La Commission européenne a publié, vendredi 13 novembre, deux projets de décision destinés à mettre à jour les clauses contractuelles types à la lumière du règlement général sur la protection des données (2016/679). L'un porte sur le traitement de données personnelles par un sous-traitant, l'autre sur les clauses contractuelles liées au transfert de données personnelles vers des pays tiers.
Ces propositions peuvent être commentés pendant 4 semaines, jusqu'au 10 décembre (feedback mechanism). Jusqu'ici, une dizaine de commentaires ont été soumis par les parties prenantes.
Conséquences de l'arrêt Schrems II
Lors de son intervention devant les députés en septembre, le commissaire à la Justice, Didier Reynders, avait indiqué qu'il travaillait à cette modernisation depuis de nombreux mois (EUROPE 12552/11). Toutefois, l'arrêt Schrems II a rendu ces nouvelles dispositions encore plus nécessaires.
En juillet dernier, la Cour de justice de l'UE a en effet invalidé le bouclier de protection des données ('Privacy Shield') mis en place entre l'Union européenne et les États-Unis au motif que celui-ci n'offrait pas les garanties de protection nécessaires (EUROPE 12529/2). Elle a par ailleurs affirmé que le transfert de données personnelles vers des pays tiers devait être interrompu lorsque les exigences des clauses contractuelles types n'étaient pas remplies.
Le projet de décision d'exécution sur les clauses contractuelles types pour le transfert de données personnelles vers des pays tiers modernise les décisions 2001/497/CE et 2010/87/UE. Elle « combine des clauses générales avec une approche modulaire afin de couvrir les différents scénarii de transfert (entre autorités de contrôle et de traitement, NDLR) et la complexité de la chaîne de traitement moderne ».
Transfert vers des pays tiers
La clause 3 tire des leçons de l'arrêt Schrems II en prévoyant de nouvelles obligations pour l'importateur de données soumis à une demande d'accès de la part de son gouvernement. Ainsi, celui-ci devrait informer rapidement l'exportateur de données (et, lorsque cela est possible, la personne à qui appartiennent les données) quand il reçoit une demande contraignante d'accès ou quand il est au courant d'un accès direct par ledit gouvernement.
S'il n'en a pas le droit en vertu des règles de son pays, l'importateur doit s'engager à faire tout son possible (best efforts) pour obtenir une levée de l'interdiction en vue de communiquer un maximum d'informations. En fonction aussi des règles du pays tiers, l'importateur doit s'engager à fournir à l'exportateur, à intervalles réguliers, un maximum d'informations sur les demandes reçues (nombre de demandes, par qui, type de données demandées...) L'importateur doit aussi s'engager à examiner la légalité de ces demandes et à les contester, si nécessaire.
Le projet de décision, qui s'appliquera dès son adoption, introduit une période de transition d'un an pendant laquelle les anciennes clauses restent valides, à condition que le contrat reste inchangé.
Sous-traitance
Pour la première fois, la Commission propose également de mettre en place des clauses contractuelles types pour les contrats entre les responsables du traitement et les sous-traitants situés dans l'UE. Ces nouvelles clauses doivent être lues au regard du RGPD et du règlement 2018/1725 sur le traitement des données à caractère personnel par les institutions et organes de l’UE.
Liens vers les projets de décision : https://bit.ly/3lOBr89 et https://bit.ly/2ILr5qD (Sophie Petitjean)