Nouvelles clauses contractuelles types pour les transferts de données hors UE
De nouvelles clauses contractuelles types ont été adoptées par la Commission européenne le 4 juin 2021. Elles sont accessibles à l’aide du lien suivant : EUR-Lex - 32021D0914 - FR - EUR-Lex (europa.eu). Il s’agit du mécanisme le plus fréquemment utilisé par les acteurs européens transférant des données à caractère personnel en dehors de l’Espace économique européen (EEE) afin de garantir que ledit transfert repose sur des garanties appropriées comme l’exige le RGPD. En pratique les transferts de données à caractère personnel d’entreprises européennes en dehors de l’EEE sont fréquents, ne serait-ce car l’utilisation de nombreux logiciels et services informatiques (notamment cloud, vidéoconférence, réalisation de statistiques sur l’utilisation du site internet) implique régulièrement un tel transfert.
Les nouvelles clauses contractuelles types sont entrées en vigueur le 27 juin 2021 et les anciennes clauses contractuelles types seront abrogées le 27 septembre 2021. Jusqu'à cette date, les acteurs européens ont théoriquement le choix et peuvent utiliser pour les transferts de données hors EEE les anciennes comme les nouvelles clauses contractuelles types. Toutefois, comme les nouvelles clauses prennent en compte les évolutions liées à la jurisprudence la plus récente de la CJUE, il est recommandé d'utiliser les nouvelles clauses contractuelles types dès à présent.
Les contrats conclus avant le 27 septembre 2021 sur la base des anciennes clauses contractuelles types devront être mis à jour et intégrer les nouvelles clauses contractuelles types d’ici au 27 décembre 2022.
Les nouvelles clauses contractuelles types couvrent, à l’instar des anciennes clauses :
- les transferts entre responsables de traitement EEE et responsables de traitement hors EEE ;
- les transferts entre responsables de traitement EEE et sous-traitants hors EEE.
Elles intègrent également deux nouvelles situations :
- les transferts entre les responsables du traitement et les sous-traitants dans l’EEE;
- les transferts entre sous-traitants EEE et sous-traitants hors EEE.
En pratique :
Il est conseillé de vérifier dès à présent si votre société transfère des données à caractère personnel à des entités hors de l’Espace économique européen (y compris des sociétés du même groupe) et le cas échéant, quelles garanties ont été mises en place en termes de protection des données. Dans la mesure où les nouvelles clauses contractuelles types laissent une plus grande marge de manœuvre aux parties, leur mise en œuvre va donner lieu à des négociations entre celles-ci. Pour cette raison, il semble préférable de commencer dès à présent à mettre à jour les contrats se basant sur les anciennes clauses contractuelles types, sans attendre l’écoulement de al période transitoire de 18 mois prévue à cet effet.
14.07.2021
