Le chapitre V du règlement est la partie qu'une entreprise de logiciels rencontre le jour où elle s'inscrit à une région d'hébergement, un service de support ou un outil d'analyse exploité hors de l'Espace économique européen. L'article 44 pose le principe : un transfert de données à caractère personnel vers un pays tiers ou une organisation internationale n'a lieu que si les conditions du chapitre sont respectées par le responsable du traitement et le sous-traitant, y compris pour les transferts ultérieurs, et toutes ses dispositions sont appliquées de manière que le niveau de protection garanti par le règlement ne soit pas compromis. Cet article lit le chapitre au regard du catalogue que StandardOS tient du règlement et de la propre liste des décisions d'adéquation de la Commission, avec la page gratuite qui choisit le mécanisme à partir de la destination et des deux rôles.

Première question : est-ce un transfert

Un destinataire dans l'un des 27 États membres, ou en Islande, au Liechtenstein ou en Norvège, n'est pas dans un pays tiers : le règlement s'y applique directement, par les traités et par l'accord EEE, et le chapitre V n'est pas engagé. Le registre des traitements nomme toujours le destinataire (article 30, paragraphe 1, point d)), mais aucun mécanisme n'est nécessaire. Tout ce qui est hors de ces 30 États est un pays tiers, que le destinataire soit ou non une entreprise connue, que les données soient ou non chiffrées en transit, et que le destinataire se dise ou non conforme au RGPD. La question est tranchée par le pays de l'établissement qui traite les données, pas par le drapeau sur le site de l'importateur.

Deuxième question : y a-t-il une décision d'adéquation

L'article 45, paragraphe 1, permet qu'un transfert vers un pays dont la Commission a décidé qu'il assure un niveau de protection adéquat ait lieu sans autorisation spécifique. La page de la Commission sur l'adéquation des pays hors UE, lue le 12 septembre 2026, dit qu'elle en a reconnu jusqu'ici 17 : Andorre, l'Argentine, le Brésil, le Canada, les îles Féroé, Guernesey, Israël, l'île de Man, le Japon, Jersey, la Nouvelle-Zélande, la République de Corée, la Suisse, le Royaume-Uni, les États-Unis, l'Uruguay et l'Organisation européenne des brevets. Onze d'entre elles ont été adoptées au titre de la directive 95/46/CE et réexaminées par le rapport de la Commission du 15 janvier 2024 ; les autres au titre de l'article 45, les actes les plus récents que la page liste étant la décision pour le Brésil du 26 janvier 2026, le renouvellement de la décision pour le Royaume-Uni le 19 décembre 2025, la décision pour l'Organisation européenne des brevets du 15 juillet 2025 et le premier réexamen de la décision pour la République de Corée le 23 juillet 2026. Deux décisions ont un champ qu'une entreprise de logiciels doit vérifier : celle du Canada couvre les organisations commerciales, et celle des États-Unis ne couvre que les organisations commerciales participant au cadre de protection des données UE-États-Unis, si bien qu'un importateur américain est adéquat s'il est certifié et un importateur de pays tiers comme un autre s'il ne l'est pas. La page tient cette liste comme des données, avec la date de lecture, et l'outil des transferts pose la question du champ là où une décision en a un.

Troisième question : quelle garantie, et quel module

Sans décision, l'article 46, paragraphe 1, exige des garanties appropriées qui donnent aux personnes concernées des droits opposables et des voies de droit effectives, et l'article 46, paragraphe 2, en énumère six qui n'exigent aucune autorisation spécifique : un instrument juridiquement contraignant entre autorités publiques, des règles d'entreprise contraignantes, des clauses types de protection des données adoptées par la Commission, des clauses adoptées par une autorité de contrôle et approuvées par la Commission, un code de conduite approuvé et une certification approuvée. Pour une entreprise de logiciels, la réponse est la troisième : les clauses contractuelles types de la décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021, dont l'annexe comporte quatre modules selon les rôles des parties. Le module un est responsable vers responsable, l'entreprise qui envoie ses propres données clients à un partenaire qui décide de leur usage ; le module deux est responsable vers sous-traitant, l'entreprise qui envoie ses propres données à un CRM, une paie ou un fournisseur de messagerie ; le module trois est sous-traitant vers sous-traitant, l'entreprise qui envoie les données de ses clients à son sous-traitant ultérieur d'hébergement, de support ou d'IA ; le module quatre est sous-traitant vers responsable, le cas rare d'un sous-traitant qui renvoie des données à un responsable hors UE. Signer le module n'est pas toute la garantie : la clause 14 exige que les parties aient évalué, avant le transfert, si les lois et pratiques du pays de l'importateur l'empêchent de respecter les clauses, ce qui est l'évaluation que la Cour de justice a exigée dans Schrems II, et la clause 15 fixe les obligations de l'importateur quand une autorité publique demande les données. L'évaluation est documentée et conservée pour l'autorité de contrôle. Les règles d'entreprise contraignantes de l'article 47 sont pour un groupe d'entreprises et supposent l'approbation d'une autorité ; un code ou une certification n'aide que là où il en existe pour l'importateur.

Quatrième question : est-ce une situation particulière

L'article 49, paragraphe 1, permet un transfert sans adéquation ni garanties à l'une de sept conditions : le consentement explicite après information des risques, l'exécution d'un contrat avec la personne concernée, un contrat dans l'intérêt de la personne concernée, des motifs importants d'intérêt public, des droits en justice, des intérêts vitaux, ou un registre public. Son deuxième alinéa ajoute le transfert nécessaire à des intérêts légitimes impérieux, qui ne doit pas être répétitif, ne toucher qu'un nombre limité de personnes concernées, être évalué et documenté, et être notifié à l'autorité de contrôle. Rien de cela ne décrit un produit en usage : un hébergeur traite les données de chaque client chaque jour, et un consentement qu'il faudrait obtenir de chaque utilisateur final de chaque client de l'entreprise n'est pas un mécanisme. Les dérogations sont pour l'occasion unique, le fichier envoyé une fois, et une entreprise qui fonde son architecture sur elles n'a pas de mécanisme.

Quoi en faire

Prenez le registre des traitements et sa colonne des destinataires, et donnez à chaque destinataire hors de l'EEE un pays et un mécanisme : la décision d'adéquation qui le porte, avec le champ vérifié pour un importateur américain ou canadien, ou le module des CCT signé avec ses annexes et l'évaluation de la clause 14 datée. Demandez à un importateur américain sa certification au Data Privacy Framework et vérifiez-la sur la liste du Department of Commerce ; ne demandez à un importateur britannique ou japonais rien de plus que le contrat ; demandez à un importateur indien, australien ou singapourien les clauses signées et sa propre liste de sous-traitants ultérieurs, puisque les transferts ultérieurs restent sous le chapitre V. Mettez le mécanisme dans les clauses de sous-traitance qu'un client envoie, parce que l'article 28, paragraphe 4, soumet un sous-traitant ultérieur aux mêmes obligations que le sous-traitant, et dans le registre, parce que l'article 30, paragraphe 1, point e), demande les transferts et leurs garanties. La page des transferts fait la détermination à partir de la destination et des deux rôles et la rédige ; la détermination des obligations dit si les transferts font partie des obligations de l'entreprise.