Les flux transfrontières de données à caractère personnel

3 questions à Yaël COHEN-HADRIA, avocat à la cour, spécialisée dans les domaines des technologies de l'information, Cabinet HAAS Avocats.

Yaël COHEN-HADRIA anime la formation « Sécuriser les flux transfrontières de données à caractère personnel »

Qu'est qu'un flux transfrontière de données à caractère personnel ?

On parle de flux transfrontières de données à caractère personnel lorsque des données à caractère personnel sont transférées depuis le territoire français vers un ou des pays situés en-dehors de l'Union européenne. Exemple 1 : Envoi des données des salariés d'une filiale en France vers sa maison mère aux US. Exemple 2 : Les fichiers clients de mon entreprise située en France sont hébergées sur des serveurs en Inde. Exemple 3 : Mon entreprise fait appel à un call center situé au Maroc pour la gestion des réclamations de mes clients.

Comment les sécuriser juridiquement ?

Ces flux transfrontières de données sont juridiquement possibles si le pays destinataire des données présente un niveau suffisant de protection des données, comme l'Argentine, le Canada ou Israël.

Sauf exceptions prévues par la loi et valant pour des flux ponctuels, ces flux sont par principe interdits lorsque le pays destinataire des données ne dispose pas d'un niveau suffisant de protection des données. Pour sécuriser juridiquement ces flux il convient de se conformer aux obligations de la loi Informatique et libertés qui impose par exemple une autorisation de la Cnil pour réaliser de tels transferts.

Pour les contrôles 2011, les flux transfrontières sont une des priorités de la CNIL. Sur quoi peuvent-ils exactement porter ?

Pour l'année 2011, la Cnil prévoit de réaliser encore près de 400 contrôles. Une partie de ces contrôles vise la conformité des flux transfrontières de données, notamment via 3 axes spécifiques :

- le contrôle des sociétés adhérentes au "Safe Harbor" et de l'effectivité de leur engagement aux principes du Safe Harbor

- le contrôle des sociétés ayant recours à des clauses contractuelles

- le contrôle d'entreprises se prévalant des exceptions prévues par la loi, alors que ce recours devrait rester exceptionnel et ne pas concerner les transferts répétitifs, massifs ou structurels.