Les données des salariés peuvent-elles être transférées hors de l'Union par les plateformes ?
Réponse courte
Oui, mais seulement si le chapitre V du RGPD est respecté. Publier le portrait d'un salarié sur une plateforme dont les serveurs sont hors de l'Union, ou confier la gestion des comptes à un outil américain, constitue un transfert international que l'entreprise doit pouvoir justifier.
Trois fondements existent : une décision d'adéquation de la Commission, des garanties appropriées — clauses contractuelles types en tête —, ou l'une des dérogations limitativement prévues à l'article 49, dont le consentement explicite et éclairé de la personne concernée.
Le responsable du traitement reste l'employeur, même lorsque le transfert est le fait de la plateforme. C'est à lui de documenter le fondement retenu, d'informer les salariés de la destination de leurs données et d'inscrire ces traitements au registre, sous le contrôle de la CNPD et des règles du RGPD.
Définition
Le transfert hors Union est toute mise à disposition de données à caractère personnel au bénéfice d'un destinataire situé dans un pays tiers, y compris par simple hébergement ou accès à distance depuis ce pays.
Les clauses contractuelles types sont le modèle de contrat adopté par la Commission européenne qui, complété par une analyse d'impact du transfert, constitue la garantie appropriée la plus courante dans les relations avec les plateformes.
Conditions d’exercice
Le fondement du transfert se choisit avant la publication, pas après une réclamation.
| Condition | Détail |
|---|---|
| Décision d'adéquation | Transfert libre vers un pays reconnu comme offrant un niveau de protection adéquat |
| Garanties appropriées | Clauses contractuelles types, règles d'entreprise contraignantes, code de conduite |
| Dérogations de l'article 49 | Consentement explicite, exécution d'un contrat, motifs importants d'intérêt public |
| Responsable du traitement | L'employeur, y compris lorsque le transfert est opéré par la plateforme |
| Information des personnes | Destination des données et fondement du transfert, dès la collecte |
| Registre | Mention du transfert, du pays de destination et de la garantie retenue |
| Analyse d'impact | Requise lorsque le traitement présente un risque élevé pour les personnes |
Modalités pratiques
Le travail se fait sur les contrats et le registre, avant la première publication.
| Étape | Détail |
|---|---|
| Cartographie | Recenser les plateformes et outils utilisés, et la localisation de leurs serveurs |
| Contrats | Vérifier la présence de clauses contractuelles types et leur version en vigueur |
| Sous-traitance | Encadrer la prestation d'un tiers gestionnaire par un contrat conforme à l'article 28 |
| Base juridique | Distinguer le fondement du traitement de celui du transfert |
| Consentement | Lorsqu'il sert de fondement, le recueillir explicitement et séparément |
| Information | Mentionner le pays de destination dans la politique de confidentialité interne |
| Réexamen | Revoir les garanties à chaque évolution du cadre européen |
Pratiques et recommandations
L'erreur la plus répandue consiste à croire que la question relève de la plateforme. Le responsable du traitement est l'entreprise qui décide de publier : c'est elle que la CNPD interrogera sur le fondement du transfert, et elle ne pourra pas se retrancher derrière les conditions générales d'un service qu'elle a choisi.
Le consentement est un fondement fragile pour un transfert d'ampleur. Il doit être explicite, spécifique au transfert, et reste révocable à tout moment — ce qui suppose de pouvoir retirer le contenu concerné sans délai. Pour un usage récurrent, les clauses contractuelles types offrent une base autrement plus stable.
Traitez enfin les photographies comme des données à part entière. Une image de salarié identifiable publiée sur une plateforme extra-européenne cumule les deux régimes : celui du droit à l'image, qui suppose le consentement de l'intéressé, et celui du transfert, qui suppose une garantie appropriée. L'un ne dispense jamais de l'autre.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. 44 à 49 du RGPD | Principe général des transferts, décisions d'adéquation, garanties appropriées, dérogations |
| Art. 28 du RGPD | Contrat de sous-traitance imposé au prestataire |
| Art. 30 du RGPD | Registre des activités de traitement, mention des transferts |
| Art. 35 du RGPD | Analyse d'impact en cas de risque élevé |
| Loi du 1er août 2018 | Mise en œuvre du RGPD au Luxembourg et compétences de la CNPD |
| Art. L.261-1 du Code du travail | Traitement de données à des fins de surveillance dans les relations de travail |
Note
Le transfert se justifie par un fondement écrit, pas par l'usage courant d'un outil. La CNPD interroge l'employeur, jamais la plateforme.