Dans le cadre d'une consultation préalable, l'autorité finlandaise a estimé qu'un projet de migration vers un service d'informatique en nuage pour un système d'information pénitentiaire présentait un risque élevé de transferts illicites de données hors de l'Union européenne, malgré les mesures de chiffrement envisagées.

Faits et contexte

L'autorité finlandaise de protection des données a publié un avis rendu dans le cadre d'une consultation préalable concernant un projet de migration vers le nuage de l'Agence des sanctions pénales (Rikosseuraamuslaitos).

L'affaire trouve son origine dans une demande de consultation préalable soumise par l'Agence des sanctions pénales au printemps 2026, relative à la refonte de son système d'information client et à sa migration vers une solution d'informatique en nuage, procédure requise lorsque le traitement envisagé présente un risque élevé que le responsable du traitement ne peut atténuer.

Motifs de la décision

L'autorité a analysé le risque présenté par le traitement envisagé au regard de la législation applicable.

• Risque de transferts illicites de données hors de l'Union européenne : L'autorité a relevé que la loi finlandaise sur la protection des données en matière pénale encadre plus strictement les transferts de données hors de l'Union européenne que ne le fait le RGPD. L'Agence des sanctions pénales avait elle-même identifié dans son analyse que la migration envisagée pourrait entraîner des transferts de données contraires à cette législation spécifique. Bien que l'agence ait prévu des mesures pour réduire ce risque, notamment par des solutions de chiffrement efficaces et des instructions contractuelles au sous-traitant, l'autorité a estimé que ces garanties ne permettaient pas d'écarter le risque résiduel élevé de transferts illicites.

Décision de l'autorité

En conséquence, l'autorité a conclu dans son avis rendu à l'été 2026 que la migration vers le nuage envisagée pour le système d'information client et les transferts de données potentiels qui en découleraient étaient susceptibles d'être contraires à la loi sur la protection des données en matière pénale.

Enseignements

Cette décision rappelle que :

• La législation relative au traitement des données à caractère personnel en matière pénale (transposant la directive (UE) 2016/680) impose des conditions plus strictes pour les transferts de données hors de l'UE que le RGPD.
• Des mesures techniques, telles que le chiffrement, et des instructions contractuelles adressées aux sous-traitants peuvent ne pas être suffisantes pour éliminer un risque élevé de transferts illicites, justifiant le recours à la consultation préalable de l'autorité.
• Les autorités publiques, en particulier celles du secteur de la justice et de la sécurité, doivent faire preuve d'une vigilance particulière lors de la planification de migrations vers des services en nuage susceptibles d'impliquer des transferts de données hors de l'UE.