RGPD : transfert des données personnelles hors de l’Union européenne
RGPD : transfert des données personnelles hors de l’Union européenne
Cybersécurité > RGPD
Objectifs
- Comprendre les enjeux des transferts de données hors Union européenne dans un contexte de mondialisation et de cloud.
- Identifier les risques juridiques et de sécurité liés aux transferts internationaux de données.
- Maîtriser le cadre réglementaire du RGPD et de la loi Informatique et Libertés.
- Comprendre les mécanismes juridiques permettant de transférer des données hors UE.
- Choisir et mettre en œuvre les outils de conformité adaptés (CCT, BCR, décisions d’adéquation…).
- Sécuriser les relations avec les prestataires et filiales hors UE.
- Anticiper les obligations de conformité et limiter les risques de sanctions
Le programme de la formation
Comprendre les enjeux des transferts de données hors UE
Mondialisation des échanges et explosion du cloud computing
Externalisation des services (paie, maintenance, support, IT…)
Sécurisation des données personnelles des citoyens et entreprises européennes
Impacts directs du RGPD sur les flux de données internationaux
Enjeux de confidentialité et de souveraineté des données
Cadre juridique des transferts de données personnelles
Rappel du cadre réglementaire avant et après le RGPD
RGPD, loi Informatique et Libertés et évolutions récentes
Définition d’un transfert de données personnelles
Transferts intra-UE vs hors UE
Application du droit des États membres
Qualification des acteurs : responsable de traitement et sous-traitant
Cas des transferts intra-groupes
Identifier les situations de transfert et leurs risques
Nature des données transférées (classiques, sensibles, santé…)
Finalités des traitements et principe de proportionnalité
Hébergement de données de santé et cas particuliers
Identification des destinataires hors UE
Analyse des risques juridiques et opérationnels
Cloud providers et localisation des données
Les outils juridiques de transfert hors Union européenne
Principe général : protection adéquate des données
Décision d’adéquation de la Commission européenne
Garanties appropriées exigées par le RGPD
Dérogations exceptionnelles autorisées
Les mécanismes de conformité RGPD
Clauses contractuelles types (CCT / SCC) de la Commission européenne
Binding Corporate Rules (BCR) – règles internes d’entreprise
Clauses contractuelles spécifiques encadrées
Codes de conduite et mécanismes de certification
Instruments juridiques contraignants entre autorités publiques
Mise en œuvre des Clauses Contractuelles Types (CCT)
Choisir le bon modèle de CCT selon la relation contractuelle
Responsable de traitement ↔ responsable de traitement
Responsable de traitement ↔ sous-traitant
Compléter et adapter les clauses contractuelles
Obligations documentaires et traçabilité
Atelier pratique : élaboration de clauses CCT
Focus : transferts vers les États-Unis et enjeux internationaux
Le CLOUD Act et ses impacts sur la protection des données
Accès aux données par les autorités étrangères
Incertitudes juridiques et enjeux de souveraineté numérique
Le Privacy Shield : historique et limites du dispositif
Obligations des entreprises américaines et garanties associées
Rôle des autorités de contrôle et de la CNIL
Cas nécessitant une autorisation ou un encadrement spécifique
Cas dispensés d’autorisation (CCT, BCR, codes de conduite…)
Rôle de la CNIL dans les transferts internationaux
Arrangements administratifs entre autorités publiques
Sanctions et contrôle de conformité
Bonnes pratiques et sécurisation des transferts
Cartographier les flux de données internationaux
Documenter les transferts dans le registre RGPD
Anticiper les obligations contractuelles et techniques
Sécuriser les relations avec les prestataires étrangers
Mettre en place une gouvernance des données internationale
Limiter les risques juridiques et opérationnels
Public et Pré-requis de la formation
Responsables juridiques et Juristes, Référents et DPO, Chargés d’affaires juridiques... Entreprises travaillant avec des sous-traitants ou filiales hors UE. Toute organisation manipulant des données à caractère personnel à l’international.
Méthode pédagogique de la formation
Apports théoriques structurés et contextualisés (RGPD + cas réels internationaux).
Analyse de situations concrètes d’entreprise.
Atelier pratique sur les clauses contractuelles types (CCT).
Échanges d’expériences et retours terrain