L'essentiel sur l'audit RGPD transferts hors UE et le risque Schrems III
En matière de transferts de données personnelles vers des pays tiers, l'histoire se répète avec une régularité gênante pour les entreprises françaises. Schrems I (arrêt CJUE C-362/14, octobre 2015) : la Cour invalide le Safe Harbor car les programmes de surveillance NSA (PRISM, UPSTREAM révélés par Snowden en 2013) permettent aux autorités américaines d'accéder aux données des Européens sans les garanties exigées par la directive 95/46/CE, en vigueur à l'époque. Plus de 4 000 entreprises transfèrent alors leurs données vers les États-Unis sur la base du Safe Harbor : une décision qui tombe du jour au lendemain. Schrems II (arrêt CJUE C-311/18, 16 juillet 2020) : bis repetita. La Cour invalide le Privacy Shield — successeur du Safe Harbor adopté en 2016 — toujours pour les mêmes raisons de surveillance US (FISA section 702 et executive order EO 12333). Cette fois, ce sont des dizaines de milliers d'entreprises européennes qui utilisent AWS, Google Workspace, Salesforce, Zoom ou HubSpot sur la base du Privacy Shield qui se retrouvent en situation d'illégalité de transfert overnight. La solution de repli : les Clauses Contractuelles Types (CCT) avec Transfer Impact Assessment (TIA) obligatoire. Situation actuelle : le Data Privacy Framework (DPF), troisième accord EU-US, est adopté par la Commission européenne en juillet 2023. Mais dès novembre 2024, l'élection de Donald Trump et les modifications d'executive orders de surveillance américaine (FISA, EO 12333) relancent la machine. Noyb — l'organisation de Maximilian Schrems — a déposé un recours devant la CJUE dès janvier 2025. L'arrêt est attendu pour 2026-2027. Pour toute entreprise française qui utilise AWS, Azure, Google Cloud, Salesforce, HubSpot, Zoom, Slack, Monday, Notion, Figma ou Linear : le risque de transfert hors UE est latent et potentiellement invalidable à nouveau.
Trois mécanismes permettent aujourd'hui de transférer légalement des données personnelles vers un pays tiers non adéquat au sens du RGPD. Premier mécanisme : les Clauses Contractuelles Types (CCT), adoptées par la Commission européenne en juin 2021 (décisions 2021/914 et 2021/915). Mécanisme valide — mais conditionnel. La validité des CCT ne dispense pas l'entreprise exportatrice de données de réaliser une Transfer Impact Assessment (TIA) pour vérifier que le droit du pays destinataire ne vide pas les CCT de leur substance. Si les lois de surveillance du pays destinataire permettent à ses autorités d'accéder aux données en contournant les protections CCT, des mesures supplémentaires techniques sont requises (chiffrement de bout en bout côté UE avant transfert, de sorte que le fournisseur US ne puisse jamais accéder aux données en clair). Deuxième mécanisme : le DPF (Data Privacy Framework), décision d'adéquation EU-US de juillet 2023 — valide pour les transferts vers les entreprises américaines certifiées DPF. Mais juridiquement fragile : la procédure noyb/CJUE en cours peut l'invalider. Une entreprise dont l'ensemble des transferts repose sur le seul DPF prend un risque de continuité majeur. Troisième mécanisme : les BCR (Binding Corporate Rules), règles d'entreprise contraignantes — mécanisme le plus robuste, réservé aux groupes multinationaux, approuvé par l'autorité de contrôle chef de file (typiquement la CNIL pour les groupes dont le siège est en France), délai de mise en place 12 à 24 mois, investissement conséquent.
La méthodologie Nehos sur les transferts hors UE se déroule en quatre temps. Étape 1 — Cartographie exhaustive : identifier l'ensemble des transferts de données personnelles hors UE, y compris les transferts indirects via les sous-traitants et sous-sous-traitants (un CRM Salesforce transfère aussi vers ses propres sous-traitants aux États-Unis). Étape 2 — Audit des bases légales : pour chaque transfert identifié, vérifier la base légale en vigueur (DPF, CCT, BCR, aucune base légale), l'existence et la conformité d'une TIA pour les CCT, et le niveau de risque résiduel post-Schrems III. Étape 3 — Scoring et priorisation : classer les transferts par niveau de risque (exposition DPF uniquement vs CCT avec TIA conforme vs BCR) et par criticité métier. Étape 4 — Plan d'action et alternatives souveraines : pour les transferts à risque élevé, identifier et déployer des alternatives souveraines européennes (Infomaniak, OVHcloud, Scaleway, Nextcloud, Matomo, SuiteCRM, Mistral OVHcloud) en priorisant par ratio risque/effort de migration.
Les missions Nehos sur les transferts hors UE sont calibrées en trois fourchettes selon le périmètre. Périmètre restreint (cartographie + TIA pour les 5-10 sous-traitants US principaux, plan de continuité DPF) : 415 k€ HT, durée 6 à 8 semaines. Périmètre intermédiaire (cartographie exhaustive, TIA pour l'ensemble des sous-traitants et sous-sous-traitants US, mise à jour CCT 2021, mise à jour du registre des traitements, plan de migration souveraine priorisé) : à partir de 19 k€ HT, durée 8 à 14 semaines. Périmètre complet avec déploiement des alternatives souveraines (périmètre intermédiaire + accompagnement technique migration 3 à 8 outils vers alternatives européennes, formation équipes, documentation DPO) : 45 à 111 k€ HT, durée 14 à 24 semaines selon le nombre de migrations et la complexité des intégrations à reproduire. Estimation précise en 30 minutes : [RDV audit transferts RGPD](https://calendly.com/raphael-poirier_/decouverte15min-nehos-groupe
RGPD & Transferts Hors UE — Réduire le Risque Schrems et Cartographier vos Flux
Après Schrems I (2015, invalidation Safe Harbor) et Schrems II (2020, invalidation Privacy Shield), le risque Schrems III plane sur le Data Privacy Framework EU-US depuis l'élection Trump 2024 et la modification des executive orders de surveillance US. Nehos cartographie vos transferts de données personnelles vers des pays tiers (USA, UK, Inde, etc.), audite vos bases légales de transfert (DPF, CCT, BCR), propose des alternatives souveraines européennes. 18-111 k€ HT.
Adapté à toute taille de structure
#Chronologie Schrems — Safe Harbor, Privacy Shield, DPF et le risque Schrems III
Pour comprendre pourquoi le sujet des transferts de données hors UE reste aussi instable en 2026, il faut reprendre la chronologie depuis le début. Chaque invalidation répond à la même logique : les programmes de surveillance américains permettent aux autorités US d'accéder aux données des Européens dans des conditions incompatibles avec la Charte des droits fondamentaux de l'UE et le droit à la protection des données personnelles.
2000 — Safe Harbor. La Commission européenne adopte la décision Safe Harbor permettant aux entreprises américaines auto-certifiées de recevoir des données personnelles depuis l'UE. Mécanisme basé sur des engagements volontaires des entreprises américaines, sans vérification réelle et sans protection contre la surveillance gouvernementale US.
Octobre 2015 — Schrems I (C-362/14). Maximilian Schrems, étudiant autrichien en droit, dépose une plainte auprès de la CNIL irlandaise contre Facebook Ireland, qui transfère ses données vers les serveurs américains de Facebook Inc. Le déclencheur : les révélations Snowden de 2013 sur le programme PRISM de la NSA, qui permet l'accès aux données hébergées chez Microsoft, Google, Apple, Facebook, Yahoo, AOL, Skype et YouTube. La Cour de Justice de l'Union Européenne invalide le Safe Harbor le 6 octobre 2015 : une décision d'adéquation de la Commission ne peut pas immuniser les entreprises contre les obligations légales américaines de surveillance (notamment FISA section 702). Impact immédiat : 4 300 entreprises transfèrent légalement leurs données vers les États-Unis sur la base du Safe Harbor — du jour au lendemain, ces transferts deviennent illégaux. Solution transitoire : utilisation des CCT (Clauses Contractuelles Standard) et des BCR, avec une période de tolérance accordée par les DPA européens.
2016 — Privacy Shield. Commission européenne et département du Commerce américain négocient un accord de remplacement, assorti de commitments renforcés du gouvernement US sur la surveillance : médiateur indépendant pour les plaintes, limitations (sur le papier) de l'accès des agences de renseignement. Décision d'adéquation adoptée en juillet 2016. Environ 5 000 entreprises américaines s'y certifient.
16 juillet 2020 — Schrems II (C-311/18). Deuxième arrêt de la CJUE sur le même sujet. La Cour invalide le Privacy Shield : les engagements pris par les autorités US en 2016 ne constituent pas une protection équivalente à celle garantie par le droit européen. FISA section 702 permet la collecte de masse, EO 12333 autorise la surveillance hors sol américain. Ni l'un ni l'autre n'est limité aux cas strictement nécessaires, et il n'existe pas de recours juridictionnel effectif pour les non-résidents américains. La CJUE maintient la validité des CCT — mais ajoute une obligation cruciale pour les exportateurs de données : réaliser une Transfer Impact Assessment (TIA) pour vérifier que les lois du pays destinataire ne vident pas les CCT de leur substance. Si c'est le cas, des mesures techniques supplémentaires sont requises ou le transfert doit cesser. Impact : l'ensemble des entreprises européennes utilisant des fournisseurs cloud américains (AWS, Azure, GCP) ou des SaaS américains (Salesforce, HubSpot, Zoom, etc.) sont potentiellement en infraction, sauf à avoir mis en place des CCT 2021 avec TIA conforme.
Juin 2021 — Nouvelles CCT. La Commission européenne adopte de nouvelles Clauses Contractuelles Types (décisions 2021/914 et 2021/915) adaptées au RGPD et intégrant les exigences post-Schrems II : module dédié selon le type de transfert (exportateur responsable de traitement vers importateur sous-traitant, responsable vers responsable, etc.), obligation de TIA documentée, mécanismes de notification en cas de demande gouvernementale d'accès aux données.
Juillet 2023 — Data Privacy Framework (DPF). Troisième tentative d'accord EU-US, adopté par décision de la Commission le 10 juillet 2023. Innovations structurelles par rapport au Privacy Shield : création d'un tribunal spécialisé (Data Protection Review Court, DPRC) aux États-Unis pour examiner les plaintes des Européens sur l'accès des services de renseignement à leurs données, engagement de proportionnalité sur les programmes de collecte relevant de FISA 702. Les entreprises américaines certifiées DPF peuvent à nouveau recevoir des données depuis l'UE sans CCT supplémentaires.
Novembre 2024 — Élection Trump et premier signal d'alerte. Donald Trump est élu président des États-Unis. Dès la campagne, plusieurs executive orders annoncés soulèvent des questions sur la pérennité des engagements pris dans le cadre du DPF.
Janvier 2025 — Executive orders et modification du cadre de surveillance. Les modifications apportées par l'administration Trump aux executive orders régissant la surveillance américaine (notamment EO 12333 et les directives d'application de FISA 702) fragilisent les fondements du DPF. L'organisation noyb dépose un recours en annulation devant la CJUE. En parallèle, le Parlement européen adopte une résolution exprimant des inquiétudes sérieuses sur la stabilité du DPF.
2026-2027 — Arrêt Schrems III attendu. La procédure noyb est en cours devant la CJUE. L'audience préliminaire est attendue courant 2026, l'arrêt final en 2026 ou 2027 selon l'avancement de la procédure. Si la Cour invalide le DPF — comme elle l'a fait pour le Safe Harbor et le Privacy Shield — les entreprises qui ont basé l'intégralité de leurs transferts vers les États-Unis sur le DPF se retrouveront à nouveau en situation d'urgence conformité. La différence cette fois : les entreprises avisées auront préparé un plan B.
#Les 3 mécanismes de transfert RGPD — CCT, DPF, BCR
#Clauses Contractuelles Types (CCT) — Mécanisme valide, mais conditionnel
Les CCT (ou SCC en anglais, Standard Contractual Clauses) sont des clauses types adoptées par la Commission européenne dont l'inclusion dans le contrat entre l'exportateur européen de données et l'importateur du pays tiers permet de couvrir le transfert. Les CCT de 2021 (décisions 2021/914 et 2021/915) remplacent les anciennes clauses de 2001 et 2010, et sont obligatoires depuis décembre 2022 — tout contrat encore basé sur les anciennes CCT est non conforme depuis cette date.
La particularité post-Schrems II : les CCT seules ne suffisent plus. L'arrêt C-311/18 impose à l'exportateur de données de réaliser une Transfer Impact Assessment (TIA) avant tout transfert couvert par des CCT vers un pays dont les lois de surveillance peuvent compromettre les protections contractuelles. Si la TIA conclut que les lois du pays destinataire (en particulier FISA 702 pour les États-Unis, IP Act pour le Royaume-Uni, IT Act section 69 pour l'Inde) permettent aux autorités d'accéder aux données en contournant les CCT, l'exportateur doit soit mettre en place des mesures techniques supplémentaires (chiffrement de bout en bout côté UE, de sorte que l'importateur US ne puisse jamais déchiffrer les données), soit ne pas transférer. Ce chiffrement avant transfert est exigeant : il signifie que le fournisseur SaaS américain ne peut pas accéder aux données de ses propres clients européens — ce qui est souvent incompatible avec le modèle de service SaaS (comment Salesforce peut-il héberger et afficher vos données CRM s'il ne peut pas y accéder ?).
Conséquence pratique : pour la majorité des SaaS américains (Salesforce, HubSpot, Zoom, Slack, Monday, Notion, Figma), les CCT seules sans chiffrement de bout en bout côté UE ne constituent pas une protection suffisante si la TIA conclut que FISA 702 est applicable. Le DPF est alors la seule alternative légale — jusqu'à ce qu'il soit à son tour invalidé.
#Data Privacy Framework (DPF) — Valide mais fragile en 2026
Le DPF est à ce jour la base légale la plus pratique pour les transferts vers les entreprises américaines certifiées. Pour vérifier si un fournisseur est certifié DPF : dataprivacyframework.gov. Les grands acteurs SaaS (Amazon AWS, Microsoft Azure, Google, Salesforce, HubSpot, Zoom, Slack, Meta, Oracle, etc.) sont quasi-unanimement certifiés DPF.
Le problème de fond : le DPF est la troisième décision d'adéquation EU-US en moins de 25 ans. Les deux précédentes ont été invalidées par la CJUE pour des raisons structurelles — les programmes de surveillance américains. Ces programmes n'ont pas disparu avec le DPF, ils ont été encadrés contractuellement. La procédure noyb devant la CJUE repose sur l'argument que les executive orders Trump de janvier 2025 ont déjà compromis les engagements de fond du DPF. Si la Cour suit ce raisonnement, le DPF tombe. Les entreprises qui ont uniquement le DPF comme base légale pour leurs transferts vers les États-Unis doivent impérativement avoir un plan B — CCT avec TIA conforme, ou migration vers des alternatives souveraines européennes.
Recommandation Nehos : en 2026, ne jamais baser un transfert critique uniquement sur le DPF sans avoir en parallèle des CCT 2021 signées et une TIA documentée. Le surcoût de cette double couverture est faible ; le coût d'une invalidation DPF sans préparation est majeur.
#BCR (Binding Corporate Rules) — Le mécanisme le plus robuste, réservé aux groupes
Les BCR sont des règles internes contraignantes approuvées par l'autorité de contrôle chef de file (typiquement la CNIL pour les groupes dont le siège social est en France) permettant les transferts intra-groupe vers des entités situées dans des pays tiers. Elles couvrent aussi bien les BCR responsables de traitement que les BCR sous-traitants.
Avantages : mécanisme le plus robuste juridiquement, approuvé explicitement par la CNIL, couvre tous les transferts intra-groupe sans nécessiter de CCT individuelles pour chaque entité. Inconvénients : uniquement applicable aux transferts au sein du même groupe d'entreprises (pas applicable aux sous-traitants externes), délai de mise en place de 12 à 24 mois, investissement significatif (121 k€ HT selon la taille du groupe et la complexité des flux), révision nécessaire à chaque modification structurelle du groupe. Les BCR sont donc réservées aux ETI et grands groupes multinationaux avec des flux intra-groupe importants et stables.
#Transfer Impact Assessment (TIA) — Ce que c'est et pourquoi c'est obligatoire
La Transfer Impact Assessment est l'analyse que l'exportateur de données européen doit obligatoirement réaliser avant tout transfert couvert par des CCT vers un pays tiers. Elle est imposée par l'arrêt Schrems II et formalisée dans les Recommandations 01/2020 du CEPD (Comité Européen de la Protection des Données) sur les mesures supplémentaires de transfert, adoptées en leur version finale en juin 2021.
Une TIA doit couvrir trois dimensions. Première dimension — Le cadre juridique du pays destinataire. Quelles lois permettent aux autorités publiques d'accéder aux données ? Pour les États-Unis : FISA section 702 (accès aux communications électroniques des non-résidents pour des motifs de contre-espionnage), EO 12333 (collecte de renseignements hors sol américain, sans contrôle judiciaire préalable), USA PATRIOT Act, CLOUD Act. Pour le Royaume-Uni post-Brexit : Investigatory Powers Act 2016 (IP Act). Pour l'Inde : IT Act section 69. Est-ce que ces lois s'appliquent à l'importateur de données spécifique ? (Une startup SaaS américaine de 10 personnes n'est pas dans le même périmètre qu'Amazon AWS ou Google.)
Deuxième dimension — L'application pratique. Est-ce que les autorités du pays destinataire exercent concrètement leurs prérogatives de surveillance sur le type de données concerné ? Un transfert de données RH d'une PME française vers un prestataire SaaS américain présente un risque pratique bien différent d'un transfert de données d'une multinationale du secteur de la défense vers le même prestataire. Le CEPD reconnaît que l'exercice pratique des pouvoirs de surveillance doit être pris en compte — même si FISA 702 est juridiquement applicable, son exercice effectif sur des données banales présente un risque pratique limité.
Troisième dimension — Les mesures supplémentaires si nécessaire. Si la TIA conclut que le cadre juridique du pays destinataire compromet les protections CCT, l'exportateur doit identifier les mesures techniques, contractuelles ou organisationnelles permettant de rétablir un niveau de protection équivalent. Mesures techniques types : chiffrement de bout en bout avec gestion des clés côté UE exclusivement (l'importateur n'a jamais accès aux clés), pseudonymisation avancée, split processing (données sensibles en UE, données non sensibles aux US). Mesures contractuelles : clauses d'alerte impérative en cas de demande gouvernementale d'accès aux données, engagement de notification dès que légalement possible, droit de résiliation immédiate en cas d'accès contraint.
Nehos réalise ses TIA en s'appuyant sur les Recommandations 01/2020 du CEPD, les orientations de la CNIL (notamment sa FAQ transferts mise à jour en 2023), et les TIA-templates publiés par l'IAPP et le CEPD. Chaque TIA produit un rapport documenté annexé au registre des traitements (article 30 RGPD) et consultable par le DPO du client en cas d'audit CNIL.
#Cartographie des transferts — Qui transfère quoi vers où
La première étape de toute mission Nehos transferts est la cartographie exhaustive. L'expérience montre que la plupart des ETI et scale-ups françaises sous-estiment considérablement leur exposition : elles connaissent leurs outils principaux (CRM, cloud), mais ignorent les transferts indirects via les sous-traitants et sous-sous-traitants de leurs fournisseurs SaaS.
Méthodologie Nehos en 5 étapes. (1) Inventaire des traitements depuis le registre article 30 RGPD existant (si disponible) ou reconstruction de zéro. (2) Pour chaque traitement, identification du responsable de traitement, du ou des sous-traitants directs, et vérification des sous-traitants des sous-traitants (sous-sous-traitants, obligatoirement listés dans les DPA — Data Processing Agreements — conformes RGPD article 28). (3) Géolocalisation des serveurs et des centres de traitement de chaque sous-traitant et sous-sous-traitant. (4) Identification de la base légale de transfert applicable pour chaque flux hors UE. (5) Scoring de risque par flux (DPF seul = risque élevé, CCT avec TIA conforme = risque modéré, BCR = risque faible, alternative souveraine UE = risque nul).
Résultats typiques chez une ETI française de 200-1 000 collaborateurs utilisant un stack SaaS standard. Google Analytics 4 : transfert vers les États-Unis, base légale DPF (Google LLC certifiée DPF). Historique CNIL : mises en demeure européennes 2022-2023 sur les transferts GA. Même avec GA4 et serveurs EU activés, certains flux de données persistent vers les États-Unis. Risque Schrems III : élevé. Alternative souveraine : Matomo auto-hébergé ou Matomo Cloud EU. Google Workspace : transfert vers les États-Unis, base légale DPF + CCT. TIA disponible dans la documentation Google Cloud. Risque Schrems III : modéré (double couverture DPF + CCT). Alternative souveraine : Infomaniak kSuite, OVHcloud Workplace, Proton Business. Salesforce : transfert vers les États-Unis, base légale DPF + CCT. TIA Salesforce disponible. Risque Schrems III : modéré. Alternative souveraine : SuiteCRM (open source, auto-hébergé OVHcloud), NoCRM.io (France). HubSpot : transfert vers les États-Unis, base légale DPF + CCT. Risque Schrems III : modéré. Alternative souveraine : SuiteCRM, Brevo CRM (France). AWS (us-east-1 ou autre région US) : transfert vers les États-Unis, base légale DPF + CCT. TIA AWS disponible. Risque Schrems III : modéré. Alternative souveraine : OVHcloud (SecNumCloud pour les données les plus sensibles), Scaleway, Clever Cloud. Slack : transfert vers les États-Unis (filiale Salesforce), base légale DPF + CCT. Risque Schrems III : modéré. Alternative souveraine : Mattermost auto-hébergé, Rocket.Chat OVHcloud. Zoom : transfert vers les États-Unis, base légale DPF + CCT. Risque Schrems III : modéré. Alternative souveraine : Whereby (Norvège), Infomaniak kMeet, Jitsi auto-hébergé. Monday.com : transfert vers les États-Unis, base légale DPF + CCT. Risque Schrems III : modéré. Alternative souveraine : Openproject (open source EU), Plane (open source). Notion : transfert vers les États-Unis, base légale DPF + CCT. Risque Schrems III : modéré. Alternative souveraine : Outline (open source, auto-hébergé), Nextcloud Notes. Linear.app : transfert vers les États-Unis, base légale DPF. Risque Schrems III : élevé (DPF seul, CCT moins claires). Alternative souveraine : Plane, GitLab Issues. Figma : transfert vers les États-Unis (filiale Adobe), base légale DPF + CCT. Risque Schrems III : modéré. Alternative souveraine : Penpot (open source EU, auto-hébergé).
Le constat récurrent dans nos missions : les entreprises ont en moyenne 25 à 45 transferts hors UE identifiés, dont 30 à 50 % présentent un risque Schrems III significatif (DPF seul ou CCT sans TIA conforme documentée). La cartographie seule est déjà un livrable à forte valeur pour le DPO.
#Alternatives souveraines — Réduire l'exposition US
Migrer vers des alternatives souveraines européennes ne signifie pas tout remplacer d'un coup — c'est une démarche priorisée par ratio risque/effort. Nehos classe les alternatives en trois catégories selon leur niveau de souveraineté : SecNumCloud (qualification ANSSI, le plus haut niveau français), C5 (certification BSI allemande, équivalent européen), et simplement hébergé en UE avec données contractuellement protégées.
Email et collaboration (Google Workspace → alternative souveraine). Infomaniak kSuite (Suisse, RGPD by design, centre de données Suisse et France, aucun actionnaire US) : alternative complète à Google Workspace (email, drive, visio, agenda, office en ligne). OVHcloud Workplace (Microsoft 365 via accord OVH, hébergement France — attention : dépendance contractuelle Microsoft persiste). Proton Business (Suisse, chiffrement de bout en bout natif, zero-knowledge architecture pour emails et drive).
Visioconférence (Zoom → alternative souveraine). Whereby (Norvège, RGPD by design, hébergement UE). Infomaniak kMeet (Suisse, WebRTC, aucune installation requise). Jitsi Meet auto-hébergé sur OVHcloud ou Scaleway (open source, contrôle total de l'infrastructure). OVHcloud Webinar (pour les événements).
Gestion de projet (Monday.com, Notion → alternatives souveraines). Openproject (open source allemand, certifié C5 en mode cloud, ou auto-hébergé OVHcloud/Scaleway) : alternative complète à Jira + Confluence + Monday. Plane (open source, auto-hébergeable). Nextcloud + plugins (Nextcloud Talk + Deck + Collectives) : alternative à Teams + SharePoint + Notion + Trello en un seul environnement auto-hébergé. Outline (wiki/documentation en remplacement de Notion, open source, auto-hébergeable).
Analytics (Google Analytics 4 → alternative souveraine). Matomo Analytics : seule alternative à GA crédible en termes de fonctionnalités (funnels, segmentation, heatmaps via add-ons). Matomo Cloud EU (hébergement Allemagne, données ne quittent jamais l'UE) ou Matomo auto-hébergé sur OVHcloud (contrôle total). Avantage réglementaire : la CNIL considère Matomo correctement configuré comme exemptable de consentement cookies — ce qui n'est plus le cas de GA4.
CRM (Salesforce, HubSpot → alternatives souveraines). SuiteCRM (open source, fork de SugarCRM, auto-hébergeable sur OVHcloud) : couverture fonctionnelle complète CRM (contacts, comptes, opportunités, campagnes, workflows, rapports). NoCRM.io (startup française, hébergement France, RGPD by design) : positionnement plus simple que Salesforce, adapté aux équipes commerciales PME/ETI. Brevo CRM (ex-Sendinblue, France, hébergement France/UE) : CRM + emailing + automation intégrés.
LLM et IA générative (OpenAI/Anthropic API → alternative souveraine). Mistral AI via OVHcloud AI Endpoints (modèles Mistral hébergés en France, données ne quittant pas l'UE, conformité RGPD contractuelle OVHcloud) : alternative directe aux API OpenAI/Anthropic pour les cas d'usage IA internes traitant des données personnelles. Scaleway Generative APIs (modèles open source hébergés en UE).
Cloud et infrastructure (AWS/Azure/GCP US → alternatives souveraines). OVHcloud (hébergement France, SecNumCloud pour les offres qualifiées, alternative complète à AWS — compute, stockage objet, Kubernetes, bases de données managées). Scaleway (France, RGPD by design, offres compute + stockage + Kubernetes). Clever Cloud (France, spécialisé PaaS, déploiement applicatif). OVHcloud SecNumCloud qualifié ANSSI : recommandé pour les données sensibles soumises au Secret des affaires, données de santé (en complément HDS), données sensibles au sens RGPD article 9. Voir service Souveraineté Numérique Responsable Nehos pour le détail de l'accompagnement migration infrastructure.
#CNIL enforcement 2025-2026 — Mise en demeure GA4, cookies, transferts
La CNIL ne s'est pas contentée de publier des recommandations : elle a actionné ses pouvoirs de mise en demeure sur les transferts hors UE, et son action s'intensifie en 2025-2026.
Historique enforcement transferts. En 2022, les DPA européennes (CNIL française, CNIL autrichienne DSB, CNIL italienne Garante) ont pris position successivement contre l'usage de Google Analytics en raison des transferts vers les États-Unis — à l'époque sans base légale DPF (qui n'existait pas encore). La CNIL a émis des mises en demeure formelles à plusieurs opérateurs de sites français utilisant GA (Universal Analytics puis GA4) au motif que les données IP et les identifiants analytics étaient transférés vers les serveurs américains de Google sans base légale valide. Même après l'adoption du DPF en juillet 2023, les questions sur GA4 persistent : certains flux de données (notamment les données brutes Google Signals) restent problématiques selon les interprétations.
Priorités CNIL 2025-2026. La CNIL a publié ses thématiques prioritaires de contrôle pour 2025-2026 : (1) Cookies et traceurs — notamment les cookie walls, les pratiques de consentement par défaut et les dark patterns. (2) Données de santé — après le scandale MonServiceSécurisé et plusieurs incidents de sécurité. (3) IA et LLM — utilisation des données personnelles pour l'entraînement de modèles, conformité à l'AI Act pour les traitements à risque élevé. (4) Data brokers — pratiques de collecte et de revente de données de contact B2C et B2B. (5) Transferts hors UE — suivi post-DPF, avec une attention particulière aux transferts sans TIA documentée et aux opérateurs qui basent leurs transferts sur le DPF sans plan de contingence.
Conséquence pour les entreprises françaises : en 2026, une absence de cartographie des transferts hors UE, l'absence de TIA pour les CCT, ou l'absence de plan de contingence DPF ne sont plus des omissions excusables par l'ignorance. La CNIL a clairement communiqué sur ses attentes. Lors d'un contrôle CNIL, l'absence de ces documents est directement sanctionnable.
#Mise en conformité transferts Nehos — 5 livrables
Toute mission Nehos transferts hors UE produit cinq livrables documentés, transmissibles au DPO et directement exploitables en cas d'audit CNIL.
Livrable 1 — Cartographie exhaustive des transferts. Fichier structuré (tableur ou base de données) recensant l'ensemble des transferts de données personnelles hors UE identifiés, avec pour chaque flux : responsable de traitement, sous-traitant direct, sous-sous-traitants identifiés, pays de destination des données, nature des données transférées, base légale de transfert actuelle, existence et validité d'une TIA, niveau de risque Schrems III. Ce fichier est intégré et tenu synchronisé avec le registre des traitements article 30 RGPD du client.
Livrable 2 — Transfer Impact Assessment (TIA) pour chaque transfert CCT. Pour chaque flux couvert par des CCT (ou dont la base légale DPF est jugée insuffisante en standalone), Nehos produit une TIA documentée couvrant les trois dimensions CEPD : cadre juridique du pays destinataire, exercice pratique des pouvoirs de surveillance, mesures supplémentaires requises ou justification de leur inutilité. Chaque TIA fait l'objet d'un rapport signé, versionné et archivé.
Livrable 3 — Plan de migration vers alternatives souveraines (priorisé risque/effort). Pour les transferts classés à risque élevé (DPF seul sans CCT de secours, données particulièrement sensibles, sous-traitants non coopératifs sur la fourniture de TIA), Nehos produit un plan de migration vers des alternatives souveraines européennes, priorisé par ratio risque/effort. Chaque ligne du plan inclut : outil actuel, outil de remplacement recommandé, estimation du coût de migration, estimation de l'effort IT, délai de déploiement réaliste, impact fonctionnel pour les équipes.
Livrable 4 — Mise à jour des clauses contractuelles avec sous-traitants. Revue et mise à jour de l'ensemble des DPA (Data Processing Agreements) avec les sous-traitants concernés par des transferts hors UE. Intégration des CCT 2021 (décisions 2021/914 et 2021/915) dans les contrats existants, vérification de la présence des modules adaptés au type de transfert, intégration des clauses d'alerte en cas de demande gouvernementale d'accès aux données. Modèles de courriers de demande de mise à jour contractuelle aux fournisseurs SaaS.
Livrable 5 — Procédure de réponse Schrems III (plan B si DPF invalidé). Document opérationnel décrivant la procédure à suivre en cas d'invalidation du DPF par la CJUE : qui prévient qui en interne (DPO, DSI, direction juridique, CEO), dans quel délai, quelles actions immédiates (basculement sur CCT + TIA si disponibles, suspension temporaire des transferts sans base légale valide le cas échéant), quel plan de communication interne et, si nécessaire, de notification CNIL. L'expérience Schrems II montre que les entreprises ayant anticipé ce plan ont géré la crise en quelques jours vs quelques mois pour celles qui l'ont découvert dans l'urgence.
#Méthodologie de déploiement
Phase 1 — Cadrage et inventaire (1 à 2 semaines). Réunion de lancement avec DPO, DSI, direction juridique et direction générale du client. Collecte des documents disponibles : registre des traitements article 30, DPA existants avec les sous-traitants, liste des outils SaaS et cloud utilisés (DSI + équipes métier). Entretiens par département (commercial, marketing, RH, IT, finance, production selon secteur) pour identifier les outils et les données traitées. Identification des flux de données vers des pays tiers, y compris flux indirects.
Phase 2 — Cartographie et scoring (2 à 4 semaines). Consolidation de la cartographie des transferts. Vérification de la base légale de chaque transfert (DPF : vérification de la certification sur dataprivacyframework.gov, CCT : vérification des modules et de la version 2021, BCR : vérification de l'approbation CNIL). Scoring de risque par flux selon la grille Nehos (5 niveaux : négligeable, faible, modéré, élevé, critique). Identification des transferts nécessitant une TIA.
Phase 3 — Transfer Impact Assessments (2 à 6 semaines selon le volume). Réalisation des TIA pour chaque transfert CCT identifié à l'étape précédente. Priorité aux transferts à risque élevé ou critique. Documentation structurée selon le cadre CEPD Recommandations 01/2020. Recommandations de mesures supplémentaires si nécessaire.
Phase 4 — Livrables et plan d'action (1 à 2 semaines). Consolidation de la cartographie finale avec scoring de risque actualisé post-TIA. Rédaction du plan de migration vers alternatives souveraines (livrable 3). Mise à jour contractuelle des DPA (livrable 4). Rédaction de la procédure Schrems III (livrable 5). Présentation au DPO, DSI et direction générale. Formation courte (2h) de l'équipe DPO sur la maintenance continue de la cartographie.
Phase 5 optionnelle — Déploiement des alternatives souveraines. Pour les clients souhaitant aller au-delà de la conformité papier et réduire effectivement leur exposition US, Nehos accompagne techniquement la migration vers les alternatives souveraines recommandées dans le plan d'action. Durée variable selon le nombre de migrations et leur complexité (typiquement 4 à 16 semaines additionnelles).
#ROI et anticipation — Cas scale-up SaaS post-Schrems II
Cas client référence : scale-up SaaS B2B française (anonymisé NDA), 180 collaborateurs, levée de fonds série A en 2023. Stack typique scale-up : AWS us-east-1, Google Workspace, Salesforce, HubSpot, Slack, Notion, Linear, Figma, Zoom. DPO à temps partiel partagé avec un cabinet externe. Mission Nehos déclenchée par une due diligence investisseur qui pointait le risque RGPD transferts comme un risque M&A significatif.
Résultats de la mission cartographie + TIA (périmètre intermédiaire, 9,5 k€ HT, 12 semaines). Transferts identifiés : 37 flux hors UE (dont 14 transferts indirects via sous-sous-traitants non identifiés avant la mission). Flux à risque élevé (DPF seul, CCT manquantes ou obsolètes) : 12. Flux à risque modéré (CCT sans TIA documentée) : 18. Flux à risque faible ou nul : 7. Actions réalisées en priorité : CCT 2021 mises à jour avec 8 sous-traitants principaux, TIA produites pour 12 flux CCT prioritaires, bascule de Linear.app vers Plane (auto-hébergé Scaleway) pour supprimer un transfert DPF-seul sur les données produit, bascule de Google Analytics 4 vers Matomo OVHcloud pour supprimer le transfert GA le plus exposé aux velléités CNIL. Procédure Schrems III documentée et testée en simulation DPO.
Résultat côté investisseur : le risque RGPD transferts coché « rouge » dans la due diligence est passé à « orange contrôlé » après la mission, avec le plan de contingence Schrems III documenté. Impact direct sur la valorisation à l'occasion du closing. Exposition résiduelle après mission : moins de 15 % des flux initiaux (uniquement les flux pour lesquels aucune alternative souveraine crédible n'existe encore, couverts par CCT 2021 + TIA conforme).
#Tarification — 415 k€ HT
Trois périmètres de mission selon la maturité RGPD du client et l'ampleur de l'exposition aux transferts hors UE.
Périmètre restreint — 415 k€ HT (6 à 8 semaines). Cartographie des 5 à 10 principaux sous-traitants US, TIA pour les transferts CCT correspondants, identification des risques DPF, procédure Schrems III documentée. Adapté aux PME et scale-ups avec une surface de transferts limitée et un registre des traitements existant. Ne couvre pas les sous-sous-traitants ni la mise à jour contractuelle exhaustive.
Périmètre intermédiaire —à partir de 19 k€ HT (8 à 14 semaines). Cartographie exhaustive incluant sous-sous-traitants, TIA pour l'ensemble des transferts CCT identifiés, mise à jour des DPA et CCT 2021 avec les sous-traitants concernés, plan de migration souveraine priorisé, procédure Schrems III documentée, formation DPO (2h), intégration dans le registre des traitements article 30. Le périmètre type pour une ETI 100-500 collaborateurs avec un stack SaaS moyen.
Périmètre complet avec déploiement souverain — 111 k€ HT (14 à 24 semaines). Périmètre intermédiaire + accompagnement technique de la migration de 3 à 8 outils vers des alternatives souveraines européennes (Matomo, alternatives Slack, remplacement d'un outil de gestion de projet, bascule analytics, etc.), formation équipes aux nouveaux outils, documentation DPO post-migration, validation finale de la cartographie actualisée. Adapté aux entreprises qui souhaitent réduire structurellement leur exposition US, pas uniquement la documenter.
Estimation précise et sans engagement en 30 minutes de RDV avec un consultant Nehos spécialisé RGPD transferts : [Calendly conformité](https://calendly.com/raphael-poirier_/decouverte15min-nehos-groupe NDA disponible sur demande si vous souhaitez partager votre registre des traitements ou votre liste d'outils en amont.