Si vous gérez des PDF qui contiennent des données personnelles — contrats salariés, dossiers clients, factures avec numéros de SIRET, devis avec coordonnées bancaires — la question de la conformité RGPD n'est pas optionnelle.
Et la réponse est plus nuancée que le badge « conforme RGPD » affiché par la plupart des services en ligne. Voici ce qu'il faut comprendre avant de confier un document sensible à un outil PDF en ligne.
Le RGPD ne s'applique pas où sont vos données — il s'applique à qui les traite
Premier point souvent mal compris : le RGPD s'applique à toute entreprise qui traite des données de personnes situées dans l'Union européenne, peu importe où l'entreprise est établie. Un service PDF en ligne qui s'adresse à des utilisateurs européens doit donc le respecter, qu'il soit européen, américain ou d'ailleurs.
Être « conforme RGPD » est donc un minimum. La vraie question est ailleurs : où vos fichiers sont-ils traités, par qui, et sous quel droit ? Dès que des données personnelles quittent l'Espace économique européen, ou qu'un prestataire soumis à un droit étranger peut y accéder, des règles supplémentaires entrent en jeu.
Schrems II : la décision qui a tout changé en 2020
En juillet 2020, la Cour de justice de l'Union européenne a invalidé le Privacy Shield, l'accord qui encadrait les transferts de données personnelles entre l'UE et les États-Unis. La raison : les programmes de surveillance américains (section 702 du FISA, Executive Order 12333) permettent aux agences de renseignement d'accéder à certaines données, sans voie de recours suffisante pour les Européens concernés.
Concrètement, Schrems II a eu deux conséquences :
- Les transferts vers les États-Unis ne pouvaient plus s'appuyer sur le Privacy Shield.
- Les clauses contractuelles types (CCT, ou Standard Contractual Clauses) restaient utilisables, mais à condition d'évaluer au cas par cas le droit du pays destinataire et, si nécessaire, d'ajouter des mesures supplémentaires (chiffrement dont le destinataire ne détient pas la clé, pseudonymisation, etc.).
Depuis 2023 : le Data Privacy Framework
En juillet 2023, la Commission européenne a adopté une nouvelle décision d'adéquation, le EU-U.S. Data Privacy Framework (DPF). Les entreprises américaines qui y adhèrent peuvent de nouveau recevoir des données personnelles depuis l'UE sans recourir aux clauses contractuelles types.
Ce cadre reste discuté : il a déjà fait l'objet de recours devant la justice européenne, et sa solidité dépend des garanties prévues par le droit américain. Surtout, le DPF encadre les transferts de données : il ne modifie pas le CLOUD Act, qui concerne l'accès des autorités américaines aux données détenues par des entreprises soumises au droit américain, où qu'elles soient stockées.
Le CLOUD Act : l'accès aux données, où qu'elles soient stockées
Voté en 2018, le CLOUD Act (Clarifying Lawful Overseas Use of Data Act) permet aux autorités américaines, dans le cadre d'une procédure judiciaire (mandat, injonction), d'exiger d'un fournisseur de services soumis au droit américain qu'il communique les données en sa possession, sous sa garde ou sous son contrôle — même si elles sont stockées hors des États-Unis, y compris dans un datacenter européen. L'utilisateur concerné n'en est pas forcément informé.
Qui est concerné ?
- Les entreprises américaines et leurs filiales — par exemple Adobe, dont le siège est à San Jose, en Californie ;
- Potentiellement, les données qu'un service non américain confie à un prestataire américain (hébergeur, cloud), puisque ce prestataire est lui-même soumis au droit américain.
Pour savoir où se situe un service donné, une seule méthode fiable : lire sa politique de confidentialité et sa liste de sous-traitants (subprocessors), qui indiquent quels prestataires traitent vos fichiers, et dans quels pays.
Pour un PDF anodin, ce n'est pas un risque concret. Pour un dossier RH, un contrat commercial ou un document juridique, mieux vaut savoir à quelle juridiction vous l'exposez avant de l'envoyer.
Que dit la CNIL ?
Après l'arrêt Schrems II, la CNIL a pris position à plusieurs reprises sur les transferts de données vers les États-Unis. Elle a notamment recommandé que les données les plus sensibles, comme les données de santé, soient confiées à des prestataires qui ne sont pas soumis au droit américain, et appelé l'enseignement supérieur et la recherche à faire évoluer leur usage d'outils collaboratifs américains. En 2022, elle a aussi jugé non conformes des transferts de données liés à un outil américain de mesure d'audience.
Ces prises de position datent d'avant le Data Privacy Framework, mais leur logique reste valable : plus un document est sensible, plus il est prudent de savoir précisément qui peut y accéder.
Comment savoir si un service est vraiment souverain ?
Cinq questions à poser à votre outil PDF actuel (sa politique de confidentialité et sa liste de sous-traitants y répondent normalement) :
- Où les fichiers sont-ils physiquement traités et hébergés ? (pays, et ville si possible)
- L'entreprise, ou sa maison mère, est-elle soumise au droit américain ou à celui d'un autre pays tiers ?
- Quels sont ses sous-traitants (hébergeur, cloud) et sous quel droit opèrent-ils ?
- Y a-t-il un contact identifiable pour les questions de protection des données ?
- Quelle est la durée de conservation exacte des fichiers envoyés ?
Pour PDFly, les réponses sont :
- France (Paris) — un serveur situé dans l'Union européenne
- Belgique — PDFly est un projet belge indépendant, édité par ReDesign
- Pas de cloud américain — un VPS Hostinger, hébergé à Paris
- Oui — contact direct via info@redesignapp.be
- Aucune conservation pour tous les outils disponibles aujourd'hui (rien n'est envoyé). Les outils serveur à venir (OCR, conversions Office, PDF/A…) supprimeront les fichiers immédiatement après traitement
L'argument « navigateur » change la donne
Tous les outils PDF de PDFly disponibles aujourd'hui fonctionnent entièrement dans votre navigateur, grâce aux librairies modernes (pdf-lib, WebAssembly). Vos fichiers ne quittent jamais votre machine.
Cela règle élégamment toute la question RGPD pour ces opérations : il n'y a pas de transfert de données à protéger, donc ni Cloud Act, ni Schrems II, ni clauses contractuelles à invoquer. Vous conservez la totalité de la chaîne de traitement.
C'est le principe de minimisation du RGPD poussé jusqu'au bout : la donnée la mieux protégée est celle qu'on n'envoie pas.
En pratique, comment migrer ?
Si vous utilisez aujourd'hui un service PDF soumis au droit américain et que vous voulez tester une alternative :
- Identifiez vos opérations sensibles : quelles tâches PDF traitent des données personnelles ou confidentielles ?
- Testez l'outil européen pour ces tâches d'abord (fusion, compression, signature)
- Conservez votre outil actuel pour le non-sensible si nécessaire (comme un document marketing public)
- Documentez le changement dans votre registre des traitements RGPD
PDFly est entièrement gratuit : les 12 outils disponibles aujourd'hui (fusion, division, compression, signature…) couvrent l'essentiel des besoins courants, sans inscription, sans publicité et sans cookie de suivi. Les conversions Office, l'OCR et le PDF/A arrivent bientôt — gratuits eux aussi, avec des limites d'usage raisonnables, et traités sur nos serveurs à Paris. Sans Cloud Act, sans transfert hors de l'UE.
Découvrir PDFly pour les professionnels ou tester les outils gratuits maintenant.