<\/p>\n
Si une entreprise souhaite transf\u00e9rer des donn\u00e9es \u00e0 caract\u00e8re personnel vers un pays tiers en dehors de l'Union europ\u00e9enne ou de l'Espace \u00e9conomique europ\u00e9en, elle a besoin, en plus de la base juridique pour le traitement des donn\u00e9es, d'une garantie de protection des donn\u00e9es pour le transfert de donn\u00e9es. En l'absence d'une d\u00e9cision d'ad\u00e9quation de la Commission europ\u00e9enne, les clauses contractuelles types de l'UE, \u00e9galement connues sous le nom de clauses standard de protection des donn\u00e9es de la Commission europ\u00e9enne (en abr\u00e9g\u00e9 \"SCC\" pour Standard Contractual Clauses), sont donc utilis\u00e9es depuis des ann\u00e9es. Ces documents, qui ont maintenant 25 ans, ont \u00e9t\u00e9 mis \u00e0 jour.<\/strong><\/p>\n Cet article a pour but de r\u00e9pondre aux questions qui se sont pos\u00e9es dans ce contexte et d'offrir ainsi une aide pour une utilisation des nouvelles clauses conforme \u00e0 la protection des donn\u00e9es.<\/p>\n <\/p>\n Si vous avez d'autres questions ou si vous avez besoin d'aide pour effectuer les adaptations n\u00e9cessaires, n'h\u00e9sitez pas \u00e0 nous contacter.<\/p>\n <\/p>\n <\/p>\n D\u00e8s qu'une entreprise, en tant que responsable du traitement et\/ou sous-traitant, transf\u00e8re des donn\u00e9es \u00e0 caract\u00e8re personnel vers un pays dit \"tiers\", des garanties de protection des donn\u00e9es \u00e0 caract\u00e8re personnel sont n\u00e9cessaires conform\u00e9ment aux articles 44 et suivants du RGPD. RGPD, des garanties appropri\u00e9es pour la protection de ces donn\u00e9es sont n\u00e9cessaires afin d'assurer que le niveau de protection des donn\u00e9es des personnes physiques garanti par le RGPD ne soit pas compromis.<\/p>\n Dans la mesure o\u00f9 il n'existe pas de d\u00e9cision d'ad\u00e9quation de la Commission europ\u00e9enne pour le pays tiers, les CCN seront le plus souvent un \u00e9l\u00e9ment essentiel \u00e0 cet effet.<\/p>\n Comme l'a clairement montr\u00e9 l'arr\u00eat Schrems II de la Cour de justice des Communaut\u00e9s europ\u00e9ennes (arr\u00eat du 16.07.2020, affaire C 311\/18), les dispositions des articles 44 et suivants du RGPD ne sont pas suffisantes. RGPD ne suffisent toutefois pas \u00e0 eux seuls. Il convient plut\u00f4t de se pencher sur la situation en mati\u00e8re de protection des donn\u00e9es dans le pays destinataire et d'examiner et de d\u00e9terminer quelles autres mesures techniques et organisationnelles (cryptage, anonymisation, pseudonymisation) sont n\u00e9cessaires en plus pour chaque cas.<\/p>\n L'un des r\u00e9sultats possibles d'une telle \u00e9valuation des risques peut \u00e9galement \u00eatre la d\u00e9cision de ne pas proc\u00e9der au transfert de donn\u00e9es pr\u00e9vu et de trouver \u00e0 la place une solution europ\u00e9enne.<\/p>\n <\/p>\n Les anciennes clauses contractuelles types datent de 1996. Les nouvelles CSC ont d\u00e9sormais \u00e9t\u00e9 adapt\u00e9es au texte et aux exigences du RGPD.<\/p>\n Les nouveaux CCC ont une structure modulaire et offrent beaucoup plus de possibilit\u00e9s d'adaptation individuelle, mais aussi plus de travail avant de pouvoir \u00eatre utilis\u00e9s pour le transfert de donn\u00e9es en question. Alors qu'avec les SCC pr\u00e9c\u00e9dents, le travail d'adaptation s'arr\u00eatait g\u00e9n\u00e9ralement au moment o\u00f9 les donn\u00e9es relatives aux deux parties contractantes \u00e9taient compl\u00e9t\u00e9es, avec les nouveaux SCC, c'est seulement \u00e0 ce moment-l\u00e0 que commence la r\u00e9daction proprement dite des clauses contractuelles.<\/p>\n Dans les nouvelles CCN, pour la premi\u00e8re fois, d'autres entit\u00e9s peuvent adh\u00e9rer \u00e0 un contrat conclu sur la base des clauses contractuelles types en tant qu'importateurs ou exportateurs de donn\u00e9es.<\/p>\n Jusqu'\u00e0 pr\u00e9sent, il manquait des clauses pour la constellation \"sous-traitant et sous-traitant ult\u00e9rieur\". Les nouvelles clauses contractuelles types sont modulaires et donc applicables \u00e0 un plus grand nombre de contrats qu'auparavant et incluent \u00e9galement les contrats au niveau des relations de sous-traitance.<\/p>\n Si des prestataires de services traitent des donn\u00e9es sur instruction d'une entreprise, il s'agit alors d'un traitement de commande au sens du RGPD. Dans ce cas, un contrat de sous-traitance (en abr\u00e9g\u00e9 \"CCS\") doit \u00eatre conclu. Les nouvelles clauses contractuelles types correspondent d\u00e9sormais en m\u00eame temps aux exigences d'un contrat de sous-traitance. Cela signifie que si un contrat est conclu sur la base des clauses contractuelles types, il n'est plus obligatoire de conclure un contrat de sous-traitance suppl\u00e9mentaire.<\/p>\n En particulier, les clauses 14 et 15 de la nouvelle CSC contiennent des mesures de s\u00e9curit\u00e9 sp\u00e9cifiques qui correspondent \u00e0 certains des ajouts d\u00e9j\u00e0 propos\u00e9s par les autorit\u00e9s de protection des donn\u00e9es et le Comit\u00e9 europ\u00e9en de protection des donn\u00e9es (\"EDSA\") aux anciennes clauses contractuelles types afin de r\u00e9pondre aux exigences de l'arr\u00eat Schrems II.<\/p>\n Il est d\u00e9sormais heureusement stipul\u00e9 dans les nouvelles CSC que celles-ci pr\u00e9valent et remplacent les \u00e9ventuelles clauses contractuelles ou conditions g\u00e9n\u00e9rales contradictoires (section I, clause 5).<\/p>\n Dans la section II, le chapitre 12 contient des clauses de responsabilit\u00e9 modulaires et \u00e9tablit (avec la r\u00e8gle de la primaut\u00e9 de la CCN) le principe selon lequel la responsabilit\u00e9 des parties contractantes ne peut pas \u00eatre limit\u00e9e, par exemple, par des clauses de non-responsabilit\u00e9 externes dans les conditions g\u00e9n\u00e9rales.<\/p>\n Les parties contractantes peuvent maintenant sp\u00e9cifier dans la section IV (clauses 17 et 18) l'application d'un droit national sp\u00e9cifique et la juridiction comp\u00e9tente (au sein de l'UE). Par exemple, il est possible de sp\u00e9cifier que le droit allemand s'applique m\u00eame si les clauses contractuelles types sont conclues par une filiale en Italie.<\/p>\n Compte tenu des discussions en cours sur les transferts de donn\u00e9es vers les \u00c9tats-Unis ou d'autres pays tiers, l'importateur de donn\u00e9es s'engage notamment, dans la clause 15, \u00e0<\/p>\n Cette obligation peut entra\u00eener des co\u00fbts consid\u00e9rables pour l'importateur de donn\u00e9es (si des d\u00e9cisions de divulgation sont effectivement prises).<\/p>\n Les deux parties s'engagent, \u00e0 la clause 14, \u00e0 avoir d\u00fbment pris en compte, notamment, les aspects suivants :<\/p>\n Ces trois points doivent donc \u00eatre pris en compte, en particulier pour les transferts vers des pays tiers, dans le cadre de l'\u00e9valuation des risques et de la r\u00e9flexion, et cela doit \u00eatre document\u00e9.<\/p>\n Si vous \u00eates en train de n\u00e9gocier un contrat et qu'une ren\u00e9gociation des nouveaux CCC entra\u00eenerait des retards, vous pouvez encore utiliser les anciens CCC jusqu'au 27 septembre 2021. Ceux-ci devraient toutefois \u00eatre remplac\u00e9s par les nouveaux CCC au plus tard le 27 d\u00e9cembre 2022.<\/p>\n \u00c0 partir du 27 septembre 2021, les nouveaux CCN devront \u00eatre utilis\u00e9s sans exception.<\/p>\n <\/p>\n <\/p>\n Pour tous les nouveaux contrats conclus, les nouvelles clauses contractuelles types devront \u00eatre prises en compte \u00e0 partir du 27 septembre 2021. Jusqu'\u00e0 cette date, les anciens CCC pourraient encore \u00eatre utilis\u00e9s, mais ils devraient alors \u00eatre remplac\u00e9s par les nouveaux CCC au plus tard le 27 d\u00e9cembre 2022.<\/p>\n <\/p>\n <\/p>\n Oui, le remplacement des anciens CCN par les nouveaux CCN doit \u00eatre effectu\u00e9 au plus tard le 27 d\u00e9cembre 2022. Dans la mesure o\u00f9 le contrat se termine avant cette date, le remplacement n'est donc pas obligatoire. <\/p>\n <\/p>\n Pour les contrats d\u00e9j\u00e0 existants, le remplacement doit avoir lieu dans les 18 mois, c'est-\u00e0-dire au plus tard le 27 d\u00e9cembre 2022. Si le contrat correspondant ou le traitement prend fin avant cette date, le remplacement n'est donc pas obligatoire.<\/p>\n <\/p>\n <\/p>\n En particulier, si la coop\u00e9ration et l'\u00e9change de donn\u00e9es qui en d\u00e9coule avec le cocontractant doivent se poursuivre au-del\u00e0 du 27 d\u00e9cembre 2022, il convient d'informer le cocontractant des risques juridiques (voir point 3.9) et de s'enqu\u00e9rir des raisons concr\u00e8tes de son refus.<\/p>\n Apr\u00e8s 25 ans de bons et loyaux services, les anciens CCN ne sont plus adapt\u00e9s et ne sont gu\u00e8re en mesure de r\u00e9pondre aux diff\u00e9rentes configurations contractuelles dans un format et une individualit\u00e9 actuels. Les nouvelles CSC r\u00e9pondent mieux aux d\u00e9fis actuels et aident les parties contractantes \u00e0 concevoir des transferts vers des pays tiers conformes \u00e0 la protection des donn\u00e9es. Ainsi, la mise \u00e0 jour des CSC serait dans l'int\u00e9r\u00eat des deux parties.<\/p>\n Si le partenaire contractuel refuse malgr\u00e9 tout, il serait judicieux de r\u00e9\u00e9valuer le maintien de la poursuite de la relation contractuelle en tenant compte des risques suppl\u00e9mentaires qui en d\u00e9coulent pour l'entreprise elle-m\u00eame.<\/p>\n <\/p>\n D\u00e8s qu'un transfert de donn\u00e9es vers un pays en dehors de l'UE \/ de l'EEE doit avoir lieu, les nouveaux CCS doivent \u00eatre conclus entre les parties concern\u00e9es.<\/p>\n Les nouveaux SCC pr\u00e9voient \u00e0 cet \u00e9gard quatre constellations de traitement diff\u00e9rentes (modules), qui doivent \u00eatre s\u00e9lectionn\u00e9es en cons\u00e9quence dans les SCC :<\/p>\n <\/p>\n Les nouveaux SCC sont modulaires et doivent \u00eatre adapt\u00e9s individuellement dans le cadre des modules disponibles.<\/p>\n Aucune autre modification ou suppression ne peut \u00eatre effectu\u00e9e, \u00e0 l'exception de la s\u00e9lection du ou des modules concern\u00e9s ou de l'ajout ou de la mise \u00e0 jour d'informations dans l'annexe.<\/p>\n Mais les clauses contractuelles types peuvent \u00eatre incluses dans un contrat plus large (par exemple en annexe). En outre, d'autres clauses ou garanties suppl\u00e9mentaires peuvent \u00eatre ajout\u00e9es, pour autant qu'elles ne soient pas directement ou indirectement en contradiction avec les autres dispositions de la CCP ou qu'elles ne portent pas atteinte aux droits ou libert\u00e9s fondamentaux des personnes concern\u00e9es, comme par exemple les droits des personnes concern\u00e9es (articles 15-22 et suivants du RGPD).<\/p>\n <\/p>\n <\/p>\n La nouvelle version du SCC est disponible sur https:\/\/eur-lex.europa.eu\/eli\/dec_impl\/2021\/914\/oj?locale=en<\/strong><\/em> est disponible dans toutes les langues europ\u00e9ennes et peut \u00eatre utilis\u00e9 en cons\u00e9quence. Nous vous recommandons d'utiliser la version linguistique que vous utilisez le plus souvent dans votre communication avec la partie contractante concern\u00e9e ou la langue dans laquelle vous avez r\u00e9dig\u00e9 les autres documents contractuels.<\/p>\n Si vous souhaitez utiliser deux versions linguistiques en parall\u00e8le (par exemple, l'anglais pour votre cocontractant au Royaume-Uni et l'allemand pour votre exemplaire), il est judicieux de d\u00e9signer l'un des deux documents qui pr\u00e9vaudra en cas de discussion sur l'interpr\u00e9tation.<\/p>\n <\/p>\n <\/p>\n Comme c'\u00e9tait le cas jusqu'\u00e0 pr\u00e9sent, l'article 13, paragraphe 1, point f), du RGPD exige que soit port\u00e9e \u00e0 la connaissance de la personne concern\u00e9e \"une r\u00e9f\u00e9rence aux garanties appropri\u00e9es ou ad\u00e9quates et \u00e0 la possibilit\u00e9 d'en obtenir une copie ou \u00e0 l'endroit o\u00f9 elles sont disponibles\". Par exemple :<\/p>\n Dans les cas o\u00f9 les donn\u00e9es sont transf\u00e9r\u00e9es en dehors de l'UE, nous avons conclu des clauses contractuelles standard europ\u00e9ennes correspondantes. Vous pouvez nous demander une copie de ces clauses par e-mail \u00e0 SCC-Kopie@unternehmen.de ou les trouver sur notre site web \u00e0 l'adresse www.unternehmen.de\/scc.<\/p>\n <\/p>\n Non. La situation en mati\u00e8re de protection des donn\u00e9es dans le pays destinataire doit \u00eatre \u00e9valu\u00e9e dans le cadre d'une \u00e9valuation des risques obligatoire et des mesures de protection appropri\u00e9es doivent \u00eatre d\u00e9finies sur cette base, ou le traitement des donn\u00e9es ne doit en principe pas avoir lieu, notamment selon l'avis du pr\u00e9sident de la conf\u00e9rence sur la protection des donn\u00e9es.<\/p>\n <\/p>\n\u00a0<\/h3>\n
\u00a0<\/h3>\n
Quand mon entreprise a-t-elle besoin de SCC ?<\/h3>\n
\u00a0<\/h3>\n
\u00a0<\/h3>\n
En quoi les nouveaux SCC sont-ils diff\u00e9rents des anciens ?<\/h3>\n
\n
\n
\u00a0<\/h3>\n
\u00a0<\/h3>\n
Puis-je r\u00e9utiliser les anciens SCC ?<\/h3>\n
\u00a0<\/h3>\n
Combien de temps puis-je utiliser d'anciens SCC ?<\/h3>\n
J'ai un contrat avec d'anciens SCC. Dois-je les remplacer par les nouveaux ?<\/h3>\n
\nEn cas de modification pertinente du contrat, l'exportateur de donn\u00e9es doit imm\u00e9diatement profiter de l'occasion pour remplacer le CCN existant par le nouveau. Par exemple, en cas de sous-traitance d'op\u00e9rations de traitement faisant l'objet du contrat \u00e0 un sous-traitant.<\/p>\n\u00a0<\/h3>\n
Quand dois-je remplacer les anciens SCC par les nouveaux ?<\/h3>\n
\u00a0<\/h3>\n
Que faire si mon contractant ne souhaite pas mettre \u00e0 jour la CSC ?<\/h3>\n
\u00a0<\/h3>\n
\u00a0<\/h3>\n
Avec qui les CCC doivent-ils \u00eatre conclus ?<\/h3>\n
\n
\nTransfert d'un responsable du traitement (dans l'UE) \u00e0 un autre responsable du traitement (dans un pays tiers)<\/li>\n
\nTransfert du responsable du traitement (dans l'UE) au sous-traitant (dans un pays tiers)<\/li>\n
\nTransfert d'un sous-traitant (dans l'UE) \u00e0 un autre (sous-)traitant (dans un pays tiers)<\/li>\n
\nTransfert d'un sous-traitant (dans l'UE) vers le responsable du traitement (dans un pays tiers)<\/li>\n<\/ul>\nPuis-je adapter ou supprimer des clauses dans les CSC ?<\/h3>\n
\u00a0<\/h3>\n
Dans quelle langue dois-je utiliser les nouveaux SCC ?<\/h3>\n
\u00a0<\/h3>\n
Dois-je remettre les nouveaux CSC aux personnes concern\u00e9es ?<\/h3>\n
\u00a0<\/h3>\n
\u00a0<\/h3>\n
Puis-je d\u00e9sormais transf\u00e9rer des donn\u00e9es \u00e0 caract\u00e8re personnel vers des pays tiers, comme les \u00c9tats-Unis, sans mesures suppl\u00e9mentaires, gr\u00e2ce aux nouvelles CCP ? Puis-je renoncer \u00e0 des mesures de protection suppl\u00e9mentaires ?
\n<\/strong><\/h3>\n\u00a0<\/h3>\n
\u00a0<\/h3>\n
Quel risque court mon entreprise si je renonce \u00e0 la CCN ou si je l'utilise mal ?<\/h3>\n