La licéité des transferts de données personnelles en dehors de l’Espace économique européen est subordonnée à l’existence d’une décision d’adéquation ou à la mise en place de garanties appropriées entre l’exportateur et l’importateur de données afin que les personnes concernées par les traitements bénéficient d’un niveau de protection équivalent à celui offert par le Règlement général sur la protection des données (RGPD).
Ces garanties peuvent notamment être mises en œuvre à travers l’adoption de Règles d’entreprise contraignantes ou encore de clauses contractuelles types (CCT)1.
La décision de la Cour de justice de l’Union européenne dans l’affaire Schrems II invalidant le Privacy Shields (CJUE, 16 juillet 2020, aff C-311/18) est venue remettre en cause les CCT adoptées par la Commission européenne en 2001 (pour les CCT entre responsables de traitement) et en 2010 (pour celles entre un responsable de traitement et un sous-traitant).
À la suite de cette affaire, la Commission européenne a ainsi adopté, le 4 juin 2021, de nouvelles CCT qui prennent en compte les dispositions du RGPD ainsi que les recommandations du CEPD (Comité européen à la protection des données) relatives aux mesures supplémentaires à mettre en œuvre afin de garantir un niveau de protection adéquat.
Ces nouvelles CCT encouragent notamment les exportateurs de données à mettre en œuvre des mesures techniques et organisationnelles supplémentaires afin de garantir un niveau de protection équivalent à celui du RGPD.
Les CCT adoptées permettent désormais de couvrir l’intégralité des transferts grâce à 4 modules différents : (i) de responsable à responsable de traitement, (ii) de responsable de traitement à sous-traitant, (iii) de sous-traitant à sous-traitant et (iv) de sous-traitant à responsable de traitement.
Ces nouvelles clauses entreront en vigueur le 27 juin prochain. Les CCT de 2001 et 2010 seront quant à elles abrogées le 27 septembre prochain mais continueront à s’appliquer pendant quinze mois pour les contrats conclus avant l’abrogation dans la mesure où les traitements objets de ces clauses restent inchangés.
