Le transfert de données à caractère personnel vers un pays tiers constitue un traitement de données qui est encadré par le RGPD. Pour être légalement admissible, l’importateur et l’exportateur de données doivent respecter les dispositions du Chapitre V du RGPD pour transférer les données souhaitées (Article 44 du RGPD). L’exportateur et l’importateur des données, pour que le transfert soit licite, peuvent soit (i) fonder celui-ci sur une décision d’adéquation de la Commission européenne, (ii) sur des règles d’entreprise contraignantes ou encore (iii) convenir entre eux de mettre en place des garanties appropriées.
Parmi les garanties appropriées envisageables, l’importateur et l’exportateur de données peuvent s’engager contractuellement à respecter les « clauses contractuelles types » (CCT) adoptées par la Commission européenne (Article 46, c) du RGPD). Les importateurs et exportateurs de données utilisent souvent de telles clauses pour réaliser des transferts vers des pays tiers, qui sont considérés comme licites si les parties respectent les CCT.
Seulement, en juillet 2020, la Cour de justice a indiqué dans l’arrêt « Schrems II » que l’utilisation des clauses contractuelles types (CCT) pouvait, selon la législation applicable dans le pays de destination des données, ne pas être suffisant pour légitimer le transfert de données à caractère personnel et que l’importateur et l’exportateur de données devaient procéder à une évaluation afin de déterminer si la mise en place des garanties supplémentaires était nécessaire pour assurer un niveau de protection effectif pour les données transférées.
Suite au prononcé de cet arrêt, la Commission a entamé un travail d’actualisation des clauses contractuelles types de manière à mettre au point de nouveaux modèles de clauses destinés à remplacer les anciens modèles. Ces nouveaux modèles de clauses contractuelles ont été publiés par la Commission il y a quelques mois et sont disponibles via l’hyperlien suivant : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32021D0914&qid=1632831214923.
Un temps d’adaptation de trois mois a été accordé pour permettre aux exportateurs et importateurs de données d’utiliser, au choix, soit les anciens modèles, soit les nouveaux modèles adoptés par la Commission. Depuis ce 27 septembre 2021, ce régime transitoire n’est plus applicable et les anciens modèles de clauses sont abrogés (la décision 2001/497/CE et la décision 2010/87/UE)
Cela implique que les anciens modèles de clauses ne peuvent plus être utilisés par les exportateurs et les importateurs pour fonder les transferts de données à caractère personnel envisagés dans de nouveaux contrats. Seuls les modèles repris en annexe de la Décision 2021/914 offrent désormais des garanties appropriées au sens de l’article 46 du RGPD.
Pour les conventions conclues avant le 27 septembre 2021 dans lesquelles d’anciens modèles de clauses contractuelles types sont insérés, une période transitoire de 15 mois est prévue durant laquelle les transferts pourront encore être fondés sur les anciens modèles. Passée cette date, les importateurs et exportateurs ne pourront plus réaliser de transfert sur base des anciens modèles.
L’utilisation de ces nouveaux modèles ne dispensent pour autant pas l’importateur et l’exportateur d’évaluer si il est nécessaire de mettre des garanties supplémentaires en place, et de procéder à une évaluation de la législation du pays de destination pour s’assurer que les clauses contractuelles types pourront sortir leurs effets (voir notamment l’article 14 des modèles).
Par conséquent, depuis le 27 septembre, il importe :
- D’utiliser les nouveaux modèles de clauses contractuelles types pour les nouveaux contrats conclus.
- Pour les contrats en cours d’exécution, vérifier si des transferts devront être encore exécutés après la période transitoire. Si tel est le cas, l’importateur et l’exportateur disposent de quinze mois pour mettre à jour les clauses contractuelles types ou trouver un autre outil de transfert.
- De s’assurer que la législation du pays de destination ne met pas en péril l’application des clauses contractuelles types ; auquel cas (i) des garanties supplémentaires doivent être prévues pour pallier ces risques ou (ii) le transfert ne doit pas être exécuté.
Guillaume Pomes
