Mis à jour le 13 août 2026 · Temps de lecture : 16 minutes
Depuis le 8 mai 2026, l'autorité néerlandaise de protection des données (AP) a infligé une amende de 100 millions d'euros à Yango pour avoir transféré vers la Russie les données de conducteurs finlandais et norvégiens sans garanties suffisantes — et la même faille structurelle expose aujourd'hui n'importe quelle entreprise française dont un sous-traitant, même partiellement, loge hors de l'Espace économique européen (EEE).
Votre service juridique a probablement déjà fait signer des Clauses Contractuelles Types (CCT) à chacun de ses sous-traitants extra-européens. C'est nécessaire, mais ce n'est plus suffisant : la décision de 530 millions d'euros contre TikTok en 2025 et celle de 100 millions d'euros contre Yango en 2026 partagent la même conclusion, à savoir que des CCT signées ne protègent en rien une organisation si la loi du pays de destination peut, dans les faits, les neutraliser. Pour une entreprise française qui pilote son analyse de risque de transfert au titre du Chapitre V du RGPD, la question n'est plus seulement « avons-nous un contrat ? » mais « ce pays peut-il légalement passer au-dessus de ce contrat ? ».
Points Clés
➤ La Chine et la Russie occupent le sommet du classement de risque, portées par les deux plus lourdes amendes jamais infligées spécifiquement pour un transfert international sous le RGPD : TikTok (530 millions d'euros, DPC irlandaise, mai 2025) et Yango (100 millions d'euros, décision conjointe néerlandaise/finlandaise/norvégienne, mai 2026).
➤ 17 juridictions disposent aujourd'hui d'une décision d'adéquation de l'UE en vigueur, dont le Brésil, dont la décision d'adéquation mutuelle avec l'UE (26 janvier 2026) est la première du genre.
➤ La décision de la DPC contre TikTok établit que l'accès à distance depuis un pays tiers constitue un transfert international même lorsque les données ne quittent physiquement jamais les serveurs de l'EEE — une qualification que la CNIL applique aussi en pratique dans ses propres contrôles.
➤ La CNIL a coopéré avec l'autorité néerlandaise, chef de file, sur le dossier Uber (290 millions d'euros, 2024) via le mécanisme de guichet unique du RGPD, preuve concrète que le régulateur français agit rarement seul sur les transferts hors UE.
Qu'est-ce que l'Indice de Risque de Transfert International de Données ? (Réponse Directe)
L'Indice de Risque de Transfert International de Données 2026 classe 30 pays et juridictions selon la sévérité avec laquelle les autorités européennes de protection des données, CNIL comprise, sanctionnent aujourd'hui les transferts internationaux de données personnelles vers chaque destination. Le classement combine le statut d'adéquation, l'historique de sanctions déjà documenté, le besoin de mesures supplémentaires et les propres lois de surveillance et d'accès aux données du pays de destination.
Transfert international de données (Chapitre V du RGPD) : tout mouvement de données personnelles depuis l'EEE vers un pays situé hors de l'EEE, ce qui inclut le stockage en cloud, l'accès à distance par des salariés situés à l'étranger et le partage intragroupe de données. Chaque transfert de ce type doit s'appuyer sur l'une de trois bases légales : une décision d'adéquation de l'UE (art. 45), des garanties appropriées comme les Clauses Contractuelles Types ou les Règles d'Entreprise Contraignantes (art. 46), ou une dérogation spécifique prévue à l'art. 49.
L'Indice classe les destinations selon l'exposition réelle d'une organisation au risque de sanction, indépendamment de la base légale retenue. La raison est simple : comme l'a démontré la décision de 530 millions d'euros contre TikTok en 2025, disposer de CCT signées ne protège pas une organisation si les lois du pays de destination peuvent, dans les faits, primer sur elles.
L'Indice regroupe les 30 destinations en cinq niveaux de risque, du Niveau 1 (Protégé par Adéquation) au Niveau 5 (Cible de Sanction Active). Le classement reflète où les autorités ont déjà agi, où elles enquêtent activement, et où les lois domestiques de surveillance ou d'accès aux données de la destination créent un risque structurel qu'aucune quantité de papier contractuel ne peut totalement effacer.
Pourquoi un Indice de Risque de Transfert Compte en 2026 pour une Entreprise Française
Le paysage juridique des transferts internationaux s'est nettement durci depuis l'arrêt Schrems II de 2020, et la CNIL a traduit ce durcissement en outil pratique : le 31 janvier 2025, elle a publié la version finale de son guide sur l'Analyse d'Impact des Transferts de Données (AITD), qui impose un processus en six étapes à toute organisation s'appuyant sur des CCT ou des Règles d'Entreprise Contraignantes pour évaluer si la loi du pays destinataire permet réellement à l'importateur de respecter ses engagements contractuels. Ce guide n'est pas une nuance procédurale : c'est la traduction opérationnelle, par le régulateur français, de la même exigence que les décisions TikTok et Yango ont sanctionnée à coups de centaines de millions d'euros.
La CNIL n'agit d'ailleurs presque jamais seule sur les transferts hors UE. Le dossier Uber illustre bien ce point : en juillet 2024, l'autorité néerlandaise, désignée chef de file parce qu'Uber a son siège européen aux Pays-Bas, a infligé une amende de 290 millions d'euros après avoir instruit une plainte collective initialement portée devant la CNIL par la Ligue des droits de l'Homme pour plus de 170 chauffeurs français. Entre août 2021 et novembre 2023, Uber avait transféré vers ses serveurs américains des données sensibles de conducteurs européens (localisation, photos, données bancaires, et même des données pénales et médicales) sans garanties suffisantes. La CNIL a participé à l'instruction via le mécanisme de coopération et de cohérence du RGPD (le « guichet unique »), qui organise l'échange d'informations entre l'autorité chef de file et les autorités concernées avant toute décision. Pour une entreprise française, cela signifie qu'une plainte déposée en France peut aboutir à une sanction prononcée par un autre régulateur européen, mais sur la base d'une instruction où la CNIL a pesé.
Trois dossiers définissent le climat actuel :
TikTok — 530 millions d'euros (DPC irlandaise, mai 2025) : la plus lourde amende jamais infligée spécifiquement pour un transfert sous le RGPD, pour n'avoir pas vérifié si les CCT et les mesures supplémentaires protégeaient réellement les données des utilisateurs de l'EEE contre l'accès prévu par la loi antiterroriste, la loi de cybersécurité, la loi sur le contre-espionnage et la loi sur le renseignement national de la Chine. Cela malgré le Projet Clover, une initiative de sécurité des données de 12 milliards d'euros lancée par TikTok. L'amende se décompose en 45 millions d'euros pour manquement à l'art. 13(1)(f) et 485 millions d'euros pour manquement à l'art. 46(1) du RGPD.
Yango — 100 millions d'euros (décision conjointe néerlandaise/finlandaise/norvégienne, mai 2026) : l'autorité néerlandaise a sanctionné l'opérateur européen de Yango pour avoir transféré vers la Russie des numérisations de permis de conduire, des données bancaires et de localisation de conducteurs finlandais et norvégiens, sans base légale de transfert valide ni voies de recours effectives. L'amende a été calculée sur le chiffre d'affaires mondial du groupe contrôlant russe, et non sur la seule filiale européenne.
Le blocage par le Contrôleur européen de la protection des données des transferts de la Banque européenne d'investissement vers l'Inde : une décision directe d'une institution de l'UE d'interrompre purement un transfert plutôt que d'exiger de simples correctifs, faute de preuve que l'Inde offre une protection essentiellement équivalente à celle de l'EEE.
Le fil conducteur entre ces trois dossiers : les régulateurs ne se satisfont plus de papier. Une Analyse d'Impact des Transferts qui ne traite pas des lois réelles de surveillance du pays de destination, des CCT que la législation domestique de la destination peut simplement annuler, ou un mécanisme de transfert qui ignore comment des algorithmes locaux réutilisent les données : ce sont aujourd'hui des cibles actives de sanction, pas des risques théoriques.
Comment l'Indice Est Noté
Chacun des 30 pays de destination est évalué selon quatre facteurs.
| Facteur | Ce Qu'il Mesure |
|---|---|
| Statut d'adéquation | La destination dispose-t-elle d'une décision d'adéquation de l'UE en vigueur (art. 45) ? Si oui, cette décision est-elle stable, en cours de révision, ou contestée devant les juridictions ? |
| Historique de sanction | Une autorité de protection des données de l'UE a-t-elle déjà pris une mesure documentée (amende, ordre de suspension de transfert, blocage formel) contre des transferts vers cette destination ? |
| Risque d'accès légal domestique | La destination dispose-t-elle de lois de surveillance, de sécurité nationale ou de localisation des données susceptibles d'obliger la divulgation de données personnelles de l'EEE à des autorités gouvernementales, de façon incompatible avec le standard d'« équivalence essentielle » du RGPD ? |
| Trajectoire | La sanction et le contrôle réglementaire envers cette destination augmentent-ils, sont-ils stables, ou diminuent-ils sur les 12 derniers mois ? |
Le niveau de risque d'une destination reflète la combinaison de ces quatre facteurs, jamais un seul isolément. Un pays peut avoir le statut d'adéquation et porter tout de même un risque significatif si cette décision fait l'objet d'une contestation judiciaire active : le cadre UE-États-Unis en est l'exemple le plus net.
Niveau 1 : Protégé par Adéquation, Risque le Plus Bas
Ces 17 juridictions disposent d'une décision d'adéquation en vigueur de la Commission européenne au titre de l'article 45, ce qui signifie que les données personnelles peuvent circuler depuis l'EEE sans garanties supplémentaires. Voici la liste complète et actualisée en 2026.
| Position | Destination | Base d'Adéquation | Notes de Risque |
|---|---|---|---|
| 1 | Suisse | Loi fédérale sur la protection des données (révisée) | Relation d'adéquation la plus stable ; réaffirmée périodiquement |
| 2 | Royaume-Uni | UK GDPR / Data Protection Act 2018 | Renouvelée jusqu'au 27 décembre 2031 suite aux avis 2025 du CEPD (octobre 2025) ; le CEPD signale une préoccupation continue liée au Data (Use and Access) Act 2025 britannique et à son nouveau « test de protection des données », susceptible de créer une divergence future |
| 3 | Nouvelle-Zélande | Privacy Act 2020 | Révision périodique confirmant la continuité de l'adéquation ; autorité de contrôle indépendante bien évaluée |
| 4 | Japon | Act on Protection of Personal Information (APPI) + règles complémentaires | Adéquation assortie de « garanties additionnelles » négociées au-delà de la législation domestique |
| 5 | Corée du Sud | Personal Information Protection Act (PIPA) | L'adéquation se maintient, mais la PIPC coréenne est simultanément l'un des régulateurs les plus actifs d'Asie contre les transferts sortants de Corée, ce qui est pertinent pour toute organisation européenne ayant des activités coréennes qui font suivre des données |
| 6 | Canada (secteur commercial uniquement) | PIPEDA | Adéquation strictement limitée aux organisations commerciales ; ne couvre pas le secteur public fédéral ; la réforme en cours du PIPEDA (projet de loi C-27) est suivie pour la prochaine révision |
| 7 | Israël | Privacy Protection Act | Réforme législative en cours signalée par la Commission ; son ampleur affectera la prochaine évaluation d'adéquation |
| 8 | Argentine | Loi de Protection des Données Personnelles (Loi 25.326) | La révision périodique a demandé l'achèvement de la modernisation législative et la nomination d'un titulaire permanent de l'AAIP |
| 9 | Uruguay | Loi de Protection des Données | Adéquation confirmée lors de la révision périodique |
| 10 | Andorre | Loi Qualifiée de Protection des Données Personnelles | Adéquation confirmée lors de la révision de janvier 2024 |
| 11 | Brésil | LGPD (adéquation mutuelle) | Décision la plus récente (26 janvier 2026) et premier arrangement d'adéquation mutuelle : les deux parties ont reconnu simultanément le régime de l'autre |
| 12 | Guernesey | Data Protection (Bailiwick of Guernsey) Law | Décision antérieure au RGPD, confirmée lors de la révision périodique |
| 13 | Jersey | Data Protection (Jersey) Law | Décision antérieure au RGPD, confirmée lors de la révision périodique |
| 14 | Île de Man | Data Protection Act | Décision antérieure au RGPD, confirmée lors de la révision périodique |
| 15 | Îles Féroé | Act on Processing of Personal Data | Décision antérieure au RGPD, confirmée lors de la révision périodique |
| 16 | États-Unis (entités certifiées DPF uniquement) | EU-US Data Privacy Framework | Adéquation conditionnelle, applicable uniquement aux organisations activement certifiées ; les destinataires américains non certifiés doivent recourir aux CCT |
| 17 | Organisation Européenne des Brevets | N/A (organisme international) | Première décision d'adéquation jamais accordée à un organisme international plutôt qu'à un pays (juillet 2025) |
La réserve critique pour le Niveau 1 : l'adéquation n'est pas permanente, et deux entrées de ce niveau portent un risque latent nettement supérieur aux autres.
États-Unis (#16) : le cadre UE-États-Unis a été confirmé valide par le Tribunal général de l'UE dans l'affaire Latombe contre Commission (3 septembre 2025), qui a rejeté le recours en annulation déposé par le député français Philippe Latombe, membre du collège de la CNIL. Le Tribunal a jugé les garanties d'indépendance de la Cour de révision de la protection des données américaine suffisantes à ce stade, mais Philippe Latombe a fait appel de cette décision le 31 octobre 2025 devant la Cour de justice de l'UE, qui pourrait à nouveau se prononcer. Le fait qu'un membre du collège de l'autorité française elle-même conteste directement le cadre devant les juridictions européennes illustre à quel point la question reste loin d'être tranchée pour de bon. Une organisation qui dépend uniquement de la certification DPF de son prestataire, sans plan de repli documenté avec des CCT, concentre son risque sur un mécanisme juridique déjà invalidé une fois par le passé (le Privacy Shield, en 2020).
Royaume-Uni (#2) : le Data (Use and Access) Act 2025 britannique introduit un nouveau « test de protection des données » qui, à terme, remplacera le modèle binaire adéquat/inadéquat de l'UE par un standard comparatif fondé sur le risque, tant pour les décisions d'adéquation du gouvernement britannique que pour les entreprises s'appuyant sur des CCT. L'effet pratique sur les transferts UE-Royaume-Uni est aujourd'hui négligeable, mais l'avis du CEPD recommande explicitement un « suivi continu et une révision périodique » plutôt que de traiter la relation comme définitive.
Niveau 2 : Adéquation en Attente ou Fonctionnellement à Faible Risque, Risque Modéré-Bas
Ces destinations ne disposent pas de décision d'adéquation en vigueur, mais n'ont fait l'objet d'aucune mesure adverse documentée des autorités de protection des données et disposent de régimes de protection des données globalement alignés sur les principes du RGPD, ce qui rend les transferts fondés sur des CCT comparativement peu conflictuels en pratique.
| Position | Destination | Statut | Notes de Risque |
|---|---|---|---|
| 18 | Indonésie | Pas d'adéquation ; engagements bilatéraux | L'accord commercial de 2025 avec les États-Unis a inclus des engagements de libre circulation des données, compatibles avec la Loi de Protection des Données Personnelles de 2022 ; les transferts vers l'UE exigent toujours des CCT |
| 19 | Malaisie | Pas d'adéquation | Engagements bilatéraux similaires liés au commerce avec les États-Unis en 2025 ; aucun antécédent adverse de sanction de l'UE |
| 20 | Thaïlande | Pas d'adéquation | Même schéma ; la Loi de Protection des Données Personnelles offre un cadre domestique globalement compatible avec des structures de transfert fondées sur des CCT |
| 21 | Singapour | Pas d'adéquation | Régime domestique de protection des données mature et bien évalué (PDPA) ; utilisé fréquemment comme hub régional de données, sans antécédent adverse de sanction de l'UE |
| 22 | Philippines | Pas d'adéquation | Loi sur la protection des données personnelles (Data Privacy Act) et autorité de contrôle active (NPC) ; aucun antécédent adverse de sanction de l'UE identifié à ce jour, mais les CCT restent la seule base légale disponible |
Niveau 3 : Adéquation Non Formalisée ou Engagement Commercial Sans Dialogue de Protection des Données, Risque Modéré
| Position | Destination | Statut | Notes de Risque |
|---|---|---|---|
| 23 | Kenya | Dialogue d'adéquation actif avec l'UE, objectif annoncé de septembre 2026 | Le Kenya deviendrait le premier pays africain à obtenir une adéquation de l'UE ; aucun antécédent adverse de sanction, mais le calendrier reste politique et peut glisser |
| 24 | Colombie | Aucun dialogue d'adéquation formel identifié avec l'UE | Le pays a instauré ses propres clauses contractuelles types et sa propre liste de pays « adéquats » au titre de sa loi domestique (décembre 2025), mais reste dépendant des CCT européennes pour les flux entrants depuis l'EEE, sans échéance connue vers une adéquation réciproque |
| 25 | Émirats Arabes Unis / États du CCG (regroupés) | Négociations commerciales en cours (accord de libre-échange UE-CCG depuis avril 2025), sans dialogue d'adéquation en matière de protection des données confirmé | À traiter comme dépendant des CCT indéfiniment ; l'intensification des échanges commerciaux ne doit pas être confondue avec un rapprochement réglementaire sur la protection des données |
Niveau 4 : Risque Structurel d'Accès Légal, Risque Élevé
Ces destinations n'ont pas de décision d'adéquation et portent un risque structurel documenté découlant de lois domestiques de surveillance, d'accès aux données ou de localisation, qui rendent les mesures supplémentaires réellement difficiles à concevoir et à défendre.
| Position | Destination | Principal Facteur de Risque | Notes de Risque |
|---|---|---|---|
| 26 | Vietnam | Loi sur les Données (effective juillet 2025) et exigences de localisation | La loi vietnamienne impose une évaluation d'impact des transferts transfrontaliers soumise au ministère de la Sécurité publique dans les 60 jours suivant le transfert, et introduit des catégories de « données importantes » et « données essentielles » soumises à des restrictions fondées sur la défense et la sécurité nationale, en plus des exigences classiques de CCT |
| 27 | Inde | Blocage de sanction du CEPD-CEPS | La décision du Contrôleur européen de la protection des données de bloquer purement les transferts de la Banque européenne d'investissement vers l'Inde, plutôt que d'exiger seulement des correctifs, est l'un des rares cas où une institution de l'UE a interrompu un transfert plutôt que d'infliger une amende. L'Inde n'a pas non plus de décision d'adéquation de l'UE, ce qui impose des CCT accompagnées d'une Analyse d'Impact des Transferts complète pour tout transfert vers des sous-traitants indiens ; la mise en œuvre encore incomplète du Digital Personal Data Protection Act indien, y compris ses exemptions pour les agences gouvernementales, complique cette analyse |
Niveau 5 : Cible de Sanction Active, Risque le Plus Élevé
Ces destinations portent les mesures de sanction les plus sévères et les plus directement documentées de l'histoire actuelle des transferts sous le RGPD.
| Position | Destination | Mesure de Sanction Déterminante | Notes de Risque |
|---|---|---|---|
| 28 | Chine | TikTok — 530 millions d'euros (DPC irlandaise, mai 2025) | La plus lourde amende jamais infligée spécifiquement pour un transfert sous le RGPD. La DPC a conclu que la loi antiterroriste, la loi de cybersécurité, la loi sur le contre-espionnage et la loi sur le renseignement national de la Chine ne permettent pas de conclure que les données bénéficient d'une protection essentiellement équivalente à celle de l'EEE : la barrière juridique structurelle existe indépendamment de la qualité du programme de conformité d'une organisation. La DPC a également jugé que des mesures de sécurité générales isolées (chiffrement, contrôles d'accès) sont insuffisantes si elles ne traitent pas du risque spécifique d'accès gouvernemental sous une législation problématique. Le Projet Clover de TikTok, doté de 12 milliards d'euros, n'a pas été jugé suffisant pour résoudre le problème. Le dossier a aussi établi que l'accès à distance depuis un pays tiers constitue un transfert même lorsque les données ne quittent jamais physiquement les serveurs de l'EEE, ce qui signifie que toute organisation ayant du personnel en Chine accédant à distance à des données stockées dans l'EEE entre dans le champ d'application, quel que soit le lieu de résidence des données |
| 29 | Russie | Décision conjointe néerlandaise/finlandaise/norvégienne contre Yango — 100 millions d'euros (mai 2026) | L'autorité néerlandaise a infligé une amende de 100 millions d'euros à l'opérateur européen de Yango pour avoir transféré des numérisations de permis de conduire, des données bancaires et de localisation de conducteurs finlandais et norvégiens vers la Russie sans garanties adéquates, citant explicitement les pouvoirs d'accès du gouvernement russe comme le risque central, dans une enquête conjointe menée par trois régulateurs. L'amende a été calculée sur le chiffre d'affaires mondial du groupe contrôlant russe, une méthode de calcul qui élève sensiblement le risque pour toute structure d'entreprise adossée à une maison mère russe |
| 30 | Pays visés par l'Executive Order 14117 des États-Unis et le PADFA (« pays préoccupants ») | Restriction extraterritoriale américaine, pas une sanction de l'UE | Distinct des sanctions des autorités de protection des données, mais directement pertinent pour toute organisation européenne ayant des activités aux États-Unis : l'Executive Order 14117 restreint les transferts massifs de données personnelles sensibles et de données liées au gouvernement américain vers des « pays préoccupants » désignés, dont la Chine, la Russie, l'Iran et la Corée du Nord, et le PADFA interdit séparément aux courtiers de données de transférer des données personnelles sensibles à des adversaires étrangers désignés. Un groupe européen ayant des filiales américaines qui traitent des données de citoyens américains fait face à une deuxième couche, indépendante, de restriction de transfert, en plus du Chapitre V du RGPD ; les deux régimes ne coïncident pas toujours sur les destinations restreintes |
Ce Que les Deux Pires Destinations Ont en Commun
La Chine et la Russie occupent le bas de l'Indice pour des raisons structurellement similaires, et ce schéma est instructif pour toute organisation française évaluant une destination qui ne figure pas explicitement ici.
Dans les décisions TikTok comme Yango, l'autorité sanctionnatrice a explicitement rejeté l'idée que des mesures techniques de sécurité robustes (chiffrement, contrôles d'accès, voire des programmes d'investissement en sécurité de plusieurs milliards d'euros) puissent se substituer au traitement du risque juridique spécifique créé par la loi domestique du pays de destination. Dans la décision Yango, l'autorité néerlandaise a fondé son raisonnement sur le fait que les données personnelles ne sont pas suffisamment protégées en Russie, le gouvernement pouvant en obliger l'accès indépendamment des garanties contractuelles ou techniques. La décision TikTok est arrivée fonctionnellement à la même conclusion sur les quatre lois de surveillance chinoises nommément citées.
La leçon pratique pour toute organisation française évaluant le risque de transfert vers un pays hors de cet Indice : une Analyse d'Impact des Transferts qui examine la robustesse du chiffrement et les termes contractuels, mais qui ne traite pas des lois réelles de surveillance et d'accès gouvernemental de la destination, est exactement la lacune analytique qui a produit les deux plus lourdes amendes de ce classement. C'est précisément la lacune que le guide AITD de la CNIL demande de combler dès la première étape de l'analyse.
Exemple Concret : Comment le Risque de Transfert d'une Entreprise Française Évolue Selon l'Indice
Une PME française de services SaaS avec des clients dans plusieurs pays de l'UE fait appel à une équipe support aux Philippines (équivalent Niveau 2, sans antécédent adverse), utilise un hébergeur cloud américain certifié DPF (Niveau 1, #16) et a récemment ouvert un petit bureau d'ingénierie en Chine pour accéder à des talents locaux (Niveau 5, #28).
Équipe support aux Philippines : friction faible. CCT en vigueur, aucun antécédent adverse de sanction pour cette destination, Analyse d'Impact des Transferts directe.
Hébergeur cloud américain : risque latent modéré malgré le positionnement en Niveau 1. L'entreprise doit vérifier que la certification DPF de son prestataire est à jour et active, sans présumer qu'une certification accordée une fois soit permanente, et doit conserver des CCT comme plan de repli documenté face à l'exposition juridique continue du DPF, illustrée par l'affaire Latombe toujours pendante devant la Cour de justice de l'UE.
Bureau d'ingénierie en Chine : le maillon le plus risqué de la chaîne, et le plus susceptible de passer inaperçu des équipes conformité. Si des ingénieurs chinois peuvent accéder à distance à des données de clients de l'EEE pour du support ou du débogage, même sans que ces données ne soient jamais stockées sur des serveurs chinois, le précédent TikTok établit que cela constitue un transfert exigeant une conformité complète au Chapitre V. Une revue de sécurité générique centrée sur le chiffrement et la journalisation des accès laisserait passer le véritable problème : la législation chinoise de sécurité nationale pourrait obliger la divulgation indépendamment de ces contrôles techniques.
C'est exactement la structure visée par la décision de la DPC sur TikTok, et c'est un schéma architectural courant, pas le problème isolé d'une seule entreprise, ce qui explique pourquoi la Chine occupe le bas de cet Indice plutôt que d'être traitée comme un cas ponctuel.
Cartographier manuellement chaque flux de données réel, sous-traitant par sous-traitant et pays par pays, cesse rapidement d'être tenable au-delà de quelques prestataires. Le module Cartographie des Données & Registre des Traitements de la Plateforme de Gouvernance de la Vie Privée et de l'IA de Secure Privacy aide justement à documenter où les données circulent réellement, y compris via l'accès à distance, avant qu'un dossier comme celui de TikTok ne révèle la lacune après coup.
Comment Utiliser Cet Indice dans Votre Propre Analyse de Risque de Transfert
Cartographiez toutes les destinations présentes dans vos flux de données réels, pas seulement où les données sont stockées, mais aussi où elles peuvent être consultées à distance, y compris par des équipes offshore de support, d'ingénierie ou de traitement sous-traité. Le précédent TikTok fait de l'accès à distance lui-même un déclencheur de transfert, et c'est exactement le type de qualification que la CNIL applique dans ses propres contrôles de conformité RGPD.
Localisez le niveau de chaque destination dans cet Indice et traitez les destinations de Niveau 4 et Niveau 5 comme exigeant une approbation de risque au niveau du conseil d'administration, pas un modèle standard de CCT.
Pour les destinations de Niveau 1, vérifiez que la base spécifique d'adéquation reste valide, en particulier pour les États-Unis (contrôlez que la certification DPF est à jour et active, pas seulement que le cadre existe) et pour le Canada (vérifiez que le périmètre commercial de la décision d'adéquation couvre réellement le flux de données concerné).
Pour toute destination de Niveau 3 à 5, construisez une Analyse d'Impact des Transferts qui nomme les lois domestiques spécifiques susceptibles d'obliger l'accès gouvernemental, en suivant le processus en six étapes du guide AITD de la CNIL. La décision de la DPC sur TikTok a explicitement critiqué l'Analyse de Risque de Transfert de l'entreprise pour s'être appuyée sur des descriptions génériques de la législation chinoise plutôt que sur une analyse détaillée au regard des Garanties Essentielles Européennes.
Traitez la gestion du consentement et la minimisation des données comme des contrôles de risque de transfert, pas uniquement comme des contrôles de l'étape de collecte. Moins de données personnelles doivent circuler vers une destination à haut risque, plus la surface de sanction se réduit. Documenter précisément quels sous-traitants et fournisseurs accèdent à quelles données, et depuis quel pays, est exactement le type de contrôle que les régulateurs, CNIL comprise, vérifient désormais en priorité.
La plateforme de gestion du consentement et de gouvernance de la vie privée de Secure Privacy aide les organisations à cartographier où les données personnelles circulent réellement à l'international via le module Cartographie des Données & Registre des Traitements (ROPA), à relier les registres de consentement aux mécanismes de transfert international dont ils dépendent, et à conserver une documentation prête pour un contrôle à mesure que les sanctions des autorités contre certaines destinations continuent d'évoluer. Le module de Gestion des Fournisseurs, au sein de la même plateforme, consolide les évaluations de transfert international, les décisions d'adéquation, les mécanismes de transfert et la cartographie des destinations dans un seul tableau de bord couvrant plus de 60 réglementations, utile précisément pour localiser rapidement où un Niveau 4 ou 5 de cet Indice se cache déjà dans votre propre chaîne de sous-traitance. Découvrez les outils de conformité RGPD de Secure Privacy →
Foire Aux Questions Sur le Risque de Transfert International de Données
Quel est le pays présentant le plus grand risque pour les transferts de données sous le RGPD en 2026 ?
La Chine et la Russie sont les deux destinations à plus haut risque sur la base de sanctions documentées, responsables respectivement de la plus lourde amende jamais infligée spécifiquement pour un transfert sous le RGPD (TikTok, 530 millions d'euros) et de l'action de sanction multi-autorités coordonnée la plus récente (la décision Yango, 100 millions d'euros). Les deux décisions ont explicitement conclu que les lois domestiques de surveillance et d'accès gouvernemental de la destination créent une barrière structurelle que des mesures techniques de sécurité, seules, ne peuvent surmonter.
Disposer de Clauses Contractuelles Types garantit-il des transferts de données conformes ?
Non. La décision TikTok en est la preuve la plus nette : TikTok disposait de CCT et de mesures supplémentaires, y compris une initiative de sécurité de 12 milliards d'euros, et a tout de même été sanctionnée à hauteur de 530 millions d'euros parce que la DPC irlandaise a jugé que ces mesures ne traitaient pas du risque spécifique d'accès du gouvernement chinois aux données. Les CCT sont nécessaires, mais pas suffisantes : elles doivent être étayées par une véritable Analyse d'Impact des Transferts, comme celle décrite par le guide AITD de la CNIL, qui traite des lois réelles du pays de destination, et non par une évaluation de risque standardisée.
Quels pays disposent actuellement d'une décision d'adéquation de l'UE ?
En 2026, 17 juridictions disposent d'une décision d'adéquation : Andorre, Argentine, Brésil, Canada (organisations commerciales uniquement), l'Organisation Européenne des Brevets, les Îles Féroé, Guernesey, Israël, l'Île de Man, le Japon, Jersey, la Nouvelle-Zélande, la Corée du Sud, la Suisse, le Royaume-Uni, les États-Unis (organisations certifiées DPF uniquement) et l'Uruguay. La décision du Brésil, de janvier 2026, est la plus récente et le premier arrangement d'adéquation mutuelle, où les deux parties ont reconnu simultanément le régime de l'autre.
L'accès à distance à des données depuis un pays à haut risque est-il considéré comme un « transfert » au sens du RGPD même si les données ne quittent jamais l'Europe ?
Oui. La décision de la DPC sur TikTok l'a établi explicitement : lorsque du personnel situé dans un pays tiers (en l'occurrence la Chine) accède à distance à des données personnelles stockées dans l'EEE, cet accès constitue en lui-même un transfert au sens du Chapitre V du RGPD, indépendamment du lieu de stockage physique des données. Cela signifie qu'une organisation peut avoir la totalité de ses serveurs dans l'UE et se trouver néanmoins en infraction si des salariés situés dans une juridiction à haut risque peuvent consulter ou traiter ces données à distance.
À quelle fréquence les décisions d'adéquation de l'UE changent-elles ?
Les décisions d'adéquation sont révisées selon un cycle de quatre ans au titre de l'article 97 du RGPD et peuvent être modifiées, suspendues ou révoquées si la Commission européenne conclut que les protections du pays de destination se sont dégradées, comme cela s'est produit pour le cadre Privacy Shield des États-Unis après l'arrêt Schrems II de 2020. La décision d'adéquation du Royaume-Uni a été prolongée jusqu'en 2031 après l'avis du CEPD d'octobre 2025, mais le Comité a explicitement signalé l'évolution des lois de surveillance britanniques et une possible divergence future comme motifs de « suivi continu », ce qui signifie que même une décision renouvelée n'a aucune garantie de rester stable sur toute sa durée.
Que doit faire une organisation si ses flux de données incluent une destination de Niveau 4 ou Niveau 5 de cet Indice ?
Traiter le dossier comme exigeant une approbation de risque au niveau du conseil d'administration, et non comme un point standard de check-list de conformité. Construire une Analyse d'Impact des Transferts qui nomme et analyse spécifiquement les lois de surveillance, de sécurité nationale et d'accès aux données de la destination, pas seulement sa législation générale de protection des données, en suivant le processus en six étapes du guide AITD de la CNIL, et documenter pourquoi les garanties retenues résisteraient au constat qu'une revue de sécurité générique ne remplace pas cette analyse juridique, exactement comme dans la décision TikTok.
Résumé Final
Le schéma le plus net entre les niveaux à plus haut risque de cet Indice est que les sanctions des autorités de protection des données ont décisivement dépassé le stade du papier contractuel. Les décisions TikTok et Yango montrent qu'une organisation peut disposer de CCT, de chiffrement, de contrôles d'accès et même de programmes de sécurité de plusieurs milliards d'euros, et faire tout de même face aux plus lourdes amendes de l'histoire des transferts sous le RGPD, parce qu'aucune des deux décisions n'a dépendu de savoir si l'entreprise s'était suffisamment efforcée. Les deux ont dépendu de savoir si les lois du pays de destination elles-mêmes pouvaient obliger l'accès aux données, indépendamment de ce que l'entreprise avait construit autour.
Pour toute entreprise française qui cartographie ses propres flux internationaux de données en 2026, la conclusion pratique est structurelle, pas seulement procédurale : sachez exactement d'où vos données peuvent être consultées, pas seulement où elles sont stockées, et traitez toute destination de Niveau 4 ou 5 de cet Indice comme exigeant une analyse de risque de transfert qui affronte les lois réelles d'accès gouvernemental de la destination, pas une simple signature standard de CCT.
Les organisations qui doivent opérationnaliser cette leçon, pas seulement la documenter, peuvent s'appuyer sur la Cartographie des Données & Registre des Traitements et la Gestion des Fournisseurs de Secure Privacy pour enregistrer chaque sous-traitant, son pays d'hébergement et le mécanisme de transfert qu'il utilise, en signalant automatiquement les lacunes de risque avant qu'elles ne se transforment en amende. Découvrez comment Secure Privacy cartographie les transferts internationaux de données et les relie à votre infrastructure de consentement et de conformité →
À Propos de Secure Privacy
Secure Privacy est une plateforme de gestion du consentement et de gouvernance de la vie privée pour les organisations opérant sous le RGPD, l'AI Act européen, le CCPA et les législations mondiales de protection de la vie privée. La plateforme aide les organisations à documenter leurs flux de données, à gérer leurs Analyses d'Impact des Transferts et à relier les registres de consentement aux mécanismes de transfert international (CCT, Règles d'Entreprise Contraignantes et recours à l'adéquation) dont ils dépendent.
Ressources liées :
- Délégué à la Protection des Données (DPO) en 2026 : Qui Doit en Désigner un ?
- Protection des données 2026 : ce qui change pour les entreprises en France
- AI Act 2026 : guide de conformité pour les entreprises en France
- Naviguer dans la conformité RGPD : cartographie des données pour la protection de la vie privée
- Maîtriser les 7 principes de la protection de la vie privée dès la conception
Publié le 13 août 2026.
