Article 48 RGPD : répondre à une autorité étrangère

Une entreprise française reçoit une décision d’une juridiction ou d’une autorité administrative située hors de l’Union européenne. Le document exige la remise de données personnelles. Cette décision étrangère ne constitue pas, à elle seule, un feu vert au transfert. L’article 48 du RGPD impose de vérifier le cadre juridique de sa reconnaissance et de son exécution.

La réponse doit être préparée avec le service juridique, le DPO et les équipes détenant les données. L’urgence annoncée dans le courrier ne dispense pas de qualifier la demande.

Ce qu’il faut retenir

• L’Art. 48 vise les décisions d’autorités de pays tiers qui exigent un transfert ou une divulgation.
• La reconnaissance ou l’exécution suppose un accord international applicable, sans exclure les autres motifs de transfert du chapitre V.
• Il faut examiner séparément la licéité du traitement et le fondement du transfert.
• Une demande reçue directement par une équipe métier doit être orientée vers les personnes chargées de l’analyse, avant toute remise de données.

Ce que prévoit réellement l’article 48

Le texte subordonne la reconnaissance ou l’exécution d’une décision étrangère à un accord international en vigueur entre le pays demandeur et l’Union ou un État membre, par exemple un traité d’entraide judiciaire. Il ajoute expressément que les autres motifs du chapitre V restent possibles. Il ne signifie donc ni « toute demande étrangère doit être exécutée », ni « aucune communication n’est jamais possible hors d’un traité ». Voir le texte de l’article 48.

Le CEPD a publié en juin 2025 la version finale de ses lignes directrices sur cet article. Son annonce officielle précise qu’elles visent les conditions dans lesquelles les organisations peuvent répondre licitement aux autorités de pays tiers.

Examiner deux questions distinctes

La première porte sur le traitement : quelle base légale autorise la communication, pour quelle finalité et avec quelles limites ? L’obligation de l’Art. 6(1)(c) doit notamment être rattachée au cadre prévu par l’Art. 6(3), et non déduite automatiquement d’un texte étranger. Des données sensibles ou pénales appellent aussi l’examen des Art. 9 ou 10. Voir le chapitre II du RGPD.

La seconde porte sur le transfert : quel mécanisme du chapitre V est applicable à ce destinataire et à cette opération ? L’existence d’une base légale ne répond pas seule à cette seconde question. Inversement, invoquer un instrument de transfert ne rend pas toutes les communications licites.

Les dérogations de l’article 49 ne peuvent être envisagées qu’en respectant leurs conditions propres. Un intérêt public invoqué uniquement par un pays tiers ne suffit pas à établir la reconnaissance exigée par l’Art. 49(4).

Organiser la réponse en six étapes

Voici une méthode de travail à adapter à la procédure concernée ; elle ne crée aucun délai réglementaire supplémentaire.

1. Authentifier la demande. Vérifiez l’autorité, ses coordonnées, le dossier, la signature et le canal de réception. Évitez de répondre à une adresse dont l’origine reste incertaine.
2. Identifier l’entité visée. Le document s’adresse-t-il au responsable du traitement, au sous-traitant, à une filiale ou à un prestataire distinct ?
3. Qualifier les données demandées. Délimitez les personnes, périodes, systèmes et catégories. Distinguez une demande de conservation d’une demande de communication.
4. Faire analyser les textes applicables. Relevez l’accord éventuel, les règles de procédure, les fondements du traitement et du transfert, ainsi que les possibilités de contestation ou de limitation.
5. Préparer une réponse proportionnée. Si une communication est licite, identifiez précisément les données à remettre et le canal retenu. Une extraction globale « par précaution » doit être évitée.
6. Conserver la décision et ses pièces. Notez qui a validé la réponse, les données effectivement transmises et les motifs d’une remise, d’un refus ou d’une demande de précision.

Pour les situations relevant de procédures françaises, notre guide des réquisitions judiciaires et données personnelles complète cette organisation.

Examiner aussi la loi française de blocage

La loi du 26 juillet 1968 peut intervenir selon la nature de la demande et des informations. Elle ne se confond pas avec le RGPD : son examen ne se limite pas aux données personnelles. La DGE présente le SISSE comme guichet compétent pour accompagner les entreprises concernées et propose un outil d’orientation. Consultez sa présentation de la loi de blocage.

Ne remplacez pas cette qualification par une règle interne affirmant que toute demande provenant de l’étranger appelle exactement la même procédure. Faites identifier les obligations françaises qui concernent réellement le dossier.

Distinguer les demandes européennes « e-evidence »

Le règlement européen 2023/1543 est applicable depuis le 18 août 2026. Il organise notamment des injonctions adressées par une autorité judiciaire d’un État membre à un prestataire ou à son représentant dans un autre État membre. Ce mécanisme n’est pas simplement une transmission d’autorité à autorité. La Commission en décrit le fonctionnement et le calendrier sur sa page e-evidence.

Cette distinction évite de traiter toute demande transfrontière comme une injonction d’un pays tiers relevant de l’Art. 48.

Questions fréquentes

Un contrat cloud permet-il de résoudre toutes ces demandes ?

Non. Il aide à organiser les informations et la coopération entre les parties, mais ne remplace pas les règles applicables. Vérifiez notamment les instructions et engagements de l’article 28 du RGPD.

Un hébergement européen écarte-t-il toute demande étrangère ?

La localisation ne répond pas seule à la question des entités visées et des pouvoirs invoqués. Cartographiez les destinataires et les accès dans votre dossier de transferts hors UE.

Faut-il effacer les données pour éviter de les transmettre ?

Ne prenez pas une telle décision en réaction à la demande sans analyse juridique. Les obligations de conservation et les exigences de procédure doivent être examinées séparément de la possibilité de communiquer les données.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.