Eco
Avancées et limites des nouvelles clauses contractuelles types
Par La rédaction, publié le 10 septembre 2021
À partir de septembre, de nouvelles clauses contractuelles types s’appliqueront pour les transferts de données vers un pays tiers à l’Union européenne. Peuvent-elles enfin répondre à l’ensemble des questions et des obligations des responsables de traitements ?
Par Me Pierre-Randolph Dufau
Avocat à la cour, fondateur de la SELAS PRD avocats
Conformément à l’article 46 du RGPD, en l’absence de décision d’adéquation de la Commission européenne, « le responsable du traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers un pays tiers que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives ». Ces garanties peuvent être fournies par des clauses types de protection des données adoptées par la Commission.
Par une décision exécutoire du 4 juin 2021, la Commission a mis à jour les clauses contractuelles types (CCT) qui combinent des dispositions générales et une approche modulaire tenant compte des différents scénarii de transfert, et de la complexité des nouvelles chaînes de traitement.
En premier lieu, les nouvelles clauses contractuelles types sont étendues à des situations de traitement et de transfert supplémentaires. À l’instar des anciennes clauses, elles couvrent d’une part les transferts entre responsables de traitement UE et responsables de traitement non UE, d’autre part les transferts de responsables de traitement UE à des sous-traitants non UE. S’y ajoutent deux nouvelles situations : les transferts de sous-traitants UE à des responsables de traitement non UE ; et les transferts entre sous-traitants UE et sous-traitants non UE.
Les nouvelles clauses contractuelles types ont par ailleurs été assouplies en ce qui concerne, par exemple, le nombre de parties pouvant adhérer au contrat, ou encore l’adhésion de responsables du traitement et de sous-traitants supplémentaires aux clauses contractuelles types en qualité d’exportateurs ou d’importateurs de données tout au long du cycle de vie du contrat, au-delà des signataires initiaux.
Enfin, à la lumière de la jurisprudence de la CJUE dans son arrêt du 16 juillet 2020 (dit Schrems II), la Commission rappelle que « le transfert et le traitement de données à caractère personnel au titre des clauses contractuelles types ne devraient pas avoir lieu si la législation et les pratiques du pays tiers de destination empêchent l’importateur de données de respecter les clauses ».
Ainsi, les nouvelles CCT permettent de poser un cadre du transfert de données personnelles vers un pays tiers reflétant la réalité opérationnelle de la généralisation de nouveaux traitements plus complexes et de leurs environnements.
Cependant, elles ne suffisent pas, à elles seules, à répondre aux obligations de conformité des responsables de traitements, dont le devoir porte dorénavant également sur la prise en compte de la législation et des pratiques du pays tiers de destination des transferts de données.
Si l’on peut se féliciter de cette responsabilisation globale des échanges de données et de la sécurité qu’elle apporte, force est de constater que, de nouveau, la conformité au RGPD exige un renforcement du formalisme et la documentation des moyens spécifiques appliqués à chaque traitement.
Le compte à rebours pour la mise en conformité est lancé, les nouvelles clauses contractuelles types seront applicables dès le 27 septembre 2021, et seuls les contrats conclus antérieurement bénéficieront d’une période transitoire de validité de 18 mois.
