Article 96 du RGPD : les accords internationaux anciens
Article 96 du RGPD : quels accords internationaux antérieurs à 2016 restent en vigueur, et quelles vérifications effectuer avant un transfert ?
Un ancien accord international peut continuer à produire des effets après l’application du RGPD. Mais son ancienneté ne suffit pas : l’article 96 vise certains accords conclus par les États membres, sous une condition de conformité au droit de l’Union applicable à l’époque. Un contrat commercial signé avant 2016 ne bénéficie pas de cette disposition.
Les conditions de l’article 96
L’article 96 concerne les accords internationaux impliquant des transferts de données vers des pays tiers ou des organisations internationales. Il maintient ceux conclus par les États membres avant le 24 mai 2016, s’ils étaient conformes au droit de l’Union applicable avant cette date. Ce maintien dure jusqu’à leur modification, leur remplacement ou leur révocation. RGPD, art. 96.
Trois vérifications précèdent donc toute conclusion :
| Vérification | Pièce à rechercher |
|---|---|
| Qui a conclu l’accord ? | Texte officiel identifiant les parties et leur qualité |
| Quand a-t-il été conclu ? | Accord et actes pertinents établissant la chronologie |
| Était-il conforme au droit de l’Union alors applicable ? | Analyse du régime antérieur et des décisions pertinentes |
Le texte ne se limite pas aux accords bilatéraux. Il n’instaure pas non plus une présomption irréfragable de validité de tous les échanges organisés par un accord ancien. La condition de conformité mérite une analyse réelle.
Le 24 mai 2016 correspond à l’entrée en vigueur du RGPD, distincte de son application le 25 mai 2018. Confondre les deux dates élargirait à tort la catégorie des accords concernés. CEPD, cadre juridique et dates du RGPD. La fiche de l’article 99 explique cette distinction.
Ce que l’article 96 ne couvre pas
Un contrat d’hébergement, une annexe de sous-traitance ou une convention commerciale entre entreprises n’est pas un accord international conclu par un État membre au sens de cet article. La signature d’un contrat en 2014 ne dispense donc pas une entreprise d’examiner les règles actuelles de transfert.
Il ne faut pas davantage attribuer automatiquement ce régime à tout accord conclu par l’Union européenne elle-même. L’article 96 désigne les États membres. Identifier les parties est une étape juridique, et non une simple information administrative.
Enfin, les traitements relevant d’un autre régime demandent une analyse distincte. La directive relative aux traitements répressifs possède notamment sa propre disposition transitoire. Le CEPD distingue les deux régimes dans sa déclaration 04/2021. CEPD, déclaration sur les accords internationaux impliquant des transferts.
Maintien d’un accord ne signifie pas absence de réexamen
Dans sa déclaration 04/2021 du 13 avril 2021, le CEPD invite les États membres à apprécier et, lorsque nécessaire, à revoir leurs accords pour les mettre en conformité avec le droit actuel de l’Union. Il mentionne notamment les échanges fiscaux, sociaux et la coopération entre autorités. Cette invitation ne signifie pas que tous ces accords seraient caducs ; elle interdit de traiter l’article 96 comme une garantie abstraite et définitive de conformité. CEPD, déclaration 04/2021.
Une négociation en cours n’est pas, à elle seule, une modification de l’accord. En revanche, un avenant effectivement adopté, un remplacement ou une révocation impose de réexaminer la portée du maintien prévu par l’article 96. Les dispositions transitoires du nouvel instrument peuvent également compter. Il serait imprudent de décider sur la seule date figurant en couverture d’un dossier.
Quelle analyse pour un organisme qui doit transmettre des données ?
L’organisme doit commencer par identifier le circuit exact : collecte auprès des personnes, remise à une autorité française, échange entre autorités ou transmission directe à un destinataire étranger. Ces opérations ne sont pas interchangeables. Le texte qui régit un échange entre administrations n’autorise pas nécessairement une entreprise à transmettre directement le même fichier à l’étranger.
La note de décision peut suivre cette trame :
- Flux concerné : données, personnes, finalité et destinataires effectifs.
- Instrument invoqué : référence officielle, parties, date, annexes et état actuel.
- Champ couvert : organismes, catégories de données et usages autorisés.
- Régime juridique : disposition transitoire pertinente et obligations applicables à chaque opération.
- Garanties et limites : accès, conservation, information, sécurité et voies de recours prévues.
- Validation : conclusion motivée, responsable de la décision et événement déclenchant une nouvelle analyse.
Cette trame est une méthode de documentation, pas un formulaire imposé par l’article 96. Pour les transferts ordinaires d’une entreprise, le point de départ demeure l’article 44 et le chapitre V. Une décision d’adéquation est un mécanisme différent, dont il faut vérifier le périmètre et le statut actuels.
Une demande d’autorité étrangère appelle une analyse complémentaire
L’existence d’un accord peut aussi être pertinente lorsqu’une autorité étrangère exige une communication de données. L’art. 48 encadre la reconnaissance ou l’exécution de telles décisions, notamment au regard d’un accord international, sans préjudice des autres motifs de transfert du chapitre V. L’art. 96 n’équivaut donc pas à un ordre de répondre favorablement à toute demande. RGPD, art. 48.
Avant de répondre, vérifiez l’authenticité de la demande, l’autorité compétente, son fondement, les personnes et données concernées, les voies de clarification ou de contestation. Le guide de l’article 48 complète cette analyse.
Ce qu’il faut retenir
- L’article 96 vise des accords internationaux conclus par les États membres avant le 24 mai 2016.
- Leur conformité au droit de l’Union alors applicable est une condition du maintien.
- Un contrat commercial ancien ne bénéficie pas de ce régime.
- Modification, remplacement et révocation nécessitent de revoir l’analyse.
- Le flux exact et le champ de l’accord doivent être vérifiés avant toute transmission.
FAQ
Un contrat signé avant 2016 permet-il de continuer les transferts sans examen ?
Non. L’article 96 ne couvre pas les contrats privés ordinaires. Il faut examiner les mécanismes du chapitre V pertinents et les autres obligations applicables.
Tous les accords anciens sont-ils automatiquement conformes ?
Non. Le texte exige une conformité au droit de l’Union applicable avant le 24 mai 2016. L’existence et la date de l’accord ne suffisent pas à démontrer cette condition.
Une simple renégociation met-elle immédiatement fin au maintien ?
Le texte vise la modification, le remplacement ou la révocation. L’ouverture de discussions ne suffit pas, à elle seule, à établir que l’un de ces événements s’est produit.
Recevez nos analyses pratiques de conformité dans la newsletter.
À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.