Skip to main content
12 Février 2025

La Commission nationale de l’informatique et des libertés (CNIL) a publié le 31 janvier 2025 ses lignes directrices finales sur les analyses d’impact du transfert (TIA), offrant une feuille de route complète aux organisations pour se conformer au RGPD lors du transfert de données personnelles en dehors de l’EEE et des pays tiers qui ne sont pas jugés adéquats par la Commission européenne. Voici les principaux points à retenir:

1

La CNIL précise qu'il incombe en premier lieu à l'exportateur de données (qu'il soit responsable du traitement ou sous-traitant) d'effectuer des analyses d'impact sur les données. L'importateur de données doit aider l'exportateur à démontrer sa conformité au RGPD. Cette assistance comprend l'évaluation de la législation du pays tiers - la fourniture d'un résumé n'est pas suffisante
2

Cartographie complète des flux de données La première étape cruciale consiste à identifier et à cartographier tous les transferts internationaux de données, y compris les sous-traitants ou les fournisseurs de services. Cette visibilité aide les organisations à comprendre exactement où et comment les données circulent
3

Évaluation du risque contextuel La CNIL met l'accent sur une évaluation au cas par cas des lois locales et des pouvoirs de surveillance dans le pays de destination. Cette approche granulaire permet de déterminer si les outils de transfert existants (par exemple, les SCCs) protègent suffisamment les données personnelles, ou si des mesures supplémentaires sont nécessaires
4

Mesures supplémentaires Lorsque des risques sont identifiés, des mesures techniques (par exemple, cryptage, pseudonymisation), contractuelles ou organisationnelles doivent être mises en œuvre pour garantir une protection des données équivalente aux normes de l'UE. Ces mesures doivent être adaptées au contexte spécifique de chaque transfert
5

Transparence et responsabilité Les organisations doivent documenter leur processus de TIA, y compris les résultats des évaluations et la justification des mesures choisies, afin de démontrer leur responsabilité. Cette documentation est cruciale pour les enquêtes réglementaires et pour instaurer la confiance avec les personnes concernées
6

Contrôle et révision continus Les MDR doivent être régulièrement mis à jour pour tenir compte des changements intervenus dans les cadres juridiques, les flux de données ou les opérations commerciales. Un contrôle continu garantit que les données restent protégées au fil du temps

En suivant ces lignes directrices, les organisations peuvent renforcer leur position en matière de protection des données et atténuer les risques de conformité. S’assurer que les TIA sont menées avec diligence – et mises à jour si nécessaire – démontre un engagement fort envers le RGPD en général et les exigences de transfert de données plus spécifiquement.

L’équipe de MyData-TRUST est prête à vous soutenir avec des conseils d’experts sur tous les aspects des évaluations d’impact du transfert (TIA).

Winnie Dongbou

Senior Data Protection Lawyer