Clauses contractuelles types dans l'UE pour les transferts vers des pays tiers

Clauses contractuelles types

Si une entreprise veut données à caractère personnel vers un pays dit « tiers » situé en dehors de l'Union européenne ou de l'Espace économique européen, il est nécessaire, outre la base juridique du traitement des données, de disposer d'une garantie en matière de protection des données pour ce transfert. En l'absence d'une Décision d'adéquation La Commission européenne souffre donc depuis des années déjà d'un manque deClauses contractuelles types, également connues sous le nom de „ clauses contractuelles types “ de la Commission européenne (ou « SCC » en abrégé, pour « Standard Contractual Clauses »). Ces documents, qui datent désormais de 25 ans, viennent d'être mis à jour.

Cet article a pour but de répondre aux questions qui se sont posées dans ce contexte et d'offrir ainsi une aide pour une utilisation des nouvelles clauses conforme à la protection des données.

Si vous avez d'autres questions ou si vous avez besoin d'aide pour effectuer les modifications nécessaires, n'hésitez pas à nous contacter.

Quand mon entreprise a-t-elle besoin de SCC ?

Dès lors qu'une entreprise, en tant que responsable du traitement et/ou en tant que sous-traitant données à caractère personnel ont été transférées vers un „ pays tiers “ au sens des articles 44 et suivants du RGPD des garanties appropriées nécessaires à la protection de ces données afin de garantir que le niveau de protection des données des personnes physiques prévu par le RGPD ne soit pas compromis.

À moins qu'il n'existe, pour ce pays tiers, aucun Décision d'adéquation de la Commission européenne, les SCC constitueront généralement un élément essentiel à cet égard.

Comme le soi-disant Schrems II de la Cour de justice des Communautés européennes (arrêt du 16.07.2020, affaire C 311/18), les dispositions des articles 44 et suivants du RGPD ne sont pas suffisantes. RGPD ne suffisent toutefois pas à elles seules. Il convient plutôt de se pencher sur la situation en matière de protection des données dans le pays destinataire et d'examiner et de déterminer quelles autres mesures techniques et organisationnelles (Cryptage, Anonymisation, Pseudonymisation) qui sont en outre nécessaires dans chaque cas.

Une telle évaluation des risques peut également aboutir à la décision de ne pas procéder au transfert de données prévu et de rechercher plutôt une solution européenne.

En quoi les nouveaux SCC sont-ils différents des anciens ?

Les précédents Clauses contractuelles types datent de 1996. Les nouvelles CSC ont désormais été adaptées au texte et aux exigences du RGPD.

Les nouvelles SCC présentent une structure modulaire et offrent nettement plus de possibilités de personnalisation, mais nécessitent également davantage de travail avant de pouvoir être utilisées pour le transfert de données concerné. Alors que, pour les SCC précédentes, le travail de personnalisation s’achevait généralement par le renseignement des informations relatives aux deux parties contractantes, c’est à ce moment-là seulement que commence, pour les nouvelles SCC, la rédaction proprement dite des clauses contractuelles.

Dans les nouvelles SCC, d'autres établissements peuvent pour la première fois, sur la base de la Clauses contractuelles types Les États membres peuvent adhérer au contrat conclu avec la Commission européenne en tant qu'importateurs ou exportateurs de données.

Jusqu'à présent, il manquait des clauses concernant la configuration „ responsable du traitement et sous-traitant “. Les nouvelles Clauses contractuelles types sont conçues de manière modulaire, ce qui permet de les appliquer à un plus grand nombre de contrats qu'auparavant, et englobent également les contrats conclus dans le cadre de relations de sous-traitance.

Lorsque des prestataires de services traitent des données sur instruction d'une entreprise, il y a une Traitement des commandes au sens du RGPD. Dans de tels cas, il est nécessaire de conclure ce que l'on appelle un contrat de sous-traitance (ou „ CST “). Les nouvelles Clauses contractuelles types correspondent désormais également aux exigences d'un contrat de sous-traitance. Cela signifie que si un contrat est conclu sur la base de la Clauses contractuelles types est conclu, la conclusion d'un contrat de sous-traitance supplémentaire n'est alors plus obligatoire.

Les clauses 14 et 15 des nouvelles SCC, en particulier, prévoient des mesures de sécurité spécifiques qui correspondent à certains des ajouts déjà apportés par les autorités chargées de la protection des données et le Comité européen de la protection des données (“ CEPD ”) aux anciennes Clauses contractuelles types ont été proposés afin de répondre aux demandes de Schrems II.

Heureusement, les nouvelles SCC précisent désormais que celles-ci prévalent et prévalent sur toute clause contractuelle ou condition générale de vente contradictoire (section I, clause 5).

Dans la section II, le chapitre 12 contient des clauses de responsabilité modulaires et établit en principe (conjointement avec la règle de la primauté de la CSC) que les Responsabilité civile des parties contractantes n'est pas limitée, par exemple, par des clauses de non-responsabilité externes contenues dans les conditions générales.

Les parties contractantes peuvent à présent déterminer dans la section IV (clauses 17 et 18) l'application d'un droit national spécifique et la juridiction compétente (au sein de l'UE). Par exemple, il est possible de définir l'application du droit allemand, bien que la loi allemande ne soit pas applicable. Clauses contractuelles types être fermé par une filiale en Italie.

Compte tenu des débats actuels concernant les transferts de données vers les États-Unis ou d'autres pays tiers, le destinataire des données s'engage, dans la clause 15, notamment à :

• S'efforcer, dans la mesure du possible, d'obtenir la levée de l'interdiction d'informer l'exportateur de données / la personne concernée. L'objectif est de pouvoir communiquer le plus d'informations possible, et ce dans les meilleurs délais. L'importateur de données s'engage donc à documenter les efforts qu'il a déployés afin de pouvoir en apporter la preuve à la demande de l'exportateur de données.
• Vérifier la légalité de la demande de divulgation, notamment si celle-ci relève des compétences conférées à l'autorité requérante, et de contester cette demande s’il conclut, après un examen minutieux, qu’il existe des motifs suffisants de croire que la demande est illégale au regard de la législation du pays de destination, conformément aux obligations de droit international en vigueur et aux principes de la „ courtoisie internationale “ (il s’agit ici d’actes, de pratiques et de règles observés dans les relations internationales entre États, en raison de leur souveraineté, au nom de l’amitié, du voisinage et du respect mutuel), la demande est illégale. Dans les conditions susmentionnées, l’importateur de données doit former les recours éventuels. En cas de contestation d’une demande, l’importateur de données obtient des mesures provisoires afin de suspendre l’effet de la demande jusqu’à ce que l’autorité judiciaire compétente se soit prononcée sur son bien-fondé. Il ne divulgue les données à caractère personnel demandées que lorsque cela est requis par les règles de procédure applicables.

Cette obligation peut (dans la mesure où des décisions de remise sont effectivement rendues) entraîner des coûts considérables pour l'importateur de données.

Dans la clause 14, les deux parties contractantes s'engagent à avoir dûment pris en compte, en particulier, les aspects suivants :

• les circonstances particulières de la TransmissionLes données à caractère personnel sont traitées dans le respect des principes de la protection des données, y compris la longueur de la chaîne de traitement, le nombre d'acteurs impliqués et les canaux de transmission utilisés, les transferts ultérieurs de données envisagés, le type de destinataire, la finalité de la collecte, le type de données traitées et la durée de conservation. TraitementLes données à caractère personnel transmises sont enregistrées dans un fichier de données à caractère personnel, les catégories et le format des données à caractère personnel transmises, la branche économique dans laquelle la transmission a lieu, l'emplacement de stockage des données transmises,
• qui, compte tenu des circonstances particulières de la Transmission la législation et les pratiques pertinentes du pays tiers de destination (y compris celles qui imposent la communication de données aux autorités publiques ou autorisent l'accès de ces dernières à ces données), ainsi que les restrictions et garanties applicables,
• toutes les garanties contractuelles, techniques ou organisationnelles pertinentes mises en place pour compléter les garanties prévues par les présentes clauses, y compris les mesures prises au cours de la Transmission et lors de la Traitement de données à caractère personnel dans le pays de destination.

Ces trois points doivent donc être pris en compte, en particulier lors des transferts vers des pays tiers, dans le cadre de l'évaluation des risques et des réflexions menées à ce sujet, et cela doit être consigné.

Puis-je réutiliser les anciens SCC ?

Si vous êtes actuellement en pleine négociation contractuelle et qu'une renégociation des nouvelles SCC risquerait d'entraîner des retards, vous pouvez continuer à utiliser les anciennes SCC jusqu'au 27 septembre 2021. Celles-ci devront toutefois être remplacées par les nouvelles SCC au plus tard le 27 décembre 2022.

À partir du 27 septembre 2021, les nouveaux CCN devront être utilisés sans exception.

Combien de temps puis-je utiliser d'anciens SCC ?

À compter du 27 septembre 2021, tous les nouveaux contrats devront respecter les nouvelles Clauses contractuelles types doivent être pris en compte. D'ici là, les anciennes SCC pourraient encore être utilisées, mais elles devraient alors être remplacées par les nouvelles SCC au plus tard le 27 décembre 2022.

J'ai un contrat avec d'anciens SCC. Dois-je les remplacer par les nouveaux ?

Oui, le remplacement des anciennes SCC par les nouvelles doit avoir lieu au plus tard le 27 décembre 2022. Si le contrat prend fin avant cette date, ce remplacement n'est donc pas obligatoire.
En cas de modifications contractuelles pertinentes, l'exportateur de données devrait saisir immédiatement l'occasion pour remplacer les CCT existantes par les nouvelles. Par exemple, en cas de sous-traitance d'opérations de traitement faisant l'objet du contrat à un sous-traitant ou à un sous-traitant secondaire.

Quand dois-je remplacer les anciens SCC par les nouveaux ?

Pour les contrats déjà existants, le remplacement doit être effectué dans les 18 mois, c'est-à-dire au plus tard le 27 décembre 2022. Si le contrat correspondant ou la Traitement déjà auparavant, un remplacement n'est donc pas obligatoire.

Que faire si mon cocontractant ne souhaite pas mettre à jour la SCC ?

En particulier si la collaboration et l'échange de données qui en découle avec le partenaire contractuel doivent se poursuivre au-delà du 27 décembre 2022, il convient d'informer ce dernier des risques juridiques (voir point 3.9) et de lui demander les raisons concrètes de son refus.

Après 25 ans de bons et loyaux services, les anciennes CCT ne sont plus adaptées à notre époque et ne permettent pratiquement plus de répondre aux différentes configurations contractuelles dans un format actuel et sur mesure. Les nouvelles CCT répondent mieux aux défis actuels et aident les parties contractantes à organiser les transferts vers des pays tiers dans le respect de la protection des données. La mise à jour des CCT serait donc dans l'intérêt des deux parties.

Si le partenaire contractuel s'y refuse néanmoins, il serait judicieux de réévaluer la poursuite de la relation contractuelle en tenant compte des risques supplémentaires qui en découlent pour votre propre entreprise.

Avec qui faut-il conclure les SCC ?

Dès qu'un transfert de données vers un pays situé en dehors de l'UE ou de l'EEE doit avoir lieu, les nouvelles CCT doivent être conclues entre les parties concernées.

Les nouvelles SCC prévoient à cet égard quatre configurations de traitement différentes (modules), qui doivent être sélectionnées en conséquence dans les SCC :

• Module un C2C contrôleur à contrôleur
  Transmission d'un responsable (dans l'UE) à un autre responsable (dans un pays tiers)
• Module deux C2P contrôleur à processeur
  Transmission du responsable du traitement (dans l'UE) au sous-traitant (dans le pays tiers)
• Module trois P2P Processeur à processeur
  Transmission d'un sous-traitant (dans l'UE) à un autre (sous-)traitant (dans un pays tiers)
• Module Quatre Processeur à contrôleur P2C
  Transmission d'un sous-traitant (dans l'UE) au responsable du traitement (dans un pays tiers)

Puis-je adapter ou supprimer des clauses dans les CSC ?

Les nouveaux SCC sont de conception modulaire et doivent être adaptés au cas par cas à l'aide des modules disponibles.

À l'exception du choix du ou des modules concernés ou de l'ajout ou de la mise à jour d'informations figurant en annexe, aucune autre modification ni suppression ne peut être effectuée.

Mais les Clauses contractuelles types peuvent être intégrées dans un contrat plus important (par exemple en tant qu'annexe). De plus, d'autres clauses ou garanties supplémentaires peuvent être ajoutées, à condition qu'elles ne soient pas directement ou indirectement incluses dans le contrat. Opposition sont contraires aux autres règles de la CSC ou portent atteinte aux droits ou libertés fondamentaux des personnes concernées, comme par exemple la Droits des personnes concernées (art. 15-22 et suivants du RGPD).

Dans quelle langue dois-je utiliser les nouveaux SCC ?

La nouvelle version du SCC est disponible sur https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj?locale=en Il est disponible dans toutes les langues européennes et peut être utilisé en conséquence. Nous vous recommandons d'utiliser la version linguistique que vous employez principalement dans vos échanges avec le cocontractant concerné, ou la langue dans laquelle vous avez rédigé les autres documents contractuels.

Si vous souhaitez utiliser deux versions linguistiques en parallèle (par exemple, l'anglais pour l'exemplaire destiné à votre partenaire contractuel au Royaume-Uni et l'allemand pour votre exemplaire), il est judicieux de désigner l'un des deux documents comme faisant foi en cas de litige concernant l'interprétation.

Dois-je remettre les nouvelles clauses contractuelles types aux personnes concernées ?

Comme auparavant, l'article 13, paragraphe 1, point f), du RGPD exige que la personne concernée soit informée „ des garanties appropriées ou adéquates et de la manière d'en obtenir une copie ou de savoir où elles sont disponibles “. Par exemple :

Dans les cas où il y a Transmission Étant donné que les données proviennent de pays situés en dehors de l'UE, nous avons mis en place les mesures appropriées conformes à la législation de l'UEClauses contractuelles types conclues. Vous pouvez nous demander une copie de ces clauses par e-mail à l'adresse SCC-Kopie@unternehmen.de ou les consulter sur notre site web à l'adresse www.unternehmen.de/scc.

Puis-je désormais transférer des données à caractère personnel vers des pays tiers, tels que les États-Unis, en vertu des nouvelles clauses contractuelles types, sans prendre de mesures supplémentaires ? Puis-je renoncer à des mesures de protection supplémentaires ?

Non. Dans le cadre d'une évaluation des risques obligatoire, il convient d'évaluer la situation en matière de protection des données dans le pays destinataire et, sur cette base, de définir des mesures de protection appropriées ; sinon, le traitement des données ne peut être autorisé, notamment selon l'avis de la présidente de la Conférence sur la protection des données, ne peuvent en principe pas avoir lieu.

Quel risque court mon entreprise si je renonce à la CCN ou si je l'utilise mal ?

Outre le risque de Avertissement par des associations d'intérêts et des concurrents (droit de la concurrence) et d'une atteinte à la réputation en cas de couverture médiatique d'un traitement de données non conforme à la protection des données, il existe notamment un risque de sanctions par l'autorité compétente en matière de protection des données. autorité de contrôle sur le site Protection des données.

Les sanctions possibles (art. 58 du règlement d'application de la loi sur la protection des données) comprennent notamment

• la possibilité de mener des enquêtes sous la forme d'audits relatifs à la protection des données,
• de prononcer un avertissement,
• d'ordonner, le cas échéant, que les opérations de traitement soient mises en conformité d'une certaine manière et dans un délai déterminé, conformément aux dispositions légales,
• la suspension de la Transmission d'ordonner le transfert de données à un destinataire situé dans un pays tiers ou à une organisation internationale,
• une restriction temporaire ou définitive de la Traitementy compris une interdiction, et/ou
• en cas de non-respect des dispositions relatives à la Transmission données à caractère personnel à un destinataire situé dans un pays tiers ou à une organisation internationale (articles 44 à 49 du RGPD), une amende pouvant aller jusqu'à 20 000000 EUR ou, dans le cas d’une entreprise ou d’un groupe d’entreprises, jusqu’à 4 % de son chiffre d’affaires annuel total réalisé à l’échelle mondiale au cours de l’exercice précédent, le montant le plus élevé étant retenu.

Lors de la sélection d'une sanction, la autorité de contrôle Il faudra certainement aussi tenir compte du fait qu'il y a eu ou non des efforts pour utiliser correctement les SCC, ou si, malgré une nécessité évidente, on y a complètement renoncé.