Transferts de données personnelles vers les États-Unis dans les procédures de Discovery

La CNIL rappelle que l’autorisation judiciaire française ne dispense pas du respect de la loi Informatique et Libertés. Le traitement doit reposer sur un intérêt légitime préservant les droits des personnes, conformément à l’article 7-5, ou exceptionnellement sur un consentement libre, spécifique et éclairé. Les données doivent être adéquates, pertinentes, non excessives, exactes et conservées pendant la durée de la procédure, conformément à l’article 6.

Les transferts vers les États-Unis relèvent notamment des articles 68 et 69. Un transfert unique peut être fondé sur l’article 69-3°, sous réserve d’une déclaration. Les transferts massifs ou répétés nécessitent un mécanisme d’encadrement approprié. L’information des personnes, leurs droits d’opposition, d’accès et de rectification, ainsi que la sécurité des données, doivent être assurés conformément aux articles 32, 38, 39, 40, 34 et 35.

⬇️Télécharger la décision version officielle

La Convention de La Haye organise la transmission des preuves entre États. La France n’exécute les commissions rogatoires de pre-trial discovery que si les documents sont précisément énumérés et directement liés au litige. À défaut, la loi n° 68-678 du 26 juillet 1968 peut interdire la communication.

La recommandation précise les obligations applicables au responsable de traitement : finalité légitime, proportionnalité, information, sécurité, conservation limitée et encadrement des transferts internationaux. Elle prévoit également le recours à l’anonymisation ou à la pseudonymisation lorsque les données personnelles ne sont pas nécessaires.

• Respecter la procédure de la Convention de La Haye
• Établir un lien direct et précis entre les pièces et le litige
• Fonder le traitement sur un intérêt légitime ou un consentement valable
• Limiter les données aux éléments adéquats, pertinents et non excessifs
• Préserver les droits d’opposition, d’accès et de rectification
• Mettre en place un mécanisme conforme pour le transfert international

• Documents limitativement énumérés dans la commission rogatoire
• Éléments démontrant le lien direct et précis avec le litige
• Preuve d’un consentement libre, spécifique et éclairé
• Résultats du filtrage local des données collectées
• Mesures d’anonymisation ou de pseudonymisation mises en œuvre

• Déclarer les flux internationaux de données à la CNIL
• Utiliser la Convention de La Haye pour transmettre les preuves
• Filtrer localement les documents selon leur pertinence
• Anonymiser les données personnelles inutiles
• Informer les personnes et garantir leur droit d’opposition
• Limiter les accès, la conservation et les destinataires

À faire

• Identifier le responsable du traitement
• Vérifier la procédure de la Convention de La Haye
• Définir les mots-clés avec le service juridique
• Documenter la proportionnalité des données
• Encadrer contractuellement le transfert international

À éviter

• Transmettre des documents non limitativement énumérés
• Créer une base Discovery autonome
• Communiquer des données personnelles excessives
• Négliger l’information des personnes concernées
• Transférer sans déclaration ni mécanisme adéquat

La procédure de transmission des preuves situées en France

nToute communication de données dans le cadre d’une procédure de Discovery doit respecter la Convention de La Haye. La déclaration française fondée sur l’article 23 limite l’exécution des commissions rogatoires aux documents limitativement énumérés et présentant un lien direct et précis avec le litige. Le juge français statue sur la production des pièces conformément aux articles 743 et suivants et 138 et suivants du Code de procédure civile.n

La légitimité du traitement des données personnelles

nL’intérêt légitime peut fonder le traitement si les droits et libertés de la personne sont garantis, conformément à l’article 7-5 de la loi Informatique et Libertés. Un consentement libre, spécifique et éclairé est exceptionnellement possible, mais sa preuve doit être rapportée. Les données sensibles restent soumises à l’article 8.n

La proportionnalité des données transférées

nSelon l’article 6 de la loi Informatique et Libertés, seules les données adéquates, pertinentes, non excessives, exactes et complètes peuvent être communiquées. Le filtrage doit être réalisé localement, avec anonymisation ou pseudonymisation lorsque les données personnelles ne sont pas nécessaires. Les obligations de confidentialité, de sécurité, d’information et de conservation limitée demeurent applicables.