Le Data Privacy Framework a remplacé le Privacy Shield en 2023. Un logo affiché sur un site marchand ne prouve pourtant rien : la certification se vérifie, se date et se révoque. Voici comment sécuriser vos flux vers les États-Unis.
Le Data Privacy Framework, qu’est-ce que ça change vraiment ?
Le Data Privacy Framework (DPF) est une décision d’adéquation de la Commission européenne. Elle autorise le transfert de données vers les entreprises américaines qui y adhèrent officiellement.
Le transfert vers les États-Unis reste un transfert de données hors de l’Union, encadré par le RGPD. Si votre prestataire est certifié, ce flux précis n’exige plus de clauses contractuelles types.
Attention : l’adéquation ne couvre que les organismes réellement inscrits. Une maison mère certifiée ne protège pas automatiquement une filiale absente de la liste. Vérifiez toujours l’entité exacte qui traite vos données.
Comment vérifier qu’un prestataire américain est certifié ?
La vérification prend cinq minutes et doit être tracée. Ne vous fiez jamais à une simple mention commerciale sur une plaquette.
- Rendez-vous sur le registre officiel dataprivacyframework.gov et cherchez la raison sociale exacte.
- Vérifiez que le statut affiché est « Active », et non « Inactive » ou « Withdrawn ».
- Contrôlez la date de dernière re-certification : elle doit être annuelle.
- Lisez le périmètre : le cadre distingue les données RH des autres données.
- Comparez la raison sociale listée à celle inscrite dans votre contrat.
- Conservez une capture datée dans votre dossier de conformité.
Inscrivez ensuite cette vérification dans votre contrat de sous-traitance et son annexe transferts. En cas de contrôle, vous prouvez la diligence effectuée au moment du choix.
Et si votre outil n’adhère pas au Data Privacy Framework ?
Beaucoup d’outils courants ne sont pas certifiés. L’adéquation n’est alors pas disponible et il faut un autre fondement.
Un outil gratuit ne fait pas exception. Analytics, messagerie, stockage ou support client hébergés outre-Atlantique déclenchent tous la même exigence.
| Mécanisme | Quand l’utiliser | Vigilance |
|---|---|---|
| Data Privacy Framework | Prestataire US certifié et actif | Vérifier le statut chaque année |
| Clauses contractuelles types | Destinataire non certifié | Ajouter une analyse d’impact du transfert |
| Règles d’entreprise contraignantes | Groupe multinational | Validation préalable par l’autorité |
| Dérogations (article 49) | Cas ponctuel et exceptionnel | Jamais pour un flux régulier |
Les clauses contractuelles types restent le socle le plus courant. Elles exigent toutefois une évaluation des risques liés au pays destinataire. Vérifier ce fondement ne dispense pas de contrôler la base légale du traitement lui-même.
Cartographier vos flux vers les États-Unis, tracer les certifications et documenter chaque transfert demande une méthode constante. Un DPO externalisé pilote vos transferts internationaux sans mobiliser vos équipes et sécurise vos dossiers en cas de contrôle.
Le Data Privacy Framework peut-il tomber comme le Privacy Shield ?
Le risque existe. Safe Harbor puis Privacy Shield ont déjà été invalidés par la justice européenne.
Des recours visent aujourd’hui le cadre actuel. Une invalidation replacerait vos transferts sous le régime des clauses contractuelles types, du jour au lendemain.
La prudence consiste à ne pas dépendre uniquement de l’adéquation. Gardez une cartographie à jour et un plan de repli documenté, et suivez les obligations liées à vos outils en ligne.
FAQ
La vérification du Data Privacy Framework est-elle payante ?
Non. Le registre officiel du Data Privacy Framework est public et gratuit. Vous y saisissez la raison sociale du prestataire américain et consultez son statut en temps réel. La seule contrainte est de refaire ce contrôle chaque année et d’en garder une trace datée.
Un outil « hébergé en Europe » échappe-t-il au sujet ?
Pas toujours. Un hébergement européen ne suffit pas si la maison mère américaine peut accéder aux données ou en assurer le support depuis les États-Unis. Analysez l’accès réel, pas seulement l’emplacement des serveurs. Un accès distant constitue déjà un transfert au sens du RGPD.
Faut-il des clauses en plus du Data Privacy Framework ?
Pour le flux couvert par la certification, non : l’adéquation suffit. Mais gardez des clauses contractuelles types prêtes à l’emploi. En cas d’invalidation du cadre ou de retrait du prestataire, elles prennent immédiatement le relais et évitent une interruption brutale de vos traitements.
Qui doit vérifier la certification dans l’entreprise ?
La responsabilité incombe au responsable de traitement, en pratique la direction qui choisit l’outil. Le délégué à la protection des données oriente et documente la démarche. L’idéal reste d’intégrer ce contrôle au processus d’achat, avant toute signature de contrat avec un prestataire américain.
