Transferts hors Union européenne : où atterrissent les données de votre application mobile
Envoyer des données personnelles hors de l’Union européenne n’est pas interdit. La CNIL le formule simplement : c’est « possible, à condition d’assurer un niveau de protection des données suffisant et approprié ». Toute la difficulté tient dans la démonstration de cette condition.
En juillet 2025, l’autorité a publié la version finale de son guide sur l’analyse d’impact des transferts de données, l’AITD. Le document est précis : cette analyse incombe à l’exportateur, c’est-à-dire à celui qui envoie les données depuis l’Union, « qu’il soit responsable de traitement ou sous-traitant ». Elle doit être menée avant tout transfert hors de l’Espace économique européen reposant sur des clauses contractuelles types ou un outil équivalent.
Ce guide ne mentionne ni les applications mobiles, ni les SDK. La doctrine existe donc, mais personne ne l’a appliquée au seul endroit où l’éditeur ne voit rien passer. Une application contacte des serveurs directement, sans que rien à l’écran n’indique dans quel pays ils se trouvent. Voici ce que le droit demande exactement, et comment répondre à la question par des faits plutôt que par une clause contractuelle.
Un contrat signé n’est pas une garantie
Le 2 mai 2025, l’autorité irlandaise de protection des données a rendu sa décision finale contre TikTok, au terme d’une enquête sur les transferts de données d’utilisateurs européens vers la Chine. L’amende s’élève à 530 millions d’euros.
Le motif mérite d’être lu attentivement, parce qu’il ne porte pas sur l’absence de contrat. TikTok avait des clauses contractuelles types. L’autorité a jugé que l’entreprise avait enfreint l’article 46(1) du RGPD parce qu’elle n’avait pas réussi à « vérifier, garantir et démontrer » que ces clauses et les mesures supplémentaires étaient effectives, c’est-à-dire qu’elles assuraient aux données transférées un niveau de protection substantiellement équivalent à celui garanti dans l’Union.
La répartition de l’amende dit le reste. Le manquement sur les transferts pèse dix fois celui sur l’information des personnes.
La leçon est directement transposable à une application. L’obligation n’est pas de signer, elle est de démontrer. Et on ne démontre rien sur un flux dont on ignore la destination.
Trois régimes, et un seul qui vous laisse tranquille
Le premier est l’adéquation. À travers ses décisions d’adéquation, la Commission européenne reconnaît qu’un pays protège les données de manière équivalente, et elles peuvent alors y circuler « sans qu’aucune garantie supplémentaire ne soit nécessaire ». C’est le seul cas où vous n’avez rien à démontrer.
La liste est courte, fermée, et compte aujourd’hui dix-sept entrées : Andorre, Argentine, Brésil depuis le 26 janvier 2026, Canada pour les organisations commerciales, îles Féroé, Guernesey, Israël, île de Man, Japon, Jersey, Nouvelle-Zélande, Corée du Sud, Suisse, Royaume-Uni, Uruguay, États-Unis pour les seules organisations certifiées, et l’Organisation européenne des brevets. Tout pays absent de cette liste relève des deux régimes suivants.
Le deuxième repose sur un contrat, le plus souvent les clauses contractuelles types de la Commission, parfois des règles d’entreprise contraignantes. C’est lui qui déclenche l’AITD, et c’est sur lui que TikTok a été sanctionné. L’origine de cette obligation est connue : le 16 juillet 2020, la Cour de justice a rendu l’arrêt dit « Schrems II », qui a invalidé le régime alors en vigueur avec les États-Unis et imposé de vérifier, cas par cas, que le droit du pays de destination ne vide pas le contrat de son effet.
Le troisième regroupe les dérogations de l’article 49, comme le consentement explicite à un transfert précis. La CNIL rappelle qu’elles « ne peuvent être mobilisées que dans des situations particulières ». Ce n’est pas un régime de fonctionnement courant, et l’invoquer pour un flux publicitaire quotidien serait un contresens.
Autrement dit : hors de la liste d’adéquation, tout transfert suppose un contrat et une analyse qui en démontre l’effectivité. Encore faut-il savoir vers quels pays on transfère.
Le cas américain n’est pas celui qu’on croit
Une idée reçue tenace veut qu’un transfert vers les États-Unis soit interdit. Ce n’est plus exact depuis le 10 juillet 2023 : la Commission a adopté une décision d’adéquation pour le cadre de protection des données transatlantique. Mais elle ne couvre pas les États-Unis en bloc. Elle couvre les organisations qui participent au cadre, c’est-à-dire celles qui se sont certifiées et figurent sur la liste publique tenue par l’administration américaine.
La bonne question n’est donc pas « est-ce que ça part aux États-Unis », mais « ce destinataire précis est-il certifié ». Pour un éditeur d’application, cela suppose de connaître le destinataire réel, pas seulement le nom du SDK intégré.
Ce régime n’est pas figé pour autant. La Commission a publié le 9 octobre 2024 son rapport sur le premier réexamen périodique du dispositif. Et le 3 septembre 2025, le Tribunal de l’Union européenne a rejeté le recours en annulation dirigé contre cette décision d’adéquation, en rappelant que « la Commission est tenue de surveiller en continu l’application du cadre juridique sur lequel [la décision d’adéquation] repose ». Le cadre tient, mais il tient sous surveillance permanente, et une organisation certifiée peut cesser de l’être.
Pourquoi la question est plus dure sur mobile
Sur un site web, la réponse s’obtient en ouvrant les outils du navigateur : les requêtes sont là, les domaines aussi. Rien de tel dans une application. Le trafic est celui de l’application elle-même, il est chiffré, et il ne s’affiche nulle part. C’est la même asymétrie qui rend l’audit mobile plus difficile que l’audit web.
La lecture du code ne comble pas ce vide. Elle vous donne le nom d’une bibliothèque, pas le pays du serveur qu’elle contacte. Et l’adresse que ce SDK interroge peut changer côté fournisseur, sans qu’une seule ligne de votre dépôt ne bouge. Votre registre resterait exact et votre cartographie de transferts, fausse.
S’ajoute le fait que le destinataire réel n’est pas toujours celui qu’on croit : un flux publicitaire part vers des sociétés avec lesquelles l’éditeur n’a signé aucun contrat. Une AITD construite sur la seule liste des SDK intégrés passe à côté de ces destinataires.
Ce qu’un éditeur peut établir, et la prudence à garder
Trois choses s’observent en exécutant l’application et en relevant son trafic. Le pays du serveur contacté, à partir de son adresse. L’organisation qui héberge ce serveur, derrière l’adresse. Et le niveau de protection reconnu à ce pays, adéquat ou non, ce qui indique lequel des trois régimes s’applique.
Une prudence s’impose, et elle compte pour la sincérité du dossier. Un serveur situé en Europe ne signifie pas que les données y restent. Les réseaux de diffusion de contenu, ces infrastructures qui rapprochent les serveurs des utilisateurs, disposent de relais dans de nombreux pays, et un relais européen peut très bien transmettre à une machine située ailleurs. Un constat de géolocalisation établit donc le premier point de contact, pas la trajectoire complète. Le dire est plus utile que de laisser croire l’inverse : une AITD honnête distingue ce qui est mesuré de ce qui doit être demandé au fournisseur.
C’est d’ailleurs exactement ce que réclame le raisonnement de la décision TikTok. L’exportateur doit vérifier, garantir et démontrer. La mesure fournit la première brique, la documentation du fournisseur fournit la seconde.
De la liste de sous-traitants au dossier de transfert
La plupart des cartographies de transferts partent d’une liste de prestataires déclarés et de leurs politiques de confidentialité. C’est un point de départ, ce n’est pas une preuve. La liste déclarée et l’activité réelle divergent, et l’écart est précisément ce qu’un contrôle vient chercher.
Skanopy exécute l’application sur un vrai téléphone et relève chaque serveur contacté, avec son pays et l’organisation qui l’héberge. Vous obtenez la matière factuelle qui manque en amont d’une AITD : quels acteurs reçoivent des données, depuis quelle application, et vers quelles juridictions. Le rapport établit les faits, il ne juge pas la conformité ; la qualification reste au DPO.
Et parce qu’un point de terminaison peut être déplacé sans prévenir, cette vérification vaut mieux répétée que ponctuelle. C’est aussi l’un des points qu’un contrôleur examine, aux côtés du consentement et des permissions : de quoi préparer le dossier avant qu’on vous le demande.
Sources
Chaque constat de cet article renvoie à l’un de ces documents.
- CNIL ’25Analyse d’impact des transferts de données : version finale du guide AITDCNIL, 9 juillet 2025
- CNILTransférer des données hors de l’Union européenneCNIL, outils de la conformité
- EDPB ’25L’autorité irlandaise sanctionne TikTok de 530 millions d’euros pour les transferts vers la ChineComité européen de la protection des données
- DPC ’25Décision finale de l’autorité irlandaise sur les transferts de TikTokData Protection Commission, 2 mai 2025
- CommissionDécisions d’adéquation : la liste des pays reconnusCommission européenne
- DPFListe publique des organisations certifiéesData Privacy Framework, administration américaine
- Tribunal UE ’25Le Tribunal rejette le recours contre l’adéquation transatlantiqueIAPP, 3 septembre 2025
- CNIL ’25Recommandation applications mobiles, version modifiéeCNIL, délibération n° 2025-024