Le TIA : une analyse à mener en cas de transfert de données
Cet article explique en détail le fonctionnement du TIA, Transfer Impact Assessment, une analyse indispensable pour encadrer les transferts de données personnelles hors UE. Vous y trouverez les obligations, les mesures à prévoir, les risques à évaluer et les outils permettant de mener correctement cette analyse dans un contexte de conformité RGPD.
Comprendre le TIA et son rôle
Ainsi, les transferts de données vers des pays ne bénéficiant pas d’une décision d’adéquation de la Commission européenne ne sont tolérés que moyennant des garanties adéquates.
Ces garanties ont été introduites à l’article 46 du RGPD et portent, à titre d’exemple, sur les règles d’entreprise contraignantes, les clauses contractuelles types de la Commission européenne, un code de conduite approuvé, un mécanisme de certification approuvé, etc.
En plus de cette exigence, il est désormais obligatoire d’évaluer au préalable si l’instrument de transfert en question est efficace. On parle du TIA, autrement Transfer Impact Assessment, qui a été mis en place à la suite de la décision de la CJUE de 2020 annulant le Privacy Shield, en ce qu’il n’est pas conforme à la législation européenne sur la protection des données.
De quoi s’agit-il ?
Un TIA constitue un outil d’évaluation des risques qui permet aux organismes de vérifier si le mécanisme de transfert qu’ils ont prévu d’utiliser offre un niveau de protection adéquat pour le transfert envisagé. Plus précisément, le TIA a pour objectif d’évaluer si les lois et pratiques du pays tiers rendent ou non moins efficaces le mécanisme utilisé pour le transfert des données. Ceci implique d’effectuer une évaluation des risques du transfert à chaque fois qu’un mécanisme de transfert est utilisé en application de l’article 46 du RGPD.
Quand et par qui ?
Parmi les pays situés hors UE, on distingue :
- Les pays tiers dits adéquats, concernés par une décision d’adéquation de la Commission européenne ;
- Et les pays tiers non adéquats, n’offrant pas un niveau de protection équivalent à celui de l’UE.
Le TIA est exigé uniquement lors du transfert de données personnelles vers un pays tiers ne bénéficiant pas d’une décision d’adéquation de la Commission européenne.
Le TIA doit être effectué par l’organisme qui a l’intention de réaliser le transfert de données (exportateur de données). L’organisme aura toutefois besoin, lors de la mise en place du TIA, de l’aide de l’importateur de données, pour obtenir notamment des informations sur les mesures de protection mises en place, les pratiques en matière de données personnelles et les lois applicables.
L’importateur de données doit ainsi transmettre à l’exportateur les éléments pertinents concernant le pays tiers dans lequel il se trouve et la législation régissant le transfert.
De l’évaluation des risques à la mise en place de mesures supplémentaires, EQS Privacy Cockpit vous accompagne pour garantir que vos transferts de données vers des pays tiers respectent les exigences du RGPD.
Suivez et documentez facilement chaque étape pour protéger les droits des personnes concernées, où que vous soyez dans le monde.
Quelles mesures supplémentaires ?
Si le résultat du TIA révèle que les lois et pratiques du pays tiers réduisent l’efficacité du mécanisme de l’article 46 du RGPD utilisé, des mesures supplémentaires doivent être mises en place.
Ces mesures doivent être adaptées au transfert en question et permettre de garantir que les données transférées bénéficient dans le pays tiers d’un niveau de protection équivalent à celui exigé en Europe. Il peut s’agir de mesures contractuelles, techniques ou organisationnelles, et le recours à des mesures de différentes natures est recommandé. Les mesures intégrées doivent notamment empêcher les autorités publiques du pays tiers d’accéder aux données.
Des exemples de mesures pouvant être mises en place ont été listées par le CEPD dans sa recommandation 01/2020. Ainsi :
- Le chiffrement est considéré comme une mesure technique pertinente, susceptible de compléter les garanties offertes par l’instrument de transfert utilisé et de protéger les données contre l’accès des autorités publiques du pays tiers.
- Des mesures contractuelles supplémentaires peuvent être prévues, telles qu’une clause imposant à l’importateur de mettre en place des mesures techniques spécifiques ou encore de fournir avant la conclusion du contrat des informations sur l’accès des autorités publiques aux données.
- Des mesures organisationnelles peuvent concerner les politiques internes et normes appliquées par les parties.
Dans tous les cas, ces mesures dépendent du transfert envisagé. Le transfert ne peut avoir lieu que lorsque les mesures intégrées permettent d’atteindre un niveau de protection globalement équivalent à celui exigé en Europe.
Quels éléments examiner ?
Les éléments à examiner dans le cadre d’un TIA concernent notamment :
- Les acteurs du transfert de données ;
- Les modalités de transfert ;
- La législation du pays tiers ;
- L’accès aux données personnelles par les autorités publiques ;
- Les mesures de sécurisation mises en place, etc.
Le TIA peut être réalisé en utilisant la solution EQS Privacy Cockpit, qui met à disposition de ses clients un ensemble de questionnaires RGPD, dont un questionnaire sur le TIA intégrant l’ensemble des éléments à vérifier et permettant l’évaluation du risque dans le cas d’un transfert de données.
Cette évaluation n’est toutefois pas ponctuelle : les évolutions dans le pays tiers vers lequel les données sont transférées doivent être surveillées de manière régulière. Tout changement peut avoir un impact sur l’évaluation initiale du niveau de protection et sur la décision prise.
Le transfert doit être suspendu si les mesures mises en place ne sont plus efficaces ou si l’importateur ne respecte pas ses engagements.
Conclusion
Le TIA est devenu une étape incontournable pour tout transfert de données personnelles vers un pays tiers ne bénéficiant pas d’une décision d’adéquation. En évaluant précisément les risques, en mettant en place des mesures supplémentaires adaptées et en assurant un suivi continu, les organismes peuvent garantir un niveau de protection conforme au RGPD. Des outils spécialisés comme EQS Privacy Cockpit facilitent cette démarche en centralisant l’analyse, la documentation et la surveillance des risques liés aux transferts internationaux.
