Transfert hors UE : ce qu'envoie votre site

Pourquoi une page web envoie des données hors de l'UE

Une page n'est presque jamais servie par un seul serveur. Elle charge des polices, un outil de mesure d'audience, une vidéo intégrée, une carte, un contrôle anti-robot. Chacun de ces services reçoit une requête du navigateur du visiteur, avec son adresse IP et souvent l'adresse de la page consultée.

Si le service est installé hors de l'Union, ou si sa société relève d'un autre droit, la requête est un transfert au sens du RGPD. Il a souvent lieu dès l'ouverture de la page.

Ce que nous relevons sur les sites audités

Ce pourcentage porte sur une trentaine de sites audités entre le 14 août 2026 et le 24 septembre 2026, ceux où le point a pu être vérifié. Beaucoup ont été audités parce qu'un défaut s'y voyait vite : le chiffre décrit nos audits, pas l'ensemble des sites.

Ce que l'audit relève sur vos pages

L'audit ouvre vos pages comme un visiteur, dans un navigateur neuf, avant toute interaction. Il relève :

• chaque service appelé, sur chaque page du périmètre, et pas seulement sur l'accueil ;
• la société qui l'exploite et le droit dont elle relève ;
• ce qui part avec la requête, à commencer par l'adresse IP du visiteur.

Une page produit, la page de contact et la page de paiement n'appellent pas les mêmes services. C'est pourquoi l'audit les regarde toutes, et pas une seule page type.

Les bases qui autorisent un transfert

Le RGPD admet plusieurs bases : une décision d'adéquation de la Commission européenne (le cadre UE-États-Unis en est une, pour les entreprises inscrites sur sa liste officielle), des clauses contractuelles types, ou, dans des cas précis, les dérogations de l'article 49. Vérifier qu'un fournisseur en a une relève de votre registre des traitements : une page web ne le montre pas.

Le transfert n'est pas la seule question. Un fournisseur soumis au droit américain peut devoir remettre des données aux autorités de son pays, même stockées en Europe : c'est ce que prévoit le Cloud Act.

Réduire ce que votre site envoie

• Héberger les polices sur votre propre serveur.
• Charger les vidéos et les cartes seulement quand le visiteur les demande.
• Choisir une mesure d'audience exploitée par une société européenne.
• Retirer les scripts que plus personne n'utilise.

Et l'hébergement lui-même

Les services tiers ne sont qu'une partie du trajet. Le guide sur l'hébergement souverain passe en revue l'hébergeur, le DNS, la diffusion du contenu et la messagerie.

Ce que cette vérification ne dit pas

Par Quentin Mathis, Z29K · mis à jour le 25 septembre 2026