Transfert de données aux États-Unis : est-ce légal ?
Oui, transférer des données personnelles vers les États-Unis est légal, à condition que ce transfert repose sur l’une des bases prévues par le RGPD (règlement général sur la protection des données). Le règlement n’interdit pas ces transferts : il les encadre. Aujourd’hui, la voie la plus simple est le Data Privacy Framework, en vigueur depuis le 10 juillet 2023. Il reste toutefois contesté devant la Cour de justice de l’Union européenne, ce qui justifie de prévoir une solution de repli.
Le RGPD interdit-il les transferts de données vers les États-Unis ?
Non. Le RGPD subordonne tout transfert hors de l’Union européenne à des conditions, sans viser aucun pays en particulier. Ces conditions figurent aux articles 44 à 49 du règlement.
Le texte prévoit trois niveaux, à utiliser dans cet ordre :
- une décision d’adéquation de la Commission européenne (article 45) ;
- des garanties appropriées, le plus souvent des clauses contractuelles types (article 46) ;
- des dérogations réservées à des situations particulières (article 49).
Si votre transfert entre dans l’une de ces cases et que le reste du RGPD est respecté, il est conforme. Qu’il ait pour destination les États-Unis, le Japon ou le Canada ne change pas le raisonnement.
Qu’est-ce qu’un transfert de données au sens du RGPD ?
Il y a transfert dès que des données personnelles quittent l’Espace économique européen ou deviennent accessibles depuis un pays tiers. Vous n’avez pas besoin d’envoyer un fichier pour transférer des données.
Quelques situations courantes dans une PME :
- votre CRM, votre outil d’emailing ou votre logiciel de support est hébergé aux États-Unis ;
- le support technique de votre prestataire accède à vos données depuis les États-Unis ;
- vous partagez le fichier clients avec une société du groupe établie aux États-Unis.
Lorsqu’un prestataire américain héberge vos données en Europe sans y accéder depuis les États-Unis, il n’y a en principe pas de transfert. Le risque qu’une autorité américaine exige ces données doit cependant être pris en compte dans l’évaluation de la sécurité du traitement.
Le Data Privacy Framework est-il encore valable ?
Oui. Le Data Privacy Framework est en vigueur et les entreprises peuvent s’appuyer sur lui. Il s’agit d’une décision d’adéquation : la Commission européenne a constaté, le 10 juillet 2023, que les entreprises américaines qui y adhèrent offrent un niveau de protection adéquat. Un transfert vers ces entreprises ne demande alors aucune autorisation particulière.
Deux précisions comptent en pratique. D’abord, la décision ne couvre que les entreprises américaines autocertifiées, c’est-à-dire inscrites sur la liste officielle du Data Privacy Framework tenue par le Département du Commerce américain. Ensuite, la certification doit être active et couvrir le type de données concerné (données RH ou non RH).
Le cadre a passé un premier test judiciaire. Le Tribunal de l’Union européenne a rejeté le 3 septembre 2025 un recours en annulation (affaire T-553/23, Latombe). Un pourvoi est pendant devant la Cour de justice depuis le 31 octobre 2025 (affaire C-703/25 P).
Tant que la Cour de justice n’a pas invalidé la décision, elle s’impose à tous, y compris aux autorités de contrôle comme la CNPD (Commission nationale pour la protection des données).
Et si votre prestataire américain n’est pas certifié ?
Vous pouvez quand même transférer, en signant des clauses contractuelles types. Ce sont des modèles de contrat adoptés par la Commission européenne, que la plupart des grands prestataires intègrent déjà à leurs conditions.
Depuis 2020, ces clauses doivent être accompagnées d’une analyse d’impact du transfert : vous vérifiez si la législation du pays de destination permet de respecter ces engagements, et vous ajoutez des mesures complémentaires si nécessaire (chiffrement, pseudonymisation, limitation des données transmises).
Pour les États-Unis, cette analyse est plus simple qu’auparavant. Les garanties obtenues en 2022 sur l’accès des services de renseignement (limitation de la collecte à ce qui est nécessaire et proportionné, recours devant une juridiction dédiée) s’appliquent à tous les flux de données vers les États-Unis, et pas seulement aux entreprises certifiées.
Les dérogations de l’article 49, comme le consentement explicite de la personne ou l’exécution d’un contrat conclu avec elle, restent possibles. Elles sont réservées aux transferts ponctuels et ne peuvent pas servir de base à l’utilisation quotidienne d’un outil.
Que faut-il respecter en plus de la base du transfert ?
Le fondement du transfert ne suffit pas : le reste du RGPD s’applique aussi. Un transfert parfaitement couvert par le Data Privacy Framework peut s’inscrire dans un traitement non conforme pour d’autres raisons.
Vérifiez notamment que :
- le traitement repose sur une base légale (contrat, obligation légale, intérêt légitime, consentement) ;
- un contrat de sous-traitance conforme à l’article 28 du RGPD est signé avec le prestataire ;
- votre politique de confidentialité mentionne le transfert et sa base (article 13) ;
- le transfert figure dans votre registre des traitements ;
- les mesures de sécurité sont adaptées à la sensibilité des données (article 32).
L’article 48 du RGPD ajoute une règle utile : une décision d’une juridiction ou d’une autorité étrangère qui exige la communication de données n’est reconnue dans l’Union que si elle repose sur un accord international, comme un traité d’entraide judiciaire.
Que se passera-t-il si la Cour de justice invalide le Data Privacy Framework ?
Les transferts fondés uniquement sur lui perdraient leur base juridique, probablement du jour au lendemain. C’est ce qui s’est produit en juillet 2020 : l’invalidation du Privacy Shield, le cadre précédent, a pris effet immédiatement, sans délai de transition.
Le risque n’est pas théorique. La Cour de justice a déjà invalidé deux cadres transatlantiques, en 2015 et en 2020. D’autres éléments sont suivis de près, comme l’arrêt de la Cour suprême américaine du 29 juin 2026 sur le pouvoir du Président de révoquer les membres de la FTC (Federal Trade Commission), autorité chargée de faire respecter le Data Privacy Framework.
La réponse prudente est simple : prévoir dès maintenant des clauses contractuelles types qui prennent le relais si le Data Privacy Framework tombe. Beaucoup de prestataires les proposent déjà dans leurs conditions. Encore faut-il le vérifier.
Vos transferts vers les États-Unis en cinq vérifications
- Faites la liste de vos outils qui traitent des données personnelles (CRM, messagerie, emailing, paie, visio, stockage, IA) et identifiez ceux dont le prestataire ou le support est établi aux États-Unis.
- Vérifiez la certification de chaque prestataire américain sur la liste officielle du Data Privacy Framework.
- Lisez l’accord de traitement des données de chaque prestataire : il doit contenir des clauses contractuelles types, au moins en solution de repli.
- Mettez à jour votre politique de confidentialité et votre registre : chaque transfert doit y figurer avec sa base.
- Limitez ce qui part : ne transmettez que les données nécessaires, et chiffrez ce qui peut l’être.
Notre auto-diagnostic RGPD gratuit vous donne en 5 minutes une première vision de votre conformité, au-delà des seuls transferts.
Questions fréquentes
Puis-je utiliser Microsoft 365 ou Google Workspace en conformité avec le RGPD ?
Oui, si le transfert repose sur une base valable et si le reste du RGPD est respecté. Vérifiez la certification du prestataire sur la liste officielle et lisez son accord de traitement des données. La conformité dépend aussi de votre paramétrage et de l’usage que vous faites de l’outil.
Faut-il le consentement des personnes pour transférer leurs données aux États-Unis ?
Non. Le consentement n’est qu’une dérogation, à utiliser en dernier recours pour des transferts ponctuels. Un transfert vers une entreprise certifiée ou encadré par des clauses contractuelles types ne demande pas le consentement des personnes, mais elles doivent en être informées.
Le Cloud Act rend-il tout transfert vers les États-Unis illégal ?
Non. Le Cloud Act est une loi américaine qui permet aux autorités américaines d’exiger, dans certaines conditions, des données détenues par des entreprises américaines. C’est un facteur de risque à intégrer dans votre analyse, pas une interdiction de transférer.
Que risque une entreprise dont les transferts ne sont pas conformes ?
Le RGPD prévoit des amendes pouvant atteindre 20 M€ ou 4 % du chiffre d’affaires annuel mondial pour les manquements aux règles de transfert. Pour une PME, le risque le plus fréquent est souvent commercial : un questionnaire de sécurité d’un client qui bloque, un appel d’offres perdu, une due diligence qui retarde une levée de fonds.
Ni panique ni insouciance : sachez où vont vos données
Transférer des données vers les États-Unis est permis. Ce qui expose votre entreprise, c’est d’ignorer quels outils transfèrent, sur quelle base, et ce qui se passerait si cette base disparaissait. Une cartographie de vos outils et une vérification de vos contrats suffisent souvent à sécuriser la situation.
Avec l’abonnement juridique d’Infuero, le conseil RGPD et la mise en conformité, y compris la revue des contrats de vos prestataires, sont inclus pour 1.210 € HT par mois (750 € HT pour les TPE). Réponse sous 24 heures ouvrées, toujours les mêmes avocats. Et si la CNPD vous contrôle ou si un litige survient, l’équipe qui connaît votre conformité est aussi celle qui vous défend.
Cet article donne une information générale à la date de sa publication. Il ne remplace pas un conseil adapté à votre situation.
