Précis Domat - Droit des données à caractère personnel - 1re - 369

LA CIRCULATION DES DONNÉES
Le Comité européen de la protection des données a publié un document de
. Ce docutravail
sur les modalités de la coopération entre les autorités de contrôle concernées
dans le cadre de l'approbation des règles d'entreprise contraignantes346
ment de travail pointe l'absence de régime propre à l'approbation des règles
d'entreprises contraignantes lorsque plusieurs autorités de contrôle sont concernées
(sans qu'il y ait, par hypothèse, traitement transfrontalier de données). Il propose la
désignation d'une autorité de contrôle chef de file au sens des règles d'entreprises
contraignantes. Dans cet objectif, différents critères d'identification de cette autorité
sont énoncés - tenant notamment à la localisation de l'établissement d'une société
du groupe où sont prises les décisions concernant les moyens et les finalités du traitement
relatif au transfert des données à caractère personnel - permettant au responsable
du traitement ou au sous-traitant à l'initiative des règles d'entreprise contraignantes
de proposer la désignation d'une autorité de contrôle « chef de file »347
Concernant la procédure applicable, le comité propose de s'inspirer de la pro.
cédure
applicable aux traitements transfrontaliers de données et reposant sur des
échanges d'information entre les autorités de contrôle concernées et sur la recherche
d'un consensus concernant le projet d'approbation des règles d'entreprise
contraignantes avant la transmission de celui-ci au Comité européen de la protection
des données.
c) Les clauses types de protection des données
613 Portée. - L'application de clauses types permet d'offrir des garanties appropriées
aux personnes concernées348
. Rappelons néanmoins que l'application de
clauses types par le responsable du traitement ou le sous-traitant n'est pas à elle
seule suffisante pour permettre le transfert des données, encore faut-il plus
largement que les personnes concernées bénéficient d'un niveau de protection substantiellement
équivalent, ce qui oblige l'exportateur des données à évaluer les
éléments pertinents du système juridique du pays de destination pour s'assurer
que le niveau de protection est bien garanti, spécialement en cas d'accès des autorités
publiques de ce pays tiers aux données transférées349
. Le responsable du
traitement peut d'ailleurs être amené à adopter des mesures supplémentaires pour
assurer une équivalence du niveau de protection350
.
614 Limites. - Cette position a été formulée par la Cour de justice dans l'arrêt
Schrems II à propos des clauses types utilisées par Facebook pour transférer des
données à caractère personnel vers les États-Unis351
. De cet arrêt, la décision d'adéquation
Privacy Shield ayant été invalidée en raison de l'absence d'un niveau de
■ 346. G29, Working Document Setting Forth a Co-Operation Procedure for the approval of " Binding
Corporate Rules " for controllers and processors under the GDPR, WP 263 rev. 01, 16 avr. 2018, endossé
par le CEPD.
■ 347. G29, Working Document Setting Forth a Co-Operation Procedure for the approval of " Binding
Corporate Rules " for controllers and processors under the GDPR, préc., p. 3.
■ 348. RGPD, art. 46 § 2, c.
■ 349. CJUE, 16 juill. 2020, nº C-311/18, préc., pts. 134 et 135.
■ 350. CJUE, 16 juill. 2020, nº C-311/18, préc., pt. 133.
■ 351. CJUE, 16 juill. 2020, nº C-311/18, préc., pt. 134.
Deuxième partie : Les règles générales
369

Précis Domat - Droit des données à caractère personnel - 1re

Table des matières de la publication Précis Domat - Droit des données à caractère personnel - 1re