Article

Transfert de données personnelles vers les États-Unis : ce qu’une entreprise doit savoir

Mis à jour le 5 octobre 2026

Utiliser un service en ligne américain n’est pas interdit, mais cela suppose trois choses : savoir quelles données partent, sur quel fondement juridique le transfert repose, et l’écrire dans votre registre des traitements. Le cadre applicable a changé plusieurs fois en quelques années — c’est pourquoi la date de vérification de cet article compte autant que son contenu.

Pourquoi c’est un sujet

Le règlement européen n’interdit pas les transferts hors de l’Union : il exige qu’ils offrent un niveau de protection équivalent. La difficulté vient de ce que la législation américaine permet à certaines autorités d’accéder à des données détenues par des entreprises soumises à son droit, y compris lorsque ces données sont stockées ailleurs.

De là, une succession de décisions et de cadres juridiques qui se sont invalidés et remplacés. Pour une PME, la conséquence pratique est stable même si le cadre bouge : il faut savoir ce que l’on transfère et pouvoir le justifier.

Ce qui périme dans cet article : le nom du cadre juridique en vigueur et son statut. Ce qui ne périme pas : l’obligation de cartographier vos traitements et de documenter vos fondements. Faites relire le premier point à date par un conseil ; occupez-vous du second dès maintenant.

Ce qui vous concerne concrètement

01Votre messagerie et vos outils collaboratifsLe cas le plus courant. La localisation du stockage ne règle pas tout : ce qui compte est aussi qui peut y accéder, et sous quel droit.

02Vos outils de gestion en ligneRelation client, paie, comptabilité, signature électronique, visioconférence. Beaucoup sont américains sans que ce soit visible.

03Votre site webMesure d’audience, polices chargées depuis un service tiers, formulaires. Ce sont des transferts, même s’ils paraissent anodins.

04Vos sauvegardesSouvent oubliées de la cartographie, alors qu’elles contiennent l’intégralité des données.

Ce qu’il faut faire, dans l’ordre

01CartographierLa liste de vos outils, ce qu’ils traitent, et où. C’est fastidieux une fois, et cela vaut pour tout le reste de votre conformité.

02Identifier le fondement de chaque transfertDécision d’adéquation, clauses contractuelles types, ou autre. Le fournisseur le documente : c’est à vous de le récupérer et de le conserver.

03Réduire ce qui peut l’êtreCertains traitements ont un équivalent européen sans perte fonctionnelle — mesure d’audience, hébergement de fichiers, sauvegarde. D’autres non, et c’est un arbitrage assumé.

04Informer les personnesVotre politique de confidentialité doit mentionner l’existence de transferts et leurs garanties. La nôtre le fait — à titre d’exemple.

8TECH n’est pas un conseil juridique. Nous savons dire où sont vos données et vous aider à réduire les transferts évitables ; l’analyse juridique de votre situation relève d’un avocat.

Réduire, en pratique

Notre hébergement est en France par défaut, et la sauvegarde Microsoft 365 est portée par notre propre micro-datacenter — c’est une copie hors de la chaîne américaine. Qui détient quoi

État du droit au 9 septembre 2026 : décision d’adéquation (UE) 2023/1795 en vigueur, recours en annulation rejeté par le Tribunal le 3 septembre 2025 (T-553/23), pourvoi C-703/25 P pendant devant la Cour de justice · sources datées en fin d’article · cet article est revu au moins une fois par anAutres articles juridiques

Pour vérifier

Sources et références

Ce que cet article affirme et qui ne vient pas de notre pratique vient d'ici. Chaque référence porte son éditeur et sa date.

01Transférer des données hors de l'UECNIL · 2026-09-09 — niveau de protection adéquat exigé ; outils : décision d'adéquation, clauses contractuelles types, BCR, dérogations (page sans date affichée ; date de consultation)

02Décision d'exécution (UE) 2023/1795 constatant le niveau de protection adéquat assuré par le cadre de protection des données UE – États-UnisEUR-Lex · 2023-09-20 — décision du 10 juillet 2023, statut « en vigueur » sur EUR-Lex au 9 septembre 2026 ; transferts libres vers les organisations américaines certifiées

03Adéquation des États-Unis : les premières questions-réponsesCNIL · 2024-07-17 — vérifier que le destinataire figure sur la liste du Department of Commerce ; sinon clauses contractuelles types ou BCR ; mettre à jour le registre et informer les personnes

04Décision d'exécution (UE) 2021/914 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiersEUR-Lex · 2021-06-07 — décision du 4 juin 2021 ; les clauses en quatre modules constituent les garanties appropriées de l'article 46 du RGPD

05Communiqué de presse n° 91/20 — arrêt dans l'affaire C-311/18 (Schrems II)Cour de justice de l'Union européenne · 2020-07-16 — invalidation du Privacy Shield en raison de l'accès des autorités américaines aux données ; les clauses contractuelles types restent valides sous conditions

06Communiqué de presse n° 106/25 — arrêt du Tribunal dans l'affaire T-553/23 Latombe/CommissionCour de justice de l'Union européenne · 2025-09-03 — le Tribunal rejette le recours en annulation de la décision d'adéquation 2023/1795

07Pourvoi formé le 31 octobre 2025 par Philippe Latombe contre l'arrêt du Tribunal dans l'affaire T-553/23 (affaire C-703/25 P)EUR-Lex (JO C/2025/6610) · 2025-12-22 — pourvoi pendant devant la Cour de justice ; aucune décision publiée au 9 septembre 2026

Après cette lecture

Relier le sujet à votre entreprise.

Un article donne des repères généraux. Pour décider quoi faire sur votre parc, nous partons de vos outils, de vos contraintes et de vos priorités.

Parler de ma situation

À consulter aussi01Cloud d'entreprise souverain — hébergé en Occitanie↗02Le datacenter 8TECH en Occitanie — localisation, sécurité, disponibilité↗03Juridique et conformité — obligations des dirigeants↗