Extraterritorialité

Ce que ça change pour une organisation

Pour les données, l’extraterritorialité crée des conflits de lois : un prestataire peut être tenu par son droit national de remettre des données que le RGPD lui interdit de transférer sans base légale. Les textes les plus cités sont américains :

• le CLOUD Act (2018), qui permet d’exiger d’un fournisseur soumis au droit américain les données qu’il contrôle, où qu’elles soient stockées ;
• la section 702 du FISA, qui autorise la collecte de renseignements visant des personnes non américaines situées hors des États-Unis.

En 2020, la Cour de justice de l’Union européenne a invalidé le Privacy Shield (arrêt Schrems II), en jugeant notamment que les programmes de surveillance fondés sur la section 702 n’offraient pas aux Européens une protection équivalente à celle du droit de l’Union. Le RGPD a lui aussi une portée extraterritoriale : il s’applique à une entreprise établie hors de l’Union dès qu’elle cible des personnes qui s’y trouvent.

Exemple

Héberger ses données à Francfort chez un fournisseur de droit américain ne les met pas hors de portée d’une injonction américaine : c’est le droit auquel le fournisseur est soumis qui compte, pas l’emplacement du serveur.

À ne pas confondre avec

• La localisation des données, qui désigne seulement l’endroit où elles sont stockées.
• Un transfert de données hors de l’Union au sens du RGPD, encadré par des décisions d’adéquation ou des clauses contractuelles types, qui relève d’un choix de l’organisation et non d’une injonction.