Qu'est-ce que Schrems II concrètement pour une entreprise française ?

Schrems II oblige toute entreprise française qui transfère des données personnelles vers un fournisseur américain (AWS, Azure, Google, OpenAI) à documenter une analyse d'impact transfert (TIA), à signer des Standard Contractual Clauses (SCC) renforcées, et à mettre en place des mesures techniques complémentaires (chiffrement de bout en bout, pseudonymisation). Sans ces mesures, vous êtes en infraction RGPD, exposé à une plainte CNIL et à une amende jusqu'à 4 % de votre chiffre d'affaires mondial.

Quelles sanctions risque-t-on après Schrems II ?

Les sanctions sont celles du RGPD : amende jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel, selon le montant le plus élevé. En pratique, la CNIL française et le DPC irlandais ont déjà sanctionné des entreprises sur la base de Schrems II — Meta s'est vu infliger 1,2 milliard d'euros d'amende par le DPC en mai 2023 précisément pour transferts illicites vers les États-Unis.

Le Cloud Act américain est-il vraiment extraterritorial ?

Oui, c'est le point cardinal de Schrems II. Le Cloud Act de 2018 autorise les autorités américaines à exiger d'une entreprise de droit américain la communication de données stockées n'importe où dans le monde, y compris sur des serveurs européens. AWS Paris, Azure Amsterdam, Google Frankfurt — peu importe la localisation physique : si la maison mère est américaine, les données restent sous juridiction américaine. C'est exactement ce que la CJUE a retenu pour invalider le Privacy Shield.

Le Data Privacy Framework 2023 (Privacy Shield 2.0) résout-il Schrems II ?

Partiellement et provisoirement. Le Data Privacy Framework (DPF), adopté en juillet 2023, rétablit un mécanisme de transfert UE-US et a été reconnu adéquat par la Commission européenne. Mais Max Schrems lui-même a déjà annoncé un nouveau recours (Schrems III) devant la CJUE, contestant le fait que la législation américaine (FISA 702) n'a pas fondamentalement changé. Horizon probable d'un Schrems III : 2025-2027. Baser toute votre architecture de conformité sur le DPF, c'est parier sur une stabilité juridique que l'histoire récente ne garantit pas.

Définition & Concepts

Schrems II (Arrêt CJUE C-311/18 protection données vs Cloud Act US)

Version Décideur

L'essentiel

Schrems II c'est l'arrêt européen qui dit « les données personnelles européennes ne sont pas vraiment protégées chez AWS, Azure ou Google US à cause de la loi américaine ». Pratiquement : si vous utilisez ChatGPT, AWS ou Azure pour traiter des données européennes, vous devez prouver à la CNIL que vous avez mis en place des protections supplémentaires — chiffrement, contrats spéciaux (SCC), analyse d'impact (TIA). Sinon amende RGPD jusqu'à 4 % de votre CA mondial. La solution la plus propre : utiliser une stack souveraine France/UE comme Mistral + OVHcloud SecNumCloud, qui élimine le problème juridique à la racine.

Version Expert

Détails Techniques

Arrêt de la Cour de Justice de l'UE (CJUE) du 16 juillet 2020 dans l'affaire C-311/18 (Maximillian Schrems c. Facebook Ireland + DPC Irlande). A invalidé le Privacy Shield UE-US (mécanisme transfert données personnelles UE → US). Constat juridique : législation US (FISA Section 702, Executive Order 12333, Cloud Act 2018) ne respecte pas standards RGPD européens — accès programmes surveillance NSA et obligation transferts données aux autorités US sans avis utilisateur. Conséquence pratique : transfert de données personnelles UE vers AWS, Azure, GCP, OpenAI requiert Standard Contractual Clauses (SCC) renforcées + analyse d'impact transfert (TIA) + mesures techniques complémentaires (chiffrement de bout en bout, anonymisation). Pour données sensibles : qualification SecNumCloud ou stack souveraine France recommandée comme réponse structurelle.

#Définition Schrems II

Arrêt de la Cour de Justice de l'UE (CJUE) du 16 juillet 2020 dans l'affaire C-311/18 (Maximillian Schrems c. Facebook Ireland + DPC Irlande). Pour approfondir, consultez la page service Souveraineté Numérique Responsable.

Côté implémentation, A invalidé le Privacy Shield UE-US (mécanisme transfert données personnelles UE → US). Constat juridique : législation US (FISA Section 702, Executive Order 12333, Cloud Act 2018) ne respecte pas standards RGPD européens — accès programmes surveillance NSA et obligation transferts données aux autorités US sans avis utilisateur. Conséquence pratique : transfert de données personnelles UE vers AWS, Azure, GCP, OpenAI requiert Standard Contractual Clauses (SCC) renforcées + analyse d'impact transfert (TIA) + mesures techniques complémentaires (chiffrement de bout en bout, anonymisation). Pour données sensibles : qualification SecNumCloud ou stack souveraine France recommandée comme réponse structurelle.

On voit trop de projets échouer par méconnaissance de Schrems II. La théorie compte — mais la mise en pratique encore plus.

#Schrems II expliqué simplement

Situation classique dans les projets que Nehos accompagne. Ce scénario, on le voit sur 3 projets sur 5 en phase de cadrage.

#Cas d'usage concrets

Banque mutualiste — audit Schrems II et bascule IA — Audit Schrems II sur les flux OpenAI des conseillers clientèle → risque RGPD identifié sur 18 use cases. Décision : bascule OpenAI vers Mistral Large 2 auto-hébergé sur OVHcloud SecNumCloud. Résultat : zéro TIA à documenter, zéro SCC à négocier, conformité CNIL validée en 8 semaines. 1 200 conseillers en production depuis. Retrouvez le détail dans cas client banque mutualiste — bascule OpenAI vers Mistral SecNumCloud.

Scale-up SaaS B2B européenne — audit transferts analytics — Audit Schrems II sur les outils analytics → Google Analytics transférait données comportementales utilisateurs UE vers US sans TIA documentée. Décision : remplacement Google Analytics par Plausible (hébergement UE). Conformité CNIL rétablie en 3 semaines, coût de migration inférieur à 5 000 €, argument conformité ajouté aux réponses aux appels d'offres enterprise.

Collectivité territoriale — décision SecNumCloud post-Schrems II — Délibération du comité conformité post-audit Schrems II : élimination d'AWS pour les données citoyens (état civil, données fiscales, données sociales). Migration vers OVHcloud SecNumCloud HDS en 18 mois. Argument décisif pour 6 marchés publics gagnés : conformité Schrems II + doctrine Cloud au centre satisfaites simultanément.

#Schrems II chez Nehos Groupe

Chez Nehos, on a mesuré les résultats sur le terrain. Sur les 3 derniers projets impliquant Schrems II, on a documenté les résultats avec des KPIs précis. Notre service Souveraineté Numérique Responsable couvre ce périmètre de A à Z.

La méthode Nehos est documentée sur méthode Stack Souveraine Nehos. Chaque mission démarre par un cadrage structuré : objectifs chiffrés, périmètre technique, jalons à 30/60/90 jours. Les résultats mesurés sur nos clients : 18 mois est un ordre de grandeur courant. On livre, on mesure, on itère. Pas de slides sans livrable.

#Termes associés

Pour aller plus loin, explorez les termes connexes.

Explorez chaque définition pour construire une vision complète du sujet.

Applications Concrètes

Contexte : Banque mutualiste — audit Schrems II et bascule IA

"Audit Schrems II sur les flux OpenAI des conseillers clientèle → risque RGPD identifié sur 18 use cases. Décision : bascule OpenAI vers Mistral Large 2 auto-hébergé sur OVHcloud SecNumCloud. Résultat : zéro TIA à documenter, zéro SCC à négocier, conformité CNIL validée en 8 semaines. 1 200 conseillers en production depuis."

Contexte : Scale-up SaaS B2B européenne — audit transferts analytics

"Audit Schrems II sur les outils analytics → Google Analytics transférait données comportementales utilisateurs UE vers US sans TIA documentée. Décision : remplacement Google Analytics par Plausible (hébergement UE). Conformité CNIL rétablie en 3 semaines, coût de migration inférieur à partir de 873 €, argument conformité ajouté aux réponses aux appels d'offres enterprise."

Contexte : Collectivité territoriale — décision SecNumCloud post-Schrems II

"Délibération du comité conformité post-audit Schrems II : élimination d'AWS pour les données citoyens (état civil, données fiscales, données sociales). Migration vers OVHcloud SecNumCloud HDS en 18 mois. Argument décisif pour 6 marchés publics gagnés : conformité Schrems II + doctrine Cloud au centre satisfaites simultanément."

Questions & Réponses

Questions fréquentes sur Schrems II

Schrems II oblige toute entreprise française qui transfère des données personnelles vers un fournisseur américain (AWS, Azure, Google, OpenAI) à documenter une analyse d'impact transfert (TIA), à signer des Standard Contractual Clauses renforcées, et à mettre en place des mesures techniques complémentaires — chiffrement de bout en bout, pseudonymisation, limitation des données transférées. Sans ces mesures documentées, vous êtes en infraction RGPD, exposé à une plainte CNIL et à une amende pouvant atteindre 4 % de votre chiffre d'affaires mondial. Concrètement : si vos équipes utilisent ChatGPT ou Copilot Microsoft sans encadrement juridique formalisé, vous avez un problème Schrems II aujourd'hui.

Les sanctions sont celles du RGPD article 83(5) : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel — le montant le plus élevé des deux. Ce n'est pas théorique : le DPC irlandais a infligé 1,2 milliard d'euros d'amende à Meta en mai 2023 précisément pour transferts illicites vers les États-Unis post-Schrems II. En France, la CNIL a sanctionné plusieurs entreprises pour usage de Google Analytics sans TIA documentée. Pour une PME européenne, le risque réel n'est pas toujours la mega-amende — c'est l'injonction de cesser les transferts, ce qui peut signifier arrêter votre CRM, votre analytics ou votre outil IA du jour au lendemain.

Oui, c'est le point juridique central et le plus contre-intuitif. Le Cloud Act de 2018 autorise le gouvernement américain à exiger d'une entreprise de droit américain la remise de données stockées n'importe où dans le monde — France, Allemagne, Irlande inclus. AWS Paris, Azure Amsterdam, Google Frankfurt : peu importe la géographie des serveurs, si la maison mère est incorporée aux États-Unis, les données restent sous portée du Cloud Act. C'est exactement ce que la CJUE a retenu dans Schrems II pour invalider le Privacy Shield : la surveillance de masse américaine (NSA via FISA 702) est incompatible avec les droits fondamentaux RGPD, et aucune localisation physique ne change cette réalité juridique.

Oui, et c'est la réponse la plus robuste juridiquement disponible en France. Un fournisseur qualifié SecNumCloud est par construction une entité de droit européen dont la maison mère n'est pas soumise au Cloud Act américain. La qualification ANSSI impose trois verrous cumulatifs : immunité aux lois extraterritoriales, hébergement physique en UE, équipe d'exploitation européenne. En déployant sur OVHcloud SecNumCloud, vous éliminez le risque Schrems II à la source — il n'y a pas de transfert hors UE, donc pas de TIA à rédiger, pas de SCC à négocier, pas de risque de Schrems III à anticiper. C'est aussi l'argument que la doctrine Cloud au centre de la DINUM a institutionnalisé pour les administrations.

Partiellement, et probablement temporairement. Le Data Privacy Framework (DPF), adopté en juillet 2023, rétablit un mécanisme de transfert UE-US reconnu adéquat par la Commission européenne. Mais Max Schrems lui-même a déposé un recours devant la CJUE — ce que le milieu appelle déjà Schrems III — en contestant le fait que FISA Section 702 n'a pas fondamentalement changé. Horizon probable d'invalidation : 2025-2027. Construire votre architecture de conformité entièrement sur le DPF, c'est parier sur une stabilité juridique que l'histoire récente contredit deux fois en dix ans. La réponse durable, c'est de réduire structurellement votre dépendance aux transferts UE-US pour les données sensibles — pas d'espérer que le cadre diplomatique tienne.

Exploration associée

service Souveraineté Numérique Responsable méthode Stack Souveraine Nehos guide IA souveraine stack France 2026 qualification SecNumCloud ANSSI v3.2 doctrine Cloud au centre DINUM Mistral Large 2 — LLM souverain européen RGPD et transferts internationaux de données accompagnement secteur banque-assurance régulé accompagnement collectivités et service public