On parle de flux transfrontières de données à caractère personnel lorsque des données portant par exemple sur vos salariés, prospects, clients ou fournisseurs sont transférées depuis le territoire européen vers des pays situés en-dehors de l’Union européenne. Ces données peuvent simplement être un matricule ou des coordonnées de personnes physiques !
Dès que l’on travaille à l’international, on se rend rapidement compte que les flux transfrontières de données font partie de notre quotidien. Cette tendance est évidemment démultipliée avec l’utilisation des outils de communication électronique tels que l’intranet, les réseaux partagés de données, les SharePoints ou encore le Cloud Computing.
Or, malgré leur caractère usuel et quotidien, ces flux transfrontières de données sont par principe interdits par la loi Informatique et libertés.
Par exception, vous pouvez réaliser ces flux transfrontières de données sous conditions. A titre d’exemple, sont permis les transferts de données vers des pays disposant d’un niveau de protection suffisant au regard des standards européens. On trouve parmi ces pays l’Argentine ou encore le Canada ; à titre anecdotique, il est toujours étonnant de rappeler que Monaco n’en fait pas parti.
La réalisation de flux transfrontières non conformes à la loi vous expose à des sanctions lourdes qui sont de 300 000 euros d’amende et de 5 ans d’emprisonnement (Articles 226-16, 226-16A et 226-22-1 du Code pénal).
Fort de ce risque, nombre d’entreprises entreprennent les démarches nécessaires à la régularisation de ces flux de données, d’autant que la Cnil est très vigilante sur le sujet.
A titre d’exemple, en décembre dernier, la Cnil a autorisé :
- la société BIC à transférer des données à caractère personnel vers les États-Unis aux fins de reporting dans le cadre des procédures d’audit et de contrôle interne ainsi que des informations des ressources humaines sur les salaires et l’annuaire de l’entreprise (demande d’autorisation n°1523772)
- la société PFIZER INTERNATIONAL OPERATIONS SAS à transférer des données à caractère personnel vers les États-Unis aux fins de la gestion des fonctions ressources humaines (Demande d’autorisation n°1520409)
- la société ARCELORMITTAL STAINLESS PRECISION EUROPE à transférer des données à caractère personnel vers l’Inde aux fins de maintenance de la plateforme de courrier électronique (Demande d’autorisation n° 1512700)
- la société FEDEX TRADE NETWORKS TRANSPORT ET DOUANE à transférer des données à caractère personnel vers les États-Unis aux fins d’assister et de coordonner la politique globale de sécurité au sein du groupe FEDEX/FTN (demande d’autorisation n°1524557)
Il vous faudra donc :
- Cartographier et analyser vos flux transfrontières de données
- Trouver les outils adaptés pour vous permettre d’apporter un niveau de protection adéquat : les règles internes d’entreprises (ou BCR), les Clauses Contractuelles Types, le Safe Harbor
- Déterminer les formalités à réaliser auprès de la Cnil
- Réaliser les démarches nécessaires en interne et auprès de la Cnil afin de légaliser ces flux transfrontières.
Si vous souhaitez en savoir plus cliquez ici.