Utiliser un fournisseur de formulaires américain au regard du RGPD

Les articles 44 à 49 du RGPD régissent les transferts de données personnelles vers des pays situés hors de l'UE et de l'EEE. Un transfert nécessite l'un de ces trois éléments : une décision d'adéquation pour le pays de destination (article 45), des garanties appropriées telles que les clauses contractuelles types (article 46) ou, pour des cas ponctuels, l'une des dérogations de l'article 49.

Pour un formulaire, le fournisseur qui reçoit et stocke les soumissions est le premier endroit où regarder. Ce n'est pas le seul. L'e-mail de notification peut atterrir dans une boîte aux lettres hébergée à l'étranger, et un webhook ou un outil d'automatisation peut transmettre les mêmes données plus loin. Chacun de ces cas soulève une question distincte.

Le 16 juillet 2020, la Cour de justice a rendu sa décision dans l'affaire Data Protection Commissioner c. Facebook Ireland et Schrems (C-311/18). Elle a invalidé le bouclier de protection des données UE-États-Unis (Privacy Shield), estimant que la législation américaine en matière de surveillance et les recours ouverts aux Européens n'atteignaient pas le niveau exigé par le droit de l'UE.

La Cour a maintenu la validité des clauses contractuelles types, sous une condition : l'exportateur doit vérifier au cas par cas si le droit du pays de destination permet à l'importateur de tenir ses engagements, et ajouter des mesures supplémentaires lorsque ce n'est pas le cas. Le Comité européen de la protection des données (CEPD) a décrit la marche à suivre dans ses recommandations 01/2020 sur les mesures supplémentaires, adoptées dans leur version finale le 18 juin 2021.

Le 10 juillet 2023, la Commission a adopté la décision d'exécution (UE) 2023/1795, constatant que les États-Unis assurent un niveau de protection adéquat pour les données transmises à des entreprises certifiées au titre du cadre de protection des données UE-États-Unis. Elle s'appuie sur le décret exécutif américain 14086, qui a ajouté des limites au renseignement d'origine électromagnétique et une voie de recours devant une Cour de révision de la protection des données.

Pour le responsable d'un formulaire, cela signifie : si le fournisseur américain est certifié, et que sa certification couvre le type de données que vous envoyez, le transfert n'a pas besoin d'outil supplémentaire. Vous pouvez vérifier une entreprise sur la liste officielle du cadre de protection des données. Un fournisseur absent de cette liste nécessite une autre base, généralement les clauses contractuelles types.

Le cadre a fait l'objet de contestations. Le Tribunal de l'Union européenne a rejeté le recours dans l'affaire Latombe c. Commission (T-553/23) le 3 septembre 2025, et le requérant a formé un pourvoi devant la Cour de justice, sous la référence affaire C-703/25 P. Deux dispositifs antérieurs, la sphère de sécurité (Safe Harbor) et le Privacy Shield, ont été invalidés par cette même Cour, c'est pourquoi de nombreuses organisations gardent une solution de repli dans leurs contrats au cas où le cadre tomberait aussi.

Les clauses types actuelles ont été adoptées par la décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021. Elles existent en modules selon les relations entre les parties ; pour un service de formulaires agissant pour votre compte, le module usuel est responsable de traitement vers sous-traitant. Les utiliser implique de réaliser une évaluation de l'impact du transfert et d'en consigner le résultat, un travail réel pour un petit site. C'est l'une des raisons pour lesquelles le cadre de protection des données séduit les fournisseurs américains qui s'y sont certifiés.

Ces questions valent pour les fournisseurs américains comme européens, et un bon fournisseur y répond dans des documents publics :

1. Où sont stockées les soumissions, les fichiers téléversés et les sauvegardes ?
2. Quels sous-traitants ultérieurs traitent les données des soumissions, et dans quels pays ?
3. Pour chaque transfert hors UE, quel mécanisme s'applique : décision d'adéquation, certification DPF ou clauses contractuelles types (CCT) ?
4. Le DPA est-il publié ou disponible avant l'inscription, et liste-t-il les sous-traitants ultérieurs ?
5. Le personnel situé hors UE peut-il accéder aux données pour le support, et sous quels contrôles ?
6. L'e-mail de notification contient-il la soumission complète, et pouvez-vous désactiver cette option ?
7. Comment le fournisseur gère-t-il une demande de données émanant d'une autorité étrangère ?

Nos pages de comparaison recensent ce que plusieurs fournisseurs disent publiquement sur la localisation des données. Consultez aussi leurs documents actuels, car les politiques évoluent.

Formward est exploité par une entreprise suédoise. L'application, la base de données et les fichiers téléversés sont hébergés en Suède. L'e-mail de notification est envoyé par un fournisseur européen, et les fonctions d'IA facultatives des offres Professional et Business fonctionnent sur Mistral, dans l'UE. La facturation passe par Stripe Payments Europe, Limited, en Irlande, et ne concerne que les coordonnées de facturation du client payant.

Le seul point de contact américain est Cloudflare Turnstile, une vérification anti-bot désactivée tant que vous ne l'activez pas pour un formulaire. Lorsqu'elle est active, Cloudflare reçoit les données de challenge du navigateur du visiteur, et non les réponses du formulaire. Les destinations que vous ajoutez vous-même, comme un webhook, un canal Slack ou une boîte mail hébergée ailleurs, reçoivent les données là où vous les dirigez.