Clauses contractuelles types (CCS), un guide complet

Selon le GDPR, pour transférer des données personnelles en dehors de l’Union européenne, vous devez vous assurer que des normes spécifiques de protection des données sont en place. Si ce n’est pas le cas, les transferts ne sont pas autorisés.

Toutefois, pour rendre les transferts possibles, il existe plusieurs bases juridiques sur lesquelles vous pouvez vous appuyer. L’une d’entre elles est constituée par les clauses contractuelles types (CCS).

Dans ce petit guide, nous vous expliquons tout ce que vous devez savoir sur les clauses contractuelles types, dans quels cas vous pouvez avoir besoin de recourir aux CCS et ce que vous devez faire pour transférer des données en dehors de l’UE.

Quelles sont les clauses contractuelles types ?

Les clauses contractuelles types (CCS) sont des clauses standardisées, approuvées par la Commission européenne, qui permettent les transferts de données en dehors de l’Espace économique européen (EEE).

Les deux parties impliquées dans le transfert doivent signer un accord contenant les clauses contractuelles types, sans en modifier le texte. Comme l’indique la Commission européenne, les CSC peuvent être ajoutées dans tout « arrangement contractuel » entre les parties.

Quand les clauses contractuelles types sont-elles nécessaires ?

Les CSC ne sont pas toujours nécessaires.

En fait, vous devez d’abord vérifier si une décision d’adéquation est en place. Habituellement, lorsque le niveau de protection des données est identique à celui du GDPR, la Commission européenne émet une décision d’adéquation. Dans ce cas, il n’y a pas besoin de clauses contractuelles types.

Une fois que vous êtes sûr de cet aspect, vous devez également vous assurer que les CCN sont le mécanisme qui s’applique à votre activité. Si c’est le cas, vous devez alors signer un accord contenant des clauses contractuelles types.

Comment puis-je créer un SCC ?

Comme nous l’avons déjà mentionné, vos clauses contractuelles types peuvent être ajoutées à tout accord que vous avez avec la partie à laquelle vous transférez des données, ou elles peuvent constituer un document à part entière.

Créer vos CSC est plus facile que vous ne le pensez, car vous devez suivre strictement le texte proposé par la Commission européenne.

Existe-t-il des alternatives aux CSC ?

Oui, les clauses contractuelles types ne sont pas le seul moyen de transférer des données en dehors de l’EEE, vous avez d’autres possibilités :

• Règles d’entreprise contraignantes (BCR) : politiques de protection des données adoptées par les entreprises multinationales. Les BCRs permettent aux entreprises de transférer des données à l’échelle internationale au sein d’un même groupe de sociétés. Les règles d’entreprise contraignantes sont destinées à un usage interne uniquement, mais l’article 47 du GDPR les mentionne comme une méthode adéquate pour assurer la conformité.
• Dérogations : selon l’article 49 du RGPD, il existe également des cas spécifiques dans lesquels vous pouvez transférer des données personnelles sans aucune garantie. Quoi qu’il en soit, ces dérogations ne s’appliquent qu’à un transfert de données spécifique ou à un ensemble de transferts, et il existe des exigences que vous devez respecter, par exemple :
  • vous avez le consentement explicite de votre utilisateur et vous l’avez informé de tous les risques possibles du transfert ;
  • le transfert est nécessaire à l’exécution d’un contrat ;
  • le transfert est nécessaire pour des raisons importantes d’intérêt public.