Alternatives françaises aux logiciels SaaS étrangers

Le RGPD encadre les transferts hors de l'Union

Le RGPD n'interdit pas de confier des données à un éditeur établi hors de l'Union européenne. Il pose une condition : un transfert vers un pays tiers n'a lieu que si les règles de son chapitre V sont respectées, par vous comme par votre prestataire (RGPD, article 44). La CNIL le résume ainsi : le transfert hors de l'UE et de l'EEE est possible à condition d'assurer un niveau de protection suffisant et approprié, et il doit être encadré par des outils juridiques (CNIL, transférer des données hors de l'UE).

Un éditeur SaaS qui traite des données pour votre compte est votre sous-traitant. Vous ne pouvez faire appel qu'à des sous-traitants présentant des garanties suffisantes, et il ne peut pas en recruter un autre sans votre autorisation écrite (RGPD, article 28, paragraphes 1 et 2).

Vers les États-Unis : le Data Privacy Framework

Le 10 juillet 2023, la Commission européenne a adopté une décision d'adéquation pour le cadre de protection des données UE–États-Unis (Data Privacy Framework). Elle vaut pour les organisations américaines inscrites sur la liste tenue et publiée par le ministère américain du commerce (décision d'exécution (UE) 2023/1795, article premier). Vers ces organisations, les données personnelles peuvent alors circuler librement depuis l'Union (Commission européenne).

La CNIL demande de vérifier, avant le transfert, que l'éditeur figure sur cette liste, et que sa certification couvre bien l'entité concernée (filiales comprises) et vos catégories de données, par exemple des données de ressources humaines. S'il n'y figure pas, il faut des garanties appropriées : clauses contractuelles types, règles d'entreprise contraignantes ou un autre outil de l'article 46 (CNIL, questions-réponses sur l'adéquation des États-Unis). Cette décision fait suite à l'invalidation du précédent cadre, le Privacy Shield, par la Cour de justice de l'Union européenne le 16 juillet 2020 (arrêt « Schrems II »). Elle reste en vigueur jusqu'à sa modification, son remplacement ou son abrogation par la Commission (même source).

Le CLOUD Act : le lieu de stockage ne suffit pas

Les États-Unis ont adopté le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) en mars 2018 (ministère américain de la Justice). Il oblige un fournisseur de services de communication électronique ou de traitement informatique à distance (« remote computing service ») à préserver ou communiquer les données qui sont en sa possession, sous sa garde ou sous son contrôle, que ces données soient situées aux États-Unis ou en dehors (texte du CLOUD Act, section 103).

Le ministère américain de la Justice précise que la loi n'a pas étendu la compétence des tribunaux américains : elle vise les fournisseurs déjà soumis à la juridiction des États-Unis, laquelle ne se limite pas aux sociétés américaines, à celles dont le siège est aux États-Unis ou à capitaux américains (FAQ du ministère, question 24). Côté européen, une décision d'une juridiction ou d'une autorité d'un pays tiers qui exige un transfert ou une divulgation de données personnelles ne peut être reconnue ou exécutée que si elle repose sur un accord international, tel qu'un traité d'entraide judiciaire (RGPD, article 48).

Les questions à poser à l'éditeur

• Où sont hébergées mes données, et chez quel hébergeur ?
• Quelle est la liste de vos sous-traitants, et dans quels pays sont-ils établis ?
• En cas de transfert vers les États-Unis : êtes-vous inscrit au Data Privacy Framework, pour quelles entités et quelles catégories de données ? Sinon, sur quel outil de l'article 46 repose le transfert ?
• Votre société, ou sa maison mère, relève-t-elle de la juridiction américaine ?

Un siège en France ne répond pas, à lui seul, à ces questions : il ne dit rien de l'hébergeur ni des sous-traitants. Un éditeur étranger peut, à l'inverse, y apporter des réponses précises.

Cette section informe ; elle ne constitue pas un avis juridique. Pour votre situation, reportez-vous aux ressources de la CNIL.