Mesures supplémentaires de transfert (RGPD)

Définition

Les mesures supplémentaires de transfert désignent les garanties additionnelles qu'un responsable de traitement doit mettre en œuvre lorsqu'un transfert de données personnelles vers un pays tiers, fondé sur un outil tel que les clauses contractuelles types, ne suffit pas à lui seul à garantir un niveau de protection substantiellement équivalent à celui offert au sein de l'Union européenne, notamment en raison de la législation du pays destinataire permettant un accès étendu des autorités publiques aux données. Cette exigence découle de l'arrêt Schrems II de la Cour de justice de l'Union européenne, qui a rappelé que le simple recours à un outil de transfert encadré ne dispense pas d'évaluer concrètement, cas par cas, le contexte juridique du pays de destination. Les mesures supplémentaires peuvent être de nature technique, comme le chiffrement des données avec des clés conservées exclusivement dans l'Union européenne ou la pseudonymisation robuste empêchant toute réidentification par l'importateur, de nature contractuelle, comme des engagements renforcés de transparence et d'assistance en cas de demande d'accès par une autorité étrangère, ou de nature organisationnelle, comme des politiques internes de gestion des demandes gouvernementales. Le Comité européen de la protection des données a publié des recommandations détaillant une méthodologie en plusieurs étapes pour identifier et documenter ces mesures, devenue une référence incontournable pour structurer une analyse de transfert robuste.