[Episode 3] Les transferts hors UE | Les clauses contractuelles types

Minute RGPD

Lors de l’épisode précédent, nous avons parlé des transferts hors UE et décisions d’adéquation. Aujourd’hui nous parlerons des : clauses contractuelles type.

Qu’est-ce que c’est ?

Les clauses contractuelles types ou CCT font partie des fameuses « garanties appropriées » qui permettent à des organismes d’encadrer leurs transferts hors UE. Comme le nom l’indique il s’agit de clauses qui peuvent être insérées dans un contrat plus large (un contrat de prestation de services par exemple).

Les CCT proviennent actuellement de la Commission européenne : vous pouvez donc les télécharger, les compléter et les utiliser tel quel.

Elles permettent d’encadrer les transferts :

Entre plusieurs responsables de traitement
Entre responsable de traitement et sous-traitant, OU entre sous-traitant et responsable de traitement
Entre sous-traitants

Que se passe-t-il si vous les modifiez ?

Si vous modifiez le contenu des CCT, il faudra demander une autorisation à l’autorité de contrôle (comme la CNIL) pour que vos clauses modifiées soient bien considérées comme des garanties appropriées. A défaut, des clauses non validées ne pourront pas encadrer vos transferts !

Où trouver les CCT ?

Sur le site de la commission européenne ou même celui d’une autorité de contrôle !

Attention !

La Commission européenne a publié de nouvelles clauses contractuelles types en juin 2021 et sont utilisables depuis le 27 juin 2021.

A partir du 27 septembre 2021 les anciennes clauses contractuelles seront caduques : c’est-à-dire qu’il ne faudra plus les utiliser.
Par contre les contrats utilisant les anciennes clauses resteront valables jusqu’au 27 décembre 2022.
Après cette date, il faudra s’assurer que tous vos contrats sont à jour avec les nouvelles CCT !

Alors n’attendez pas ! Mettez à jour vos contrats !

https://www.cnil.fr/fr/transfert-de-donnees-les-clauses-contractuelles-types-cct-de-la-commission-europeenne

Nos autres actualités sur le sujet

Minute RGPD

[Episode 1] Les transferts hors UE

Dans le nom complet du “RGPD” se cache “la libre circulation” des données… Mais question transferts hors UE… cette circulation n’est pas si libre que ça.