La période de transition entre anciennes et nouvelles clauses contractuelles types touche à sa fin. A compter du 28 septembre 2021, il ne sera plus possible de signer l’ancienne version de ces clauses qui resteront cependant en vigueur jusqu’au 27 décembre 2022.
Au 28 décembre 2022, les transferts reposant encore sur l’ancienne version des clauses contractuelles types ne bénéficieront donc plus de fondement légal.
La période de quinze mois à venir doit permettre aux entreprises concernées de se mettre en conformité. Cette mise en conformité repose sur deux axes principaux :
- signature des nouvelles clauses contractuelles types pour tout contrat à venir comprenant un transfert de données personnelles vers un pays tiers à l’Union européenne, et ne bénéficiant pas d’une décision d’adéquation ; et
- rédaction d’un avenant aux contrats conclus antérieurement et comprenant des transferts de données vers un pays tiers lorsque ces transferts reposent sur l’ancienne version des clauses contractuelles types, afin de leur substituer les nouvelles clauses.
Si quinze mois peuvent paraitre suffire à une mise en conformité, les entreprises procédant à de nombreux transferts hors UE doivent tenir compte du temps nécessaire à la rédaction des nouvelles clauses.
Celles-ci ont en effet plus détaillées, et donc plus complexes que leurs précédentes versions.
Parmi les changements principaux introduits par ces nouvelles clauses, on notera :
- L’élargissement des transferts pouvant bénéficier des clauses : sont désormais concernés les transferts de Responsable de traitement à Responsable de traitement, de Responsable de traitement à Sous-traitant, de Sous-traitant à Responsable de traitement et de Sous-traitant principal à Sous-traitant ultérieur ;
- L’introduction d’une clause dite de « docking » permettant à des tiers de s’engager ultérieurement à l’égard des signataires initiaux des clauses et d’être tenus par leurs dispositions ;
- L’ouverture des clauses contractuelles types aux entités situées en dehors de l’Union européenne;
- La prise en compte de l’état de droit dans le pays de destination, et des éventuelles atteintes aux données pouvant en résulter;
- Le renforcement des engagements des parties en matière de responsabilité, notamment s’agissant de la conformité du droit du pays d’exportation des données avec les engagements pris aux termes des nouvelles clauses.
La responsabilité des parties aux clauses étant accrue, et les options à sélectionner étant plus nombreuses, la rédaction des clauses devra nécessiter une plus grande réflexion.
A ces changements s’ajoutent trois annexes pour lesquelles un nombre important d’informations doit être communiqué dont : description des transferts, désignation de l’autorité de contrôle compétente, description, pour les sous-traitants secondaires de l’objet, de la nature et de la durée des transferts qui leur sont confiés, description détaillée et spécifique des mesures de sécurité techniques et organisationnelles mises en œuvre pour protéger les données transférées, liste des sous-traitants de rang 2 de l’importateur de données, lorsque le recours à des sous-traitants de rang 2 fait l’objet d’une autorisation au cas par cas de l’exportateur de données.
Enfin, les nouvelles clauses introduisent également des obligations renforcées pour l’importateur et l’exportateur de données. Ceux-ci doivent garantir n’avoir aucune raison de croire que les lois et réglementations du territoire de destination des données pourraient empêcher le respect par l’importateur de ses engagements.
Les parties devront à ce titre tenir compte des conditions spécifiques du transfert, des pratiques du pays de destination ainsi que des mesures techniques et organisationnelles mises en place par elles.
Cette vérification doit être documentée et mise à disposition des autorités.
La rédaction des nouvelles clauses doit donc démarrer au plus tôt afin de permettre d’aborder sereinement la phase de transition, et l’échéance des anciennes clauses.
Elle sera facilitée par la tenue d’une cartographie claire et à jour des traitements, de la liste des sous-traitants et des flux de données.
Pour toute information ou assistance dans la rédaction des nouvelles clauses, n’hésitez pas à contacter nos équipes.
