Glossaire · Droit européen des transferts de données Décisions d'adéquation de l'UE (European Commission Adequacy Decisions)
Décisions formelles de la Commission européenne déterminant qu'un pays tiers offre un niveau de protection des données personnelles essentiellement équivalent, permettant le libre transfert de données personnelles sans garanties supplémentaires.
## Ce qu'est réellement une décision d'adéquation
Une décision d'adéquation de l'UE est une détermination formelle de la Commission européenne, au titre de l'article 45 du [RGPD](/fr/glossary/gdpr/), selon laquelle un pays non UE (ou un secteur spécifique au sein d'un pays) offre un niveau de protection des données personnelles **essentiellement équivalent** à celui garanti dans l'UE.
Lorsqu'un pays dispose d'une décision d'adéquation, les données personnelles UE peuvent y circuler librement — aucune garantie contractuelle supplémentaire (CCT, BCR) ou évaluation de l'impact des transferts n'est requise pour le transfert lui-même. C'est la base juridique *la plus solide* pour les transferts internationaux de données au titre du RGPD.
## Pays avec décisions d'adéquation (en 2026)
La Commission européenne a reconnu l'adéquation pour :
- **Andorre**
- **Argentine**
- **Canada** (organisations commerciales couvertes par PIPEDA)
- **Îles Féroé**
- **Guernesey**
- **Île de Man**
- **Israël**
- **Japon** (avec adéquation mutuelle UE-Japon)
- **Jersey**
- **Nouvelle-Zélande**
- **République de Corée (Corée du Sud)**
- **Suisse**
- **Royaume-Uni** (post-Brexit, deux décisions : RGPD et Application de la loi)
- **Uruguay**
- **États-Unis** — uniquement au titre du [Cadre de protection des données UE-États-Unis](/fr/glossary/eu-us-data-privacy-framework/) pour les organisations certifiées
Notez que plusieurs d'entre elles font l'objet d'une révision périodique.
## Comment les décisions d'adéquation sont prises
La Commission européenne considère :
### 1. État de droit et droits fondamentaux
Cadre général des droits humains et de l'État de droit dans le pays tiers.
### 2. Loi sur la protection des données
Si le pays dispose d'une législation complète de protection des données comparable au RGPD.
### 3. Autorité de surveillance indépendante
Si une autorité indépendante de protection des données existe avec un véritable pouvoir d'application.
### 4. Engagements internationaux
Adhésion à des accords internationaux pertinents pour la vie privée (Convention 108, etc.).
### 5. Accès gouvernemental aux données
Si l'accès de la sécurité nationale et des forces de l'ordre aux données personnelles est proportionné, régi par une loi claire et fournit des recours effectifs.
Le cinquième facteur est l'endroit où les affaires **Schrems** continuent d'intervenir pour les États-Unis.
## Comment les décisions d'adéquation sont révisées
L'article 45(3) du RGPD exige de la Commission qu'elle **révise périodiquement les décisions d'adéquation** (au moins tous les quatre ans). La Commission peut suspendre, abroger ou modifier l'adéquation si les circonstances changent.
Les décisions peuvent également être invalidées par la **Cour de justice de l'UE** :
- [Schrems I](/fr/glossary/schrems-i/) (2015) a invalidé la décision Safe Harbor
- [Schrems II](/fr/glossary/schrems-ii/) (2020) a invalidé le Privacy Shield
## Ce que les décisions d'adéquation signifient en pratique
### Pour les exportateurs de données
Si vous transférez des données personnelles UE vers un pays avec une décision d'adéquation :
- **Aucune garantie supplémentaire requise** pour la base juridique du transfert
- Les principes RGPD standard s'appliquent toujours (limitation des finalités, minimisation, etc.)
- Aucune évaluation de l'impact des transferts requise pour le transfert lui-même
- La documentation devrait néanmoins noter la base d'adéquation
### Pour les importateurs de données dans des pays adéquats
Si vous êtes une organisation japonaise ou britannique recevant des données UE :
- Vous bénéficiez de transferts simplifiés depuis les clients UE
- L'adéquation de votre pays est un avantage compétitif vs juridictions non adéquates
- Le maintien de l'adéquation dépend des choix politiques au niveau national
### Pour les acheteurs tech
Lors de l'évaluation des fournisseurs :
- **Fournisseurs résidant dans l'UE** : aucun problème de transfert
- **Fournisseurs de pays adéquats** (Royaume-Uni, Suisse, etc.) : base de transfert simple
- **Fournisseurs américains sous EU-US DPF** : techniquement adéquat mais juridiquement vulnérable
- **Juridictions non adéquates** : nécessite CCT + TIA, souvent peu pratique pour les données sensibles
## L'adéquation du Royaume-Uni spécifiquement
Après le Brexit, le Royaume-Uni a reçu une décision d'adéquation en 2021. Cette décision fait l'objet d'une révision périodique et a été renouvelée. La divergence du Royaume-Uni par rapport au RGPD — particulièrement les propositions concernant la propre réforme de protection des données du Royaume-Uni — pourrait mettre l'adéquation en péril.
Pour les entreprises européennes utilisant des fournisseurs basés au Royaume-Uni, l'adéquation actuelle rend les transferts simples, mais la décision est conditionnée à un alignement continu du Royaume-Uni.
## Adéquation vs autres mécanismes de transfert
Lorsque l'adéquation n'existe pas ou est insuffisante, le RGPD prévoit :
- **Clauses contractuelles types (CCT)** — termes contractuels approuvés par la Commission ([voir CCT](/fr/glossary/sccs/))
- **Règles d'entreprise contraignantes (BCR)** — règles internes au sein de groupes multinationaux ([voir BCR](/fr/glossary/bcrs/))
- **Dérogations** — exceptions limitées pour des situations spécifiques
- **Évaluation de l'impact des transferts** — requise lorsque les CCT/BCR sont utilisées pour vérifier qu'elles offrent réellement protection ([voir TIA](/fr/glossary/tia/))
L'adéquation est préférée parce qu'elle élimine la charge d'évaluation par transfert.
## Ce qu'apportent 2026-2027
- **Révisions périodiques** des décisions d'adéquation existantes, y compris Royaume-Uni
- **Possibles nouvelles décisions d'adéquation** pour des pays supplémentaires (évaluations en cours)
- **Vulnérabilité continue** de l'EU-US DPF aux contestations de la lignée Schrems
- **Intersection AI Act** — l'adéquation ne traite pas automatiquement les flux de données spécifiques à l'IA
## Implications pratiques
Pour les acheteurs tech européens, les décisions d'adéquation favorisent structurellement :
1. **Fournisseurs résidant dans l'UE** (meilleur — aucun transfert)
2. **Fournisseurs de pays adéquats** (Royaume-Uni, Suisse, etc. — base juridique propre)
3. **Fournisseurs américains certifiés EU-US DPF** (légal mais vulnérable)
4. **Autres fournisseurs américains/non adéquats** (nécessite CCT + TIA — souvent peu pratique)
La hiérarchie compte lors de la comparaison des fournisseurs. La juridiction d'un fournisseur façonne la charge de conformité que vous portez à jamais.
Cela vous a-t-il été utile ?
Merci pour votre retour !