrument et les responsabilités
Déterminez les rôles réels des parties et l’instrument retenu pour chaque maillon. Les clauses types de transfert de la décision 2021/914 comportent différents modules. Les modules relatifs aux relations responsable–sous-traitant ou sous-traitant–sous-traitant ne se choisissent pas seulement d’après l’intitulé commercial du contrat. Les annexes doivent décrire la prestation, les parties et les mesures pertinentes.
La clause 14 de la décision 2021/914 traite de l’incidence du droit et des pratiques du pays tiers. Pour le module 4, elle s’applique lorsque le sous-traitant de l’UE combine les données reçues du responsable du pays tiers avec des données personnelles collectées par lui dans l’UE. Il ne faut donc pas présenter cette clause comme applicable indistinctement à chaque situation couverte par chacun des quatre modules. Cette précision contractuelle n’efface pas les autres exigences du chapitre V.
L’exportateur prépare l’analyse avec l’aide de l’importateur. Lorsqu’un sous-traitant européen exporte vers un sous-traitant ultérieur, le responsable conserve son obligation d’examiner les garanties et la documentation. Une déclaration finale de conformité dépourvue des éléments qui la fondent ne permet pas cet examen. Prévoyez la transmission des informations utiles dans l’accord de sous-traitance, avec un circuit pour les questions techniques et juridiques.
Répartissez concrètement les contributions. Les achats identifient les entités et documents contractuels ; l’équipe informatique confirme les accès ; le juriste examine le cadre applicable ; le DPO conseille dans son rôle. La validation opérationnelle doit appartenir à une personne capable de faire appliquer les conditions retenues. Une signature sans pouvoir sur la configuration du service ou sur son maintien ne résout pas une réserve bloquante.
Étape 3 : examiner le droit et les pratiques applicables
L’étude doit porter sur les règles susceptibles d’affecter ce destinataire et ce flux. Recherchez les obligations de divulgation, les possibilités d’accès direct, les contrôles indépendants et les voies de recours. Vérifiez leur champ personnel et matériel. Le nom d’une loi de surveillance ne suffit ni à interdire tous les services du pays, ni à établir que le prestataire concerné est hors de son champ.
Conservez des sources datées et identifiables : textes en vigueur, décisions pertinentes, analyses institutionnelles et informations étayées du destinataire. Distinguez la règle juridique, sa pratique documentée et une hypothèse qui reste à vérifier. Si une expertise locale est nécessaire, formulez les questions précises auxquelles elle doit répondre. Un avis général sur le système juridique peut être utile sans résoudre le cas d’un service soumis à une obligation sectorielle particulière.
Les rapports de transparence apportent des éléments factuels, mais l’absence déclarée de demandes d’accès ne suffit pas, à elle seule, à conclure que la législation problématique ne sera jamais appliquée. Examinez la période couverte, les catégories de demandes, les éventuelles restrictions de publication et la comparabilité avec d’autres acteurs. Une conclusion favorable doit s’appuyer sur des éléments objectifs, pertinents et vérifiables, et expliquer pourquoi ils concernent les données transférées.
La CNIL envisage, dans son guide, la situation où une législation problématique n’a pas de raison de s’appliquer en pratique au transfert considéré. Cette appréciation doit être démontrée et documentée ; elle ne correspond pas à une simple acceptation commerciale d’une faible probabilité. Si les preuves restent insuffisantes, indiquez cette limite et les recherches nécessaires. Une case « risque faible » ne remplace pas l’analyse de l’effectivité des garanties.
Étape 4 : choisir des mesures qui répondent au problème
Les recommandations 01/2020 du CEPD, version finale, distinguent des mesures techniques, contractuelles et organisationnelles. Pour chacune, reliez la menace identifiée à un mécanisme concret. Limiter les accès administrateurs peut réduire une exposition ; cela ne neutralise pas nécessairement une obligation légale de remettre des données que le prestataire sait déchiffrer.
Le chiffrement reste utile pour la sécurité des transmissions et du stockage. Son efficacité contre un accès des autorités dépend toutefois de l’architecture et de la maîtrise des clés. Si l’importateur doit lire les données pour fournir le service, le chiffrement qu’il gère ne les rend pas inaccessibles lors de ce traitement. Un stockage de sauvegarde chiffré avant l’envoi, avec une gestion des clés répondant aux conditions pertinentes, soulève une question différente. Évaluez aussi les métadonnées qui resteraient lisibles.
La pseudonymisation demande une analyse des possibilités de réattribution. Retirer les noms ne suffit pas si un ensemble d’attributs permet de reconnaître une personne. Il faut apprécier les informations supplémentaires disponibles, leur séparation et les possibilités de recoupement. La mesure doit être compatible avec l’usage attendu : un service qui réclame régulièrement les identités pour fonctionner ne correspond pas au même scénario qu’un calcul sur des données durablement séparées de leur clé de correspondance.
Les engagements de transparence, de contestation des demandes et de limitation des divulgations renforcent le dossier. Ils ne lient pas, par eux-mêmes, les autorités étrangères. De même, une qualification ou une certification de sécurité doit être examinée dans son périmètre exact. Le guide SecNumCloud et RGPD permet d’approfondir les critères de choix d’un service cloud sans confondre qualification, contrat et autorisation de chaque transfert.
Étape 5 : décider et vérifier la mise en œuvre
La décision doit préciser les flux autorisés et les conditions effectivement satisfaites. Si une mesure est indispensable, son inscription dans un plan futur ne permet pas de commencer immédiatement le transfert. Demandez une preuve adaptée : configuration validée, périmètre d’accès, procédure appliquée ou résultat de contrôle. Le responsable du projet doit pouvoir expliquer ce qui a été vérifié et par qui.
Prenons un exemple hypothétique : un outil de support accepte des captures d’écran contenant des dossiers clients. L’équipe peut réduire les données transmises en masquant les informations inutiles, limiter les habilitations et désactiver une fonction d’analyse secondaire. Il reste à vérifier les destinataires, l’instrument et l’effectivité des garanties pour le contenu encore transmis. Réduire le volume améliore la protection ; cela ne rend pas automatiquement le flux anonyme ou exempté du chapitre V.
Si aucune combinaison de garanties ne permet d’assurer le niveau requis, le transfert projeté ne doit pas être mis en œuvre ; un transfert existant doit être arrêté. Organisez alors les conséquences pratiques : suspension des accès, autre solution, restitution ou effacement selon les obligations applicables. Cette capacité de sortie doit être étudiée avant de dépendre entièrement d’un fournisseur. Elle donne une portée concrète à la conclusion de l’analyse.
Étape 6 : maintenir une analyse exploitable
Les clauses types distinguent plusieurs obligations. La clause 14(d) prévoit la documentation de l’évaluation et sa mise à disposition de l’autorité compétente sur demande. La clause 14(e) organise la notification par l’importateur lorsqu’il a des raisons de croire qu’il est soumis à des règles ou pratiques incompatibles. La clause 14(f) traite des mesures à prendre et de la suspension lorsque les garanties ne sont plus suffisantes.
Il n’existe pas, dans ces dispositions, de délai annuel universel de révision. Définissez une fréquence adaptée et des déclencheurs immédiats : nouveau pays, nouvelle entité de support, modification du droit applicable, évolution des accès ou perte d’une garantie. Documentez la date de la revue et les éléments effectivement réexaminés. Changer seulement la date du fichier ne démontre pas que l’analyse reste valable.
Archivez les versions, annexes et décisions selon une organisation accessible aux personnes habilitées. Cette traçabilité participe au principe d’accountability et facilite la préparation d’un contrôle CNIL. Les informations sensibles sur l’architecture et les accès n’ont pas vocation à être diffusées à tous les salariés. Une synthèse peut faciliter le pilotage, à condition que les preuves détaillées restent disponibles.
Trame courte à compléter
Les rubriques suivantes constituent un support de travail, pas une validation juridique ni un contrat complet. Chaque réponse doit renvoyer à une preuve et identifier les incertitudes qui empêchent une conclusion. Les clauses officielles et leurs annexes restent des documents distincts.
Périmètre et version : service, entités, finalités, personnes concernées, données, pays, accès distants, transferts ultérieurs, date et responsables de l’analyse.
Qualification et instrument : critères du transfert ; décision d’adéquation et couverture vérifiée, ou instrument de l’article 46 ; rôles et module retenu ; références des contrats et annexes.
Droit et pratiques : règles applicables à l’importateur, accès des autorités, contrôles et recours, sources datées, informations du prestataire, limites de l’analyse et questions ouvertes.
Garanties et preuves : mesures existantes ou nécessaires, menace traitée, limites techniques, personne chargée de la mise en œuvre, preuve de fonctionnement et dépendances.
Décision : flux autorisés, conditions satisfaites, réserves bloquantes, responsable de validation, suspension ou solution de remplacement si nécessaire.
Suivi : fréquence justifiée, événements déclencheurs, contact de notification, prochaine revue, versions et pièces conservées.
Pour replacer ce dossier dans l’organisation générale des échanges, la présentation des transferts internationaux de données offre des repères complémentaires. La conclusion opérationnelle reste celle de votre flux documenté : quelles données partent, vers quelle entité, avec quelles garanties effectives et sous quelle surveillance dans le temps.