Par décision 2021/914/EU en date du 4 juin 2021, la Commission Européenne a adopté de nouvelles clauses contractuelles types ("CCT") en application de l'article 46 du règlement général sur la protection des données (le "RGPD").
Dans cet article, nous examinons ces nouvelles CCT et leurs conditions d'application aux transferts internationaux dans le cadre du RGPD.
L'objet de ces nouvelles CCT
Le RGPD prohibe le transfert de données à caractère personnel vers des pays ou territoires en dehors de l'espace économique européen ("EEE") dès lors qu'ils ne garantissent pas, du moins pour le secteur concerné, un niveau de protection adéquat au sens de l'article 45 du RGPD (i.e. les pays et territoires qui ne bénéficient pas d'une décision d'adéquation de la Commission Européenne) à moins que des "garanties appropriées" au sens de l'article 46 du RGPD aient été mises en œuvre ou qu'une dérogation ne s'applique.
Les CCT sont les "garanties appropriées" les plus utilisées en pratique. Les CCT sont des garanties appropriées car elles suppléent aux faiblesses du droit étranger en imposant au cocontractant étranger des obligations envers les personnes concernées grâce au mécanisme de la stipulation pour autrui, ces dernières pouvant attraire le cocontractant étranger devant les tribunaux d'un pays européen en cas de manquement.
L'entrée en vigueur des nouvelles CCT
La décision 2001/497/EC - telle que modifiée par la décision 2004/915/EC - qui précisait les CCT applicables entre deux responsables de traitement, ainsi que la décision 2010/87/UE, qui précisait les CCT applicables entre un responsable de traitement et un sous-traitant, sont abrogées avec effet au 27 septembre 2021.
En conséquence, tout accord de transfert de données signé à compter de cette date devra contenir les nouvelles CCT.
Les accords de transfert de données contenant les anciennes CCT conclus avant le 27 septembre 2021 seront toutefois réputés continuer d'offrir des garanties appropriées après cette date et jusqu'au 27 décembre 2022, pour autant que les opérations de traitement faisant l'objet du contrat demeurent inchangées et que l'invocation de ces clauses garantisse que le transfert de données à caractère personnel est soumis à des garanties appropriées. Cependant un avenant devra être régularisé au plus tard le 27 décembre 2022.
Le champ d'application des nouvelles CCT
Les nouvelles CCT peuvent être signées :
- entre un responsable de traitement établi dans l'EEE et un responsable de traitement établi dans un pays tiers (relation auparavant traitée par les CCT contenues à la décision 2001/497/CE telle que modifiée par la décision 2004/915/CE)
- entre un responsable de traitement établi dans l'EEE et un sous-traitant établie dans un pays tiers (relation auparavant traitée par les CCT contenues à la décision 2010/87/EU);
- entre un sous-traitant et sous-traitant ultérieur d'un pays tiers (relation non traitée auparavant, les CCT contenues à la décision 2010/87/EU ne pouvant être signées par le sous-traitant principal que s'il était muni d'un pouvoir du responsable de traitement);
- entre un sous-traitant établi dans l'EEE et un responsable de traitement établi dans un pays tiers (relation non traitée auparavant).
Les nouveautés contenues dans ces CCT
Les nouvelles CCT imposent des obligations plus fortes aux responsables de traitement et sous-traitants établis dans des pays tiers, notamment en termes d'information des personnes concernées, de signalement des violations de données à caractère personnel et de transferts ultérieurs en dehors de l'EEE.
Par ailleurs, les parties doivent procéder à une évaluation préalable des règles applicables dans le pays de destination et conclure qu'elles n'ont aucune raison de croire que la législation et les pratiques du pays tiers applicables au traitement des données à caractère personnel par l'importateur de données, notamment les exigences en matière de divulgation de données à caractère personnel ou les mesures autorisant l'accès des autorités publiques à ces données, empêchent l'importateur de données de s'acquitter des obligations qui lui incombent en vertu des CCT. Des mesures supplémentaires peuvent également devoir être prises conformément à l'arrêt Schrems II de la Cour de justice de l'Union européenne. Elles contiennent également une clause d'adhésion (facultative) permettant à de nouvelles parties d'y adhérer.
Les diligences à initier dès à présent
Les sociétés et organisations soumises au RGPD devront (i) adapter leur modèle d'annexe relative au traitement des données à caractère personnel en y intégrant les nouvelles CCT en vue de l'utiliser dans tout nouveau contrat conclu à partir du 27 septembre 2021 et (ii) régulariser un avenant aux fins de modifier tout accord de transfert de données n'intégrant pas les nouvelles CCT d'ici le 27 décembre 2022. Elles devront préalablement cartographier les transferts internationaux de données à caractère personnel et identifier les dispositions mise en place pour les encadrer. Elles devront échanger à ce sujet avec leurs cocontractants (y compris leurs affiliés, leurs prestataires de services, leurs partenaires...), actuels comme futurs, afin de s'assurer de la conformité de la législation et des pratiques applicables à l'importateur et déterminer, le cas échéant, les mesures complémentaires à mettre en œuvre dans le cadre du ou des transfert de données envisagé(s).
Pour toutes questions sur les nouvelles clauses contractuelles types, vous pouvez contacter Danhoé Reddy-Girard ou Clémence Lapôtre.