Vos données personnelles sont-elles stockées dans l'UE ou dans un pays avec niveau de protection adéquat ?
En bref — ce que vous devez retenir
Le RGPD impose des conditions strictes pour tout transfert de données personnelles hors de l'Union Européenne. Héberger des données clients sur AWS us-east-1 ou utiliser un outil américain sans contrat adapté peut vous exposer à des sanctions sévères.
Par défaut, le RGPD interdit le transfert de données personnelles vers des pays tiers sauf s'ils offrent un "niveau de protection adéquat" (liste de la Commission européenne) ou s'il existe des garanties appropriées (Clauses Contractuelles Types — CCT).
En pratique : utiliser Google Analytics, Mailchimp, Salesforce, ou tout service américain implique un transfert de données vers les USA. Depuis l'arrêt Schrems II (2020), ces transferts doivent être encadrés par des CCT et une analyse d'impact. Le Data Privacy Framework UE-USA (2023) a partiellement résolu la question pour les entreprises américaines certifiées.
Utilisation de Mailchimp sans CCT signées pour envoyer des newsletters à 50 000 clients français. Plainte client à la CNIL. Procédure d'enquête et mise en demeure. L'agence a dû signer les CCT et mettre à jour sa politique de confidentialité.
"On utilisait AWS us-east-1 sans avoir vérifié si nos données clients françaises étaient concernées. Lors d'un audit, on a migré vers AWS eu-west-3 (Paris) pour 20 % de coût supplémentaire. La sérénité juridique valait largement ce surcoût."
Obtenez votre score cybersécurité en 25 minutes et un plan d'action concret.