Expertises des Systèmes d'information - Septembre 2021 - N°471 - Le mensuel du droit de l'informatique et du multimédia - 302

DOCTR INE
DONNÉES PERSONNELLES
Les nouvelles clauses
contractuelles types de
la Commission européenne
La Commission européenne a adopté le 4 juin 20211
de nouvelles clauses contractuelles types (ci-après
« CCT ») encadrant les transferts de données à
caractère personnel vers des pays tiers à l'Espace
économique européen (« EEE »). La signature de
ces nouvelles CCT ne constituera plus une simple
formalité puisque la Commission européenne, en
raison de l'arrêt Schrems II, a construit un cadre
juridique contraignant pour les parties contractantes
qui devront réaliser un véritable travail de fond
technique, organisationnel et juridique pour assurer
la légalité des transferts de données.
I
l y a 20 ans, la Commission
européenne adoptait la décision
2001/497/CE qui introduisait
« un ensemble alternatif de
clauses contractuelles types pour
le transfert de données à caractère
personnel vers des pays tiers »,
modifiée par la suite en 2004, et
qui permettait de transférer des
données à caractère personnel
d'un État membre de l'Union
européenne vers un pays tiers. Le
transfert de données est défini par
la Cnil comme « toute communication,
copie ou déplacement de
données personnelles ayant vocation
à être traitées dans un pays
tiers à l'Union européenne ».
C'est la directive 95/46/CE relative
à la protection des données à
caractère personnel qui a posé
pour la première fois le principe
selon lequel un transfert de
données ne pouvait avoir lieu
que sous certaines conditions,
302
l'une d'entre elles étant l'adoption
par la Commission de « clauses
contractuelles types » à titre de
garanties suffisantes (article 26 §4).
Ce premier jeu de CCT constituait
donc une garantie suffisante pour
transférer les données à caractère
personnel provenant d'un responsable
du traitement situé dans
l'un des États membres de l'EEE,
vers un autre responsable du traitement
situé dans un pays tiers à
l'EEE.
En 2010, la Commission poursuivait
l'encadrement de ces transferts
en publiant une nouvelle
décision 2010/87/UE qui venait
encadrer les transferts de données
à caractère personnel entre un
responsable du traitement situé
dans l'un des États membres de
l'EEE et un sous-traitant situé dans
un pays tiers à l'EEE n'assurant pas
un niveau de protection adéquat.
EXPERTISES SEPTEMBRE 2021
Le contexte d'adoption
des nouvelles clauses
contractuelles types :
le RGPD et l'arrêt CJUE
Schrems II
Deux évènements majeurs ont
rendu indispensable la mise à jour
des CCT par la Commission européenne.
Dans un premier temps,
l'entrée en vigueur du RGPD le
25 mai 2018 a entraîné la création
de nouvelles obligations pour les
responsables de traitement et les
sous-traitants et une application
extraterritoriale des exigences du
règlement a rendu les anciennes
CCT partiellement obsolètes.
Le second évènement est l'invalidation
du Privacy Shield par la
CJUE le 16 juillet 2020.
Pour comprendre le second
évènement,
il
faut
revenir à la
genèse de l'interdiction des transferts
de données personnelles vers
les États-Unis qui protégeaient

Expertises des Systèmes d'information - Septembre 2021 - N°471 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Septembre 2021 - N°471 - Le mensuel du droit de l'informatique et du multimédia