Nous utilisons des cookies pour améliorer votre expérience sur notre site. Les cookies strictement nécessaires au fonctionnement du service sont toujours actifs. En savoir plus sur notre politique cookies
L'accord de transfert international de données est le document qui encadre juridiquement tout transfert de données personnelles depuis l'Union européenne (ou l'Espace économique européen) vers un pays tiers ne bénéficiant pas d'une décision d'adéquation de la Commission européenne. Le chapitre V du Règlement général sur la protection des données (RGPD), articles 44 à 50, pose le principe : un tel transfert n'est licite que s'il est encadré par une garantie appropriée. ⚠️ Ce modèle est une TRAME générique destinée à être adaptée par un juriste avant toute utilisation : elle rappelle la structure et les clauses attendues, mais ne remplace jamais le texte officiel des clauses contractuelles types (CCT) adoptées par la Commission européenne (décision d'exécution (UE) 2021/914 du 4 juin 2021), qui doit être repris sans altération lorsque les CCT sont choisies comme mécanisme de transfert. Mécanismes de transfert reconnus par le RGPD (article 45 et suivants) : une décision d'adéquation de la Commission européenne, lorsque le pays destinataire garantit un niveau de protection jugé essentiellement équivalent à celui de l'UE (liste actualisée par la Commission) ; à défaut, des garanties appropriées au sens de l'article 46, au premier rang desquelles les clauses contractuelles types, mais aussi les règles d'entreprise contraignantes (Binding Corporate Rules) pour les transferts intragroupe, les codes de conduite ou mécanismes de certification approuvés ; à titre exceptionnel et pour des cas limités, les dérogations de l'article 49 (consentement explicite, exécution d'un contrat, motif d'intérêt public important). Transfer Impact Assessment (TIA) : depuis l'arrêt Schrems II de la Cour de justice de l'Union européenne (16 juillet 2020), les clauses contractuelles types ne suffisent plus à elles seules — l'exportateur de données doit évaluer, au cas par cas, si la législation du pays tiers (notamment en matière d'accès des autorités publiques aux données) permet effectivement le respect des engagements pris dans les CCT, et documenter cette analyse. Des mesures supplémentaires (chiffrement renforcé, pseudonymisation, clauses contractuelles complémentaires) peuvent être nécessaires selon le résultat de cette évaluation. Quand l'utiliser (après adaptation par un juriste) : tout transfert de données personnelles vers un prestataire, une filiale ou un partenaire situé hors de l'Union européenne et de l'Espace économique européen, en dehors des cas couverts par une décision d'adéquation en vigueur — hébergement cloud hors UE, sous-traitant technique établi dans un pays tiers, transfert intragroupe vers une maison mère ou une filiale extra-européenne. Erreurs à éviter (rappel pour la relecture juridique) : modifier le texte des clauses contractuelles types officielles au-delà de ce que la réglementation autorise (seules certaines annexes et informations complémentaires peuvent être adaptées) ; omettre l'analyse d'impact du transfert (TIA) requise depuis l'arrêt Schrems II ; ignorer qu'une décision d'adéquation peut être suspendue ou invalidée (comme cela s'est produit pour le Safe Harbor puis le Privacy Shield), ce qui impose une veille juridique continue sur le statut du pays destinataire.
Nom ou raison sociale de l'exportateur de données (UE/EEE)
Adresse de l'exportateur
Nom ou raison sociale de l'importateur de données (pays tiers)
Adresse de l'importateur, avec le pays
Pays tiers destinataire du transfert
Mécanisme de transfert retenu
Décision d'adéquation, clauses contractuelles types, règles d'entreprise contraignantes, dérogation article 49.
Objet et finalité du transfert
Catégories de données personnelles transférées
Catégories de personnes concernées
Durée du transfert / de la relation
Mesures techniques supplémentaires (chiffrement, pseudonymisation...)
À documenter si l'analyse d'impact du transfert (TIA) le recommande.
Module de clauses contractuelles types applicable
Module 1 (responsable à responsable), module 2 (responsable à sous-traitant), module 3 (sous-traitant à sous-traitant), module 4 (sous-traitant à responsable).
Date de signature de l'accord
Décision d'adéquation, clauses contractuelles types, règles d'entreprise contraignantes, dérogation article 49.
À documenter si l'analyse d'impact du transfert (TIA) le recommande.
Module 1 (responsable à responsable), module 2 (responsable à sous-traitant), module 3 (sous-traitant à sous-traitant), module 4 (sous-traitant à responsable).