Cabinets d'avocats · Les flux de données clients à travers les frontières et les régimes réglementaires

Un litige de garde impliquant une filiale industrielle basée à Francfort atterrit sur le bureau d'un associé londonien un lundi. Le mercredi, les dossiers RH, les e-mails des salariés et les procès-verbaux du conseil ont quitté un serveur allemand pour le système de gestion documentaire d'une équipe londonienne, puis sont repartis vers un prestataire e-discovery new-yorkais pour traitement. Personne dans cette chaîne n'a nécessairement enfreint la loi. Mais personne n'a nécessairement vérifié non plus, et c'est dans cet écart que les cabinets s'exposent.

Cette leçon retrace ce trajet de données précis et montre où se situent les mécanismes de transfert légaux, où ils échouent le plus souvent, et ce qu'un audit des données doit examiner à chaque étape.

Le trajet : trois juridictions, trois régimes

Francfort (origine) : les données personnelles des salariés, dirigeants ou clients relèvent du Règlement général sur la protection des donnéesRèglement général sur la protection des donnéesRèglement de l'UE encadrant la collecte, le stockage et l'usage des données personnelles, avec des amendes indexées sur le chiffre d'affaires mondial.Voir la définition complète → (RGPD) de l'UE, appliqué en Allemagne par les autorités de protection des données au niveau des Länder (Datenschutzbehörden). Le RGPD considère toute exportation de données personnelles hors de l'Espace économique européen (EEE) comme un « transfert restreint » nécessitant une base légale.

Londres (équipe en charge du dossier) : depuis le Brexit, le Royaume-Uni applique son propre régime quasi identique, l'UK GDPR, supervisé par l'Information Commissioner's Office (ICO). Un transfert de l'Allemagne vers Londres est un transfert UE-Royaume-Uni, donc un transfert international au sens du droit européen, même si les deux parties bénéficient d'une reconnaissance d'« adéquation » de la Commission européenne (une décision formelle établissant que le droit britannique offre une protection équivalente). L'adéquation est actuellement en vigueur mais n'a été renouvelée qu'avec une clause d'extinction ; la Commission européenne a prolongé l'adéquation britannique jusqu'en juin 2025, puis de nouveau, et les cabinets doivent la traiter comme un point à surveiller en permanence, non comme un acquis.

New York (prestataire e-discovery) : l'étape Royaume-Uni vers États-Unis est la plus risquée. Les États-Unis n'ont pas de loi fédérale unique et exhaustive sur la vie privée. À la place, un patchwork : le CCPA/CPRA californien (California Consumer Privacy Act, modifié par le California Privacy Rights Act), auxquels s'ajoutent des lois d'État distinctes en Virginie, au Colorado, dans le Connecticut, en Utah et dans une liste croissante d'autres États, chacune avec des seuils et des droits pour les consommateurs différents. Aucune de ces lois ne confère aux États-Unis l'« adéquation » au sens du RGPD. Chaque transfert de données personnelles européennes ou britanniques vers les États-Unis nécessite sa propre justification juridique.

Où se situe réellement le mécanisme de transfert

Les articles 44 à 49 du RGPD régissent ce point. En pratique, trois mécanismes comptent pour les cabinets d'avocats :

1. Les clauses contractuelles types (SCC) : des modèles de contrat approuvés par la Commission européenne qui obligent l'importateur de données (le prestataire américain) à respecter un niveau de protection européen. Des versions actualisées ont été publiées en 2021. C'est le mécanisme de référence.
2. L'International Data Transfer Agreement (IDTA) britannique ou l'addendum britannique aux SCC européennes, publié par l'ICO pour l'étape britannique.
3. Les décisions d'adéquation, qui suppriment entièrement le besoin d'aménagements contractuels, mais ne couvrent qu'une courte liste de pays (dont ne font pas partie les États-Unis dans leur ensemble).

Le problème Schrems II

En juillet 2020, la Cour de justice de l'Union européenne (CJUE) a rendu l'arrarrL'Annual Recurring Revenue (ARR) est le revenu normalisé et prévisible qu'une entreprise par abonnement attend de ses contrats actifs sur une année.Voir la définition complète →êt *Schrems II* (affaire C-311/18), invalidant le cadre du Privacy Shield UE-États-Unis et, point décisif, jugeant que les SCC seules ne suffisent pas automatiquement. Les exportateurs de données doivent également évaluer si les lois de surveillance du pays de destination (aux États-Unis, la section 702 du FISA et le décret présidentiel 12333) pourraient permettre aux agences gouvernementales d'accéder aux données indépendamment du contrat.

D'où la crcrLe pourcentage de visiteurs ou de prospects qui réalisent une action attendue (achat, inscription, formulaire de contact), calculé en divisant les conversions par le nombre total d'opportunités.Voir la définition complète →éation du Transfer Impact Assessment (TIA), aujourd'hui un document de due diligence standard : avant d'envoyer des données à un prestataire américain, l'exportateur doit documenter le risque de surveillance, la sensibilité des données et les mesures supplémentaires (chiffrement, pseudonymisation, contrôles d'accès) qui l'atténuent.

Le Data Privacy Framework (DPF) UE-États-Unis, adopté par la Commission européenne en juillet 2023, a rétabli une forme d'adéquation pour les entreprises américaines qui s'auto-certifient auprès du Département du Commerce américain. Il fait déjà l'objet de recours juridiques qui font écho à Schrems I et II. Les cabinets qui s'appuient sur des prestataires certifiés DPF doivent vérifier le statut de certification directement sur le registre du Data Privacy Framework plutôt que de se fier à la parole du prestataire, et conserver malgré tout une clause SCC de repli dans le contrat.

Pourquoi les prestataires e-discovery constituent l'étape la plus risquée

L'e-discovery (l'identification, la collecte et la revue de documents électroniques en vue d'un contentieux) implique régulièrement le transfert en masse de données non revues, c'est-à-dire que des éléments couverts par le secret professionnel, des données de catégorie particulière (santé, appartenance syndicale, données biométriques au sens de l'article 9 du RGPD) et des données personnelles non pertinentes circulent ensemble avant tout filtrage.

Points de défaillance concrets :

• Sous-traitants ultérieurs du prestataire : le prestataire new-yorkais peut héberger sur une infrastructure cloud avec des centres de données dans plusieurs régions, ou recourir à des équipes de revue offshore dans un quatrième pays jamais mentionné dans le contrat initial.
• Aucun TIA au dossier : les cabinets supposent que les SCC du prestataire les couvrent, sans documenter l'évaluation de la surveillance exigée par Schrems II.
• Minimisation des données ignorée : l'article 5(1)(c) du RGPD impose de ne transférer que ce qui est nécessaire. Envoyer l'intégralité du disque RH de Francfort plutôt qu'un sous-ensemble filtré et marqué par pertinence démultiplie l'exposition.
• Dérive de conservation : une fois le contentieux clos, les données restent indéfiniment sur les serveurs du prestataire parce que personne n'est responsable de l'instruction de suppression.

Une checklist minimale d'audit de transfert

For each cross-border data flow, verify:
[ ] Legal basis for processing (GDPR Art. 6, plus Art. 9 if special category)
[ ] Transfer mechanism identified (SCCs / IDTA / adequacy / DPF)
[ ] Transfer Impact Assessment on file, dated, and matter-specific
[ ] Subprocessor list obtained and geographic locations confirmed
[ ] Data minimization applied before export (filter, not full dump)
[ ] Retention/deletion schedule agreed and calendared
[ ] US state law scope check (does CCPA/CPRA or another state law apply
    to the vendor's handling, independent of GDPR?)

Ce n'est pas un formulaire à remplir une fois. Les équipes doivent le dérouler dossier par dossier, car le jeu de données, le prestataire et les juridictions changent à chaque fois.

Les lois des États américains ajoutent une seconde couche, distincte

Même une fois la mécanique de transfert RGPD réglée, le traitement des données par le prestataire new-yorkais peut déclencher de manière indépendante des obligations au titre du droit d'un État américain, car le CCPA/CPRA s'applique en fonction des informations personnelles de résidents californiens, peu importe le lieu du traitement. Un prestataire new-yorkais qui traite les données de salariés résidant aux États-Unis d'une filiale de Francfort pour le compte d'une maison mère liée à la Californie peut entrer dans le champ du CCPA, alors même que toute la discussion sur le « transfert » portait sur le RGPD.

Cela signifie que les cabinets ont besoin de deux voies de conformité parallèles, et non d'une seule : la légalité du transfert au titre du RGPD/UK GDPR, et l'applicabilité des lois américaines d'État sur la vie privée. Considérer la vie privée américaine comme « pas de RGPD, donc pas de problème » est le risque de violation silencieuse le plus fréquent dans toute cette chaîne.

Pour une vision d'ensemble des tendances de sanction au niveau du cabinet, l'International Association of Privacy Professionals (IAPP) publie des ressources de suivi gratuites, à la fois sur les actions répressives européennes et sur la cartographie croissante des lois d'État américaines, utiles pour une veille périodique plutôt qu'une lecture ponctuelle.

🎬 [VIDEO: "Schrems II Explained: EU-US Data Transfers" — youtube.com — une courte explication de l'arrêt de la CJUE et de son effet pratique sur les clauses contractuelles types, utile comme introduction en langage clair avant de lire l'arrêt intégral]

Points clés à retenir

• Chaque étape d'un dossier transfrontalier (Francfort vers Londres vers New York) constitue un événement de transfert juridiquement distinct au sens du RGPD, chacun nécessitant son propre mécanisme (SCC, IDTA britannique, adéquation ou DPF), et non une hypothèse globale couvrant toute la chaîne.
• Schrems II (2020) signifie que les SCC seules ne suffisent pas pour les transferts UE-États-Unis ; un Transfer Impact Assessment documenté couvrant l'exposition au droit américain de la surveillance est désormais la pratique attendue.
• Les prestataires e-discovery constituent le maillon le plus risqué car ils reçoivent des données personnelles en masse, non filtrées et non revues, incluant souvent des données de catégorie particulière, avant toute minimisation.
• Les lois américaines d'État sur la vie privée (CCPA/CPRA et autres) s'appliquent selon leurs propres critères et peuvent créererLe rapport entre les interactions (likes, commentaires, partages) et le reach d'un contenu, utilisé pour mesurer la réaction de l'audience au regard du nombre de personnes touchées.Voir la définition complète → une exposition indépendante de toute question de transfert RGPD : les deux voies exigent des vérifications séparées.
• Menez un audit de transfert dossier par dossier (base légale, mécanisme, TIA, liste des sous-traitants, minimisation, conservation) plutôt que de vous reposer sur un document de politique générale que personne ne relit.