L’article 48 du RGPD et la demande de communication préalable de preuves aux États-Unis : guide pratique de minimisation

Lorsqu’une ordonnance de préservation de preuves américaine (litigation hold) frappe une entité européenne, deux réflexes s’ensuivent. Le premier consiste à tout produire ce qui est pertinent, selon la théorie qu’une ordonnance de tribunal reste une ordonnance de tribunal. Le second consiste à refuser catégoriquement, selon la théorie que le RGPD l’interdit. Ces deux réflexes sont erronés, et tous deux s’avèrent coûteux.

Le RGPD n’interdit pas le transfert de données personnelles dans le cadre d’une procédure américaine. Il conditionne ce transfert, et ces conditions récompensent les parties qui restreignent le volume de données avant qu’il ne traverse l’Atlantique, plutôt qu’après.

Cet article traite de la portée réelle de l’article 48, de la dérogation sur laquelle un justiciable s’appuiera concrètement, de la raison pour laquelle la minimisation est une démarche opérationnelle plutôt qu’une simple formalité, et de la manière de documenter le tout sous une forme qu’un tribunal américain et une autorité de contrôle européenne accepteront. En résumé, le volume que vous transférez est la variable que vous contrôlez, et c’est celle que les deux instances examinent.

L’article 48 limite la reconnaissance, il ne crée pas d’interdiction

L’article 48 stipule qu’une décision d’une juridiction d’un pays tiers ou d’une autorité administrative d’un pays tiers exigeant d’un responsable du traitement qu’il transfère ou divulgue des données à caractère personnel ne peut être reconnue ou rendue exécutoire que si elle est fondée sur un accord international, tel qu’un traité d’entraide juridique mutuelle.

Lisez attentivement ceci. Il s’agit d’une règle concernant la valeur de l’ordonnance étrangère au sein de l’ordre juridique de l’Union. Il ne s’agit pas d’une règle interdisant tout mouvement de données. Cette disposition s’applique sans préjudice des autres motifs de transfert prévus au chapitre V.

Le Comité européen de la protection des données (CEPD) l’a explicitement indiqué dans ses lignes directrices 02/2024 sur l’article 48, finalisées en juin 2025. Une ordonnance étrangère n’est pas en soi un outil de transfert. Si vous envisagez un transfert, vous devez toujours disposer d’une base légale en vertu de l’article 6 et d’un mécanisme de transfert distinct en vertu du chapitre V. L’ordonnance ne fournit ni l’un ni l’autre. Le Comité s’attend également à ce que la demande et votre raisonnement soient documentés, que vous y accédiez ou que vous la refusiez.

La conséquence pratique est que « un tribunal américain nous l’a ordonné » n’est pas une réponse valable pour un organisme de réglementation européen, et « le RGPD l’interdit » n’est pas une réponse valable pour un juge américain. Vous devez bâtir vous-même un dossier solide.

La dérogation sur laquelle vous vous appuierez est plus étroite que la demande

La plupart des plaideurs s’appuient sur l’article 49(1)(e) : transfert nécessaire à la constatation, à l’exercice ou à la défense de droits en justice. Le considérant 111 confirme que cela s’étend à la phase préalable au procès (pre-trial discovery) dans les procédures civiles.

Deux contraintes y sont associées. Le transfert doit être occasionnel et il doit être nécessaire. Le Comité interprète les dérogations de l’article 49 de manière stricte, comme des exceptions plutôt que comme un substitut habituel à une décision d’adéquation ou à des clauses contractuelles types.

C’est sur la notion de nécessité que la plupart des productions de documents échouent. Elle exige un lien étroit et substantiel entre les données précises et la réclamation ou la défense spécifique. Une demande formulée autour de détenteurs de données (custodians) et de plages de dates n’établit pas ce lien pour chaque document qu’elle contient. La pertinence par rapport à une demande de communication de preuves américaine et la nécessité en vertu de l’article 49(1)(e) constituent des critères différents, le second étant plus strict.

Cet écart n’est pas un problème à contourner par des arguments. Il s’agit d’une directive de délimitation du champ d’application.

La minimisation est le cœur du travail, et elle intervient avant le transfert

Si la nécessité est évaluée document par document, alors la production défendable est celle pour laquelle quelqu’un a effectivement évalué les documents. Trois opérations permettent d’y parvenir, dans l’ordre.

Le tri élimine ce qui est hors sujet. Pas seulement ce qui est hors des termes de recherche, mais ce qui est hors sujet pour le dossier. La boîte de courriels d’un employé contient des renseignements sur la paie, des absences médicales, des correspondances familiales et des documents du comité d’entreprise qu’aucun critère de pertinence ne devrait jamais atteindre.

La pseudonymisation et le masquage traitent ce qui reste. Les noms de tiers non concernés, les identifiants nationaux, les données de santé et d’autres données de catégories particulières visées à l’article 9 peuvent souvent être supprimés sans nuire à la valeur probante du document. Un fil de discussion sur la négociation d’un contrat ne perd pas de sa valeur probante parce que l’adresse personnelle d’un employé non concerné est masquée.

L’examen permet de distinguer l’un de l’autre. C’est ici qu’une première analyse assistée par IA prend tout son sens, car l’alternative est une lecture humaine linéaire d’un volume de données dont vous n’avez pas encore justifié le transfert. Effectuer une lecture thématique sur l’ensemble du lot, y compris un passage dédié aux données personnelles et de catégories particulières, permet d’obtenir à la fois la décision de pertinence et le registre de minimisation au cours de la même opération. Claira exécute cela au sein de Nuix Discover, et le processus d'identification des renseignements personnels est documenté précisément à cette fin.

La formulation est importante. L’examen par IA est ici le moteur de minimisation. C’est ce qui vous permet de transférer moins de données, et non ce qui en met davantage en péril.

Les principes de Sedona vous demandent de démontrer votre démarche

Les principes internationaux de la Sedona Conference sur l’enquête, la communication et la protection des données fournissent aux tribunaux américains un vocabulaire pour aborder ce sujet. Le principe 1 demande aux tribunaux et aux parties d’accorder le respect dû aux lois étrangères sur la protection des données. Le principe 2 stipule que lorsque le respect des deux régimes est conflictuel, la conduite doit être jugée selon un critère de bonne foi et de caractère raisonnable. Le principe 3 est celui autour duquel il faut planifier : un responsable du traitement confronté à des obligations de conservation, de divulgation ou de communication de preuves doit être prêt à démontrer que les obligations de protection des données ont été prises en compte et que des garanties appropriées ont été mises en place.

Être prêt à démontrer constitue une norme de preuve, et non une simple intention. Les tribunaux effectuant l’analyse de courtoisie internationale (comity analysis) issue de l’arrêt Aérospatiale n’ont généralement pas été convaincus par une affirmation non étayée selon laquelle le droit européen rend la production impossible. Ils se sont montrés nettement plus réceptifs envers une partie qui se présente avec un volume de données restreint, une méthode claire et une justification rigoureuse de cette restriction.

La bonne foi est plus facile à prouver avec un registre d’actions qu’avec une simple lettre.

Le lieu où se déroule l’examen modifie ce que vous devez justifier

Il y a une étape préalable à la question du transfert qui est souvent omise. L’examen est un traitement, et le traitement n’est pas le même événement que le transfert. Si l’analyse, le tri et le masquage ont lieu sur une infrastructure située au sein de l’Union, la seule chose qui quitte l’Union est la production de données minimisée.

Cela modifie l’ampleur de ce que vous devez défendre. Nous avons déjà écrit sur le déploiement local pour les affaires allemandes et européennes, et la raison pour laquelle cela importe ici tient précisément à cet ordre de priorité. Minimisez dans la région, puis transférez le reste.

Faire l’inverse, c’est-à-dire exporter l’ensemble des données vers une plateforme américaine pour y effectuer le filtrage, signifie que le transfert que vous devez justifier en vertu du chapitre V concerne la totalité du volume de données plutôt que la seule partie dont vous aviez réellement besoin.

Par où commencer

Trois actions, dans l’ordre.

Rédigez une note de transfert d’une page avant tout mouvement de données. Indiquez la réclamation, les catégories de données concernées, la dérogation invoquée et les mesures de minimisation appliquées. Si vous ne pouvez pas remplir cette page, vous n’êtes pas prêt à produire les données.

Exécutez l’étape de minimisation comme une étape distincte avec son propre registre, plutôt que comme un sous-produit de l’examen de pertinence. Les deux critères sont différents, et le registre doit démontrer que les deux ont été appliqués.

Discutez rapidement de la portée avec la partie adverse. Un protocole négocié qui tient compte des contraintes européennes est bien moins coûteux qu’une requête visant à contraindre (motion to compel) décidée après que vous avez déjà refusé.

Rien de tout cela ne fait disparaître le conflit. Cela le transforme en un élément que vous pouvez documenter, ce qui est la seule forme sous laquelle un organisme de réglementation ou un tribunal peut vous en attribuer le mérite. Si vous souhaitez voir comment se déroule une étape de minimisation sur un ensemble de données européen avant tout passage de frontière, réservez une courte séance avec notre équipe.