« Vos données restent en Europe. » L'argument figure dans presque toutes les propositions commerciales des éditeurs SaaS. Il rassure les achats. Il dit pourtant très peu de chose sur les transferts de données hors de l'Union. Hébergement et transfert, deux notions différentes L'hébergement décrit où les données sont stockées. Le transfert, au sens du RGPD, couvre aussi l'accès depuis un pays tiers. Un support technique basé aux États-Unis qui se connecte à la plateforme. Un sous-traitant ultérieur chargé de la supervision. Un service d'e-mailing ou d'analytics intégré à l'outil. Chacun de ces flux doit s'appuyer sur un outil de transfert valide, et c'est au responsable de traitement de le démontrer. Trois outils de transfert, trois niveaux d'exigence La décision d'adéquation du 10 juillet 2023 ne couvre que les organisations américaines inscrites sur la liste officielle, et l'inscription se vérifie régulièrement, elle ne se suppose pas. Les clauses contractuelles types adoptées le 4 juin 2021 restent l'autre voie, les versions antérieures n'étant plus utilisables. Elles exigent une analyse documentée du droit américain et des mesures supplémentaires, chiffrement ou minimisation par exemple. Quant aux dérogations de l'article 49, consentement explicite ou nécessité contractuelle, elles ne sont pas faites pour un usage SaaS courant. Depuis l'arrêt Schrems II du 16 juillet 2020, personne ne devrait signer sans avoir posé la question. Les sous-traitants ultérieurs, point de fragilité Le contrat principal est souvent propre. La liste des sous-traitants ultérieurs, beaucoup moins suivie. L'éditeur peut la faire évoluer en cours de contrat, en général par une simple notification que personne ne lit. Et un nouveau prestataire américain entre dans la chaîne. Le rôle du DPO dans le suivi des prestataires C'est là qu'un DPO RGPD, interne ou externalisé, apporte de la valeur : pas seulement à la signature, surtout dans la durée. Tenir à jour la cartographie des transferts, vérifier l'inscription des prestataires sur la liste d'adéquation, conserver les preuves à date. Un DPO externalisé qui accompagne plusieurs organisations voit passer les mêmes éditeurs et repère plus vite les changements. Les sanctions possibles restent celles du RGPD, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial.
