Vie privée – Nouvelles CCT

Le 27 septembre 2021, la décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021 adoptée dans le sillage
de l'arrêt Schrems II de la CJUE et établissant de nouvelles clauses contractuelles types (CCT) en vertu du RGPD
(Règlement (UE) 2016/679), entre en vigueur. À partir du 27 septembre 2021, ce nouvel ensemble de CCT devra
être utilisé pour instaurer des garanties appropriées en matière de protection des données au sens de l'article 46,
paragraphe 1, du RGPD pour tous les transferts internationaux de données vers des pays qui n'offrent pas un niveau
"adéquat" de protection des données à caractère personnel. Elles remplacent ainsi les anciennes CCT de 2001, 2004
et 2010 fondées sur la directive 95/46 et s’appliquent, évidemment, en l’absence de tout autre mécanisme ou
exception invoqués pour le transfert. Les contrats conclus avant le 27 septembre 2021 et respectant les anciennes
CCT restent toutefois valables jusqu'au 27 décembre 2022.
Pour le reste, les nouvelles CCT doivent être appliquées conformément aux Recommandations 2020/01 émises le
11 novembre 2020 par le Comité européen de la protection des données sur les mesures qui complètent les
instruments de transfert destinés à garantir le respect du niveau de protection des données personnelles de l'UE.
Les nouvelles CCT, qui reposent sur une approche modulaire et non négociable en quatre scénarios, prévoient des
exigences supplémentaires pour garantir l'adéquation et, notamment, l'obligation pour les parties d'assurer des
contrôles supplémentaires en matière de transparence et de notification dans le cadre des demandes d'accès
gouvernementales, et de procéder à une évaluation documentée de la législation du pays tiers pour confirmer que
ces lois n'empêchent pas l'importateur de respecter les conditions des CCT, en tenant compte des circonstances
réelles du transfert et de toute mesure de sauvegarde supplémentaire. Spécialement, les parties doivent garantir
qu'elles n'ont aucune raison de croire que les lois et les pratiques du pays de destination empêchent l'importateur
de se conformer à ses obligations en vertu des nouvelles CCT. Si un changement de loi ne garantit plus l'adéquation,
l'exportateur de données doit suspendre le transfert et peut résilier le contrat.
A noter également l'extension du champ d'application, le système d'adhésion multipartite, les droits directs accordés
aux personnes concernées, le remplacement des accords de traitement des données ou encore le système de
responsabilité mis en place par les CCT.
Les nouvelles CCT ne s'appliquent pas aux transferts du Royaume-Uni hors UE.
L'équipe du cabinet DEL-Law est prête à vous assister pour répondre à ces exigences strictes.

---