Expertises des Systèmes d'information - Septembre 2021 - N°471 - Le mensuel du droit de l'informatique et du multimédia - 304

DOCTR INE
Nouvelles clauses,
quelles modifications ?
Modifications de forme.
Pour plus de lisibilité et de praticité
dans l'utilisation des nouvelles
CCT, la Commission européenne
a abandonné l'existence de différents
textes au profit d'un socle
unique de clauses génériques,
complété d'une approche modulaire
selon la qualification des
acteurs parties au transfert.
En effet, si les précédentes CCT
se bornaient à régir deux types
de transferts, ce n'est plus le cas
aujourd'hui, la Commission ayant
voulu tenir compte « de l'évolution
des technologies » ayant pour
conséquences « des nouvelles
opérations de traitement plus
complexes qui impliquent souvent
de multiples importateurs et exportateurs
de données, des chaines de
traitement longues et complexes
et des relations commerciales en
évolution constante ».
Les nouvelles clauses couvrent
donc les transferts de données
ayant lieu :
■ entre deux responsables de
traitements (module 1),
■ d'un responsable du traitement
à un sous-traitant (module 2),
■ d'un sous-traitant à un
sous-traitant ultérieur (module
3),
■ d'un sous-traitant à un responsable
du traitement (module 4).
Les CCT comprennent également
trois annexes à compléter, sous le
même système modulaire, afin de
préciser les détails des traitements
de données faisant l'objet du
transfert.
Devront notamment être décrits :
l'identité des parties, la fréquence
des transferts, la durée de conservation
des données, les transferts
ultérieurs ou encore la ou les
autorités de contrôle compétente.
Modifications de fond
Portée géographique. La Commission
européenne a élargi la portée
géographique des clauses contractuelles
à tous les
304
de traitement ou sous-traitants non
situés dans l'Union européenne,
mais traitant des données à caractère
personnel de personnes situées
dans l'EEE dans le cadre soit de leur
offre de biens ou de services, soit du
suivi de leur comportement dans
l'EEE.
À titre d'exemple, une entreprise
américaine qui ne dispose pas
d'établissement dans l'Union
européenne décide de vendre
ses produits aux consommateurs
français
via
son site
internet
disponible en français et de
confier la livraison à un distributeur
en France. Bien que la société
ne soit pas basée dans l'Union
européenne, le fait que son site
internet soit disponible en français
et que la livraison soit effectuée
par des entreprises françaises
rend applicables les exigences du
RGPD et l'application des clauses
contractuelles types entre l'entreprise
américaine et le distributeur
français.
Renforcement de la transparence visà-vis
des personnes concernées.
La Commission a également souhaité
renforcer la transparence du
traitement en offrant la possibilité
à toute personne concernée (i) de
recevoir gratuitement une copie
des clauses contractuelles types,
annexes comprises, et même d'être
informée de l'existence de ce droit,
(ii) d'être informée des catégories
de données à caractère personnel
traitées, mais également (iii) de
tout transfert ultérieur. En pratique,
les entreprises pourront indiquer,
au travers de leur politique
de
protection
des
données,
que des clauses contractuelles
types ont été conclues avec des
responsables de traitement ou
des sous-traitants et fournir une
adresse
email
de
contact
par
responsables
laquelle les personnes concernées
pourront adresser une demande de
copie de ces clauses.
Concernant le détail des traitements
référencés dans les annexes,
la Commission précise que dans
un objectif de protection du secret
des affaires ou d'autres informations
confidentielles, l'exportateur
EXPERTISES SEPTEMBRE 2021
pourra occulter une partie du texte
de l'annexe avant d'en communiquer
une copie aux personnes
concernées. Il est précisé que
dans tous les cas, la personne
concernée devra être en mesure de
comprendre le contenu ou d'exercer
ses droits et sera informée des
motifs des occultations « dans la
mesure du possible ».
Clause d'adhésion. La clause
d'adhésion est
l'une des grandes
nouveautés de ces nouvelles CCT.
Précédemment, chaque relation
contractuelle devait faire l'objet
de la signature d'un jeu de CCT
distinct. Par exemple, si un responsable
de traitement situé dans l'EEE
transférait ses données à caractère
personnel à un responsable du
traitement situé en dehors de l'UE,
un premier jeu de CCT devait être
signé. Si dans l'intervalle, le responsable
du traitement situé dans
l'EEE transférait, pour le même
traitement, ces mêmes données à
un sous-traitant situé en dehors de
l'UE, alors un nouveau jeu de CCT
devait être signé.
Les nouvelles CCT sont donc
conçues pour pouvoir être utilisées,
en tant qu'accord multipartite, par
plus d'une partie en tant qu'exportateurs
et/ou importateurs
de données dès la signature du
contrat, et permettent à de nouvelles
parties d'y adhérer au fil du temps,
en complément des signataires
initiaux.
Tout nouveau responsable du traitement
ou sous-traitant, qui n'est
initialement pas partie aux CCT
et ayant un lien avec le transfert
de données mentionné en objet
des CCT, pourra avec l'accord des
parties, y adhérer à tout moment,
soit en tant qu'exportateur de
données soit en tant qu'importateur
de données, en remplissant
l'appendice et en signant l'annexe
I.A.b). Une fois l'appendice rempli
et l'annexe signée, l'entité adhérente
deviendra partie aux CCT et
disposera des droits et obligations
qui lui seront applicables selon sa
désignation.
Expertises des Systèmes d'information - Septembre 2021 - N°471 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Septembre 2021 - N°471 - Le mensuel du droit de l'informatique et du multimédia
