Placer des données sur un serveur britannique constitue un transfert international lorsque celles-ci sont communiquées à une entité distincte établie hors de l’Espace économique européen. La localisation du centre de données compte, mais l’identité du fournisseur et son accès aux informations comptent aussi.
Cette qualification ne signifie pas qu’un hébergement au Royaume-Uni est interdit ou exige toujours des clauses contractuelles types. En 2026, le statut d’adéquation facilite les flux depuis l’Union européenne, tandis que les transferts depuis le Royaume-Uni obéissent à la réglementation britannique.
A retenir :
- Qualification internationale liée au destinataire et à l’accès aux données
- Adéquation européenne facilitant les transferts vers le Royaume-Uni
- Garanties contractuelles distinctes pour les exportations britanniques non adéquates
- Vérification continue des accès, sous-traitants et lois applicables
Hébergement de données au Royaume-Uni : quand le transfert est-il international ?
Cette qualification dépend moins du déplacement physique des fichiers que de leur mise à disposition à une organisation étrangère. Une entreprise française qui confie des données personnelles à un fournisseur britannique réalise donc généralement un transfert international.
Serveur britannique et accès du fournisseur
Dans ce cadre, l’hébergement désigne à la fois le lieu de stockage et les opérations effectuées par le prestataire. Si celui-ci peut consulter, sauvegarder ou administrer les données depuis le Royaume-Uni, cette relation doit être examinée au regard du RGPD.
Imaginons une société française qui stocke les dossiers de ses salariés dans un service infonuagique exploité par une entreprise britannique. Même si les équipes françaises gardent la maîtrise des comptes, le prestataire peut traiter les informations pour fournir son service.
Selon la Commission européenne, le Royaume-Uni bénéficie d’un statut d’adéquation qui permet certains transferts depuis l’Union sans ajouter de clauses contractuelles types. Les décisions renouvelées en décembre 2025 sont indiquées comme applicables jusqu’au 27 décembre 2031, sous réserve de leur maintien.
Cette adéquation simplifie la conformité juridique, mais n’efface ni le caractère international du flux ni les obligations générales de protection des données. L’entreprise doit toujours documenter ses prestataires, limiter les accès et informer les personnes concernées.
Les vérifications initiales peuvent se concentrer sur plusieurs éléments concrets avant la signature du contrat.
Points à vérifier avant hébergement :
- Entité juridique contractante et pays d’établissement du fournisseur
- Lieu de stockage, sauvegardes et opérations de maintenance
- Accès des équipes techniques et sous-traitants ultérieurs
- Finalités, catégories de données et durée de conservation prévues
Adéquation britannique et garanties du RGPD
Pour un exportateur établi dans l’Union européenne, le statut d’adéquation constitue le mécanisme central du transfert vers le Royaume-Uni. Selon le Comité européen de la protection des données, les évolutions législatives britanniques justifient néanmoins une vigilance particulière.
Le cadre britannique a évolué avec le Data (Use and Access) Act 2025 et d’autres réformes. Ces changements attirent notamment l’attention sur les pouvoirs publics, les décisions automatisées et les garanties offertes aux personnes, sans annuler automatiquement l’adéquation en vigueur.
Situation
Conséquence habituelle
Vérification utile
Fournisseur britannique distinct
Transfert international à examiner
Rôle et accès du prestataire
Destination couverte par l’adéquation
Transfert facilité sans CCT supplémentaires
Validité du statut au moment du transfert
Sous-traitant britannique
Contrat de traitement nécessaire
Instructions et mesures de sécurité
Accès par un sous-traitant tiers
Évaluation d’un flux supplémentaire
Pays, accès et garanties applicables
Une organisation ne devrait donc pas confondre facilité juridique et absence de contrôle. Le suivi du statut d’adéquation prépare l’examen complémentaire des contrats et des flux vers des pays tiers.
Transfert de données entre l’Union européenne et le Royaume-Uni
Parce que l’adéquation facilite certains flux européens, il faut distinguer ces opérations des exportations effectuées depuis le Royaume-Uni. Le sens du transfert détermine le régime applicable et les documents à réunir.
Flux européens vers un hébergeur britannique
Une entreprise de l’Union peut généralement envoyer des données personnelles au Royaume-Uni sans signer de clauses contractuelles types uniquement pour encadrer ce transfert. Elle reste toutefois responsable du choix du prestataire, de la sécurité et de la conformité du traitement.
Selon les recommandations du CEPD, les organisations doivent rester attentives à l’évolution des règles britanniques et aux conditions réelles d’accès aux informations. Cette vigilance est particulièrement utile pour les données sensibles ou les services impliquant plusieurs sous-traitants.
Une équipe informatique peut, par exemple, vérifier que les sauvegardes ne sont pas répliquées dans une autre juridiction sans examen préalable. Elle peut également demander au fournisseur de préciser ses procédures d’accès, de notification d’incident et d’assistance aux demandes des personnes.
Pour un contrat couvrant des données européennes et britanniques, les clauses contractuelles types de l’Union accompagnées de l’addendum britannique peuvent convenir à certains flux. Le choix dépend toutefois des parties, des rôles de traitement et des destinations effectives.
Documents à réunir pour un flux européen :
- Contrat de sous-traitance et description des services fournis
- Inventaire des données et des lieux de stockage
- Liste des sous-traitants et modalités de notification
- Mesures de sécurité et procédure de gestion des incidents
Surveillance du statut d’adéquation et souveraineté numérique
Le statut d’adéquation peut évoluer si le cadre juridique britannique s’écarte sensiblement des exigences européennes. Pour les organisations, la souveraineté numérique passe donc aussi par une compréhension précise des lois et des acteurs susceptibles d’accéder aux données.
Les débats portent notamment sur les pouvoirs de surveillance, les recours disponibles et l’encadrement des décisions automatisées. Ces sujets ne justifient pas à eux seuls l’abandon d’un hébergement britannique, mais ils invitent à évaluer les risques selon la nature des données et leur usage.
Risque à examiner
Question opérationnelle
Réponse à documenter
Accès administratif
Qui peut consulter les données ?
Rôles, autorisations et journaux d’accès
Transfert ultérieur
Les données quittent-elles le Royaume-Uni ?
Pays destinataires et mécanisme applicable
Incident de sécurité
Qui alerte l’entreprise et dans quels délais ?
Procédure contractuelle de notification
Changement juridique
Comment le service réagit-il à une nouvelle règle ?
Révision périodique et plan de continuité
Une politique de chiffrement, des accès limités et une documentation tenue à jour réduisent les angles morts, sans remplacer l’analyse juridique. Les choix techniques deviennent alors un appui concret à la conformité et à la maîtrise des flux.
La surveillance réglementaire prend davantage de sens lorsqu’elle s’accompagne d’une cartographie précise des fournisseurs et des responsabilités. Pour les transferts provenant du Royaume-Uni, cette distinction devient déterminante.
Réglementation britannique : IDTA pour les transferts sortants
Quand les données partent du Royaume-Uni vers un pays sans adéquation britannique, le mécanisme européen ne suffit pas. L’IDTA fournit alors un cadre contractuel britannique, tandis que l’analyse du transfert doit vérifier les risques propres à la destination.
Choisir entre IDTA et clauses européennes
L’ICO a introduit l’International Data Transfer Agreement en 2022 pour encadrer les transferts restreints relevant du RGPD britannique. Selon l’ICO, l’IDTA ou les clauses européennes assorties de l’addendum britannique peuvent fournir les garanties contractuelles requises dans les situations concernées.
L’IDTA est conçu pour les transferts relevant du Royaume-Uni et utilise un modèle unique à compléter. Pour des opérations mêlant des données de l’Union et du Royaume-Uni, certaines organisations privilégient plutôt les clauses européennes accompagnées de l’addendum britannique.
Outil
Usage principal
Point d’attention
IDTA britannique
Transferts depuis le Royaume-Uni
Compléter les annexes et réaliser l’évaluation des risques
CCT de l’Union
Transferts relevant du RGPD européen
Choisir le module correspondant aux rôles des parties
Addendum britannique
Adaptation des CCT aux transferts britanniques
L’associer aux clauses européennes pertinentes
Décision d’adéquation
Destination reconnue comme adéquate
Contrôler la portée et le maintien de la décision
Lorsque l’importateur agit comme sous-traitant, l’IDTA ne remplace pas à lui seul les clauses nécessaires au contrat de traitement. L’organisation doit donc prévoir un accord conforme aux obligations applicables, en plus du mécanisme de transfert.
Évaluation des risques et mesures de protection
Avant un transfert soumis à l’article 46 du RGPD britannique, l’exportateur doit évaluer si le droit et les pratiques du pays destinataire risquent d’affaiblir les garanties contractuelles. Cette évaluation des risques de transfert doit être adaptée aux données et au contexte.
Une entreprise britannique qui confie le traitement de paies à un prestataire étranger devra identifier les informations concernées, les accès possibles et les lois applicables. Si des risques subsistent, elle peut examiner le chiffrement, la pseudonymisation ou la suspension du flux.
Mesures à intégrer au suivi :
- Cartographie des flux, catégories de données et destinataires
- Évaluation documentée des lois et pratiques locales
- Mesures techniques adaptées aux risques identifiés
- Révision des contrats après évolution des usages ou des règles
Selon l’ICO, les garanties contractuelles doivent être accompagnées d’une analyse de leur efficacité réelle. Un contrat signé ne protège donc pas suffisamment les personnes si les mesures convenues restent théoriques ou ne sont pas contrôlées.
