Le 12 novembre 2020, la Commission européenne a publié le rapport attendu sur l’état d’avancement des travaux. Publication du projet de clauses contractuelles types révisées (PDF avec table des matières)Peu de temps après que l’EDSA a annoncé son Recommandations pour des mesures supplémentaires de protection lors de transmissions transfrontalières a présenté. Les nouvelles clauses sont basées sur une Décision de la Commission européenneLa Commission a également rédigé un rapport sur les clauses contractuelles types, qui contient en quelque sorte les considérants des clauses.
Quelles sont les clauses ?
Il n’existe plus qu’un seul ensemble de clauses standard, et non plus deux ou trois comme auparavant. Elles sont toutefois modulaires et couvrent également des scénarios pour lesquels il manque aujourd’hui des clauses :
- Dispositions généralesLes clauses contiennent tout d’abord, dans une première section, des dispositions générales relatives au champ d’application.
- Dispositions particulièresDans une deuxième section (Sec. II), les clauses contiennent les obligations fondamentales des parties (“Data protection safeguards”). Celles-ci diffèrent tout d’abord en fonction des constellations suivantes :
- Transmission entre Responsable (Module One) ;
- Transmissions d’un Responsable à un Sous-traitant (modules 2), les mêmes clauses pouvant également être utilisées pour un transfert par un sous-traitant de l’EEE à un sous-traitant ultérieur dans un pays tiers (ce qui supposerait aujourd’hui, selon la lecture officielle, la conclusion directe des clauses standard entre le responsable du traitement et le sous-traitant ultérieur) ;
- Transmissions d’un Sous-traitant à un autre Sous-traitant (modules 3) ;
- Transmissions d’un Sous-traitant à un Responsable (modules 4).
- Toujours dans la deuxième section, on trouve d’autres dispositions qui diffèrent en partie selon le module, ainsi sur droit local(tous les modules) ; sur les obligations de l’importateur en cas d’infraction à la législation sur la protection des données (tous les modules) Accès des autorités (tous les modules) ; sur l’utilisation de Sous-processeurs (modules 2 et 3 uniquement) ; Droits des personnes concernées; Protection juridique (modules 1 – 3 uniquement) ; Responsabilité (tous les modules ; non facultatif) ; Indemnisation (tous les modules, pas de différences) et Supervision (tous les modules, pas de différences).
- La troisième section contient Dispositions finales(violation et résiliation ; droit applicable ; juridiction compétente).
- Annexe 1 contient une liste des parties et une description de la transmission.
- Annexe 2 contient une description des mesures techniques et organisationnelles applicables – ici, les Recommandations de l’EDSA sur les mesures Schrems II qui ne sont que partiellement mises en œuvre par le texte des nouvelles clauses). L’annexe 2 cite des exemples de mesures. Par nature, seules les mesures techniques et organisationnelles sont mentionnées, et non les mesures contractuelles d’accompagnement.
Quel est le rapport avec les mesures d’accompagnement Schrems II ?
- Les clauses standard doivent garantir la protection requise par le RGPD. La question de savoir si elles le peuvent dépend du droit local de l’importateur. Par conséquent, les clauses ne peuvent pas être suffisantes et ne légitiment pas un transfert si ce droit local ne permet pas le respect des clauses. L’exportateur doit donc également vérifier les nouvelles clauses, si le droit local est conforme aux exigences:
Le transfert et le traitement de données à caractère personnel en vertu de clauses contractuelles standard ne devraient avoir lieu que si les lois du pays tiers de destination n’empêchent pas l’importateur de données de se conformer à ces clauses. Dans ce contexte, les lois qui respectent l’essence des droits et libertés fondamentaux et qui ne dépassent pas ce qui est nécessaire et proportionné dans une société démocratique pour garantir l’un des objectifs énumérés à l’article 23, paragraphe 1, du règlement (UE) 2016/679 ne devraient pas être considérées comme étant en contradiction avec les clauses contractuelles types.
- Cela exige un examen par rapport à la transmission concrète. S’il s’avère ultérieurement que l’importateur ne peut plus respecter les clauses, les parties doivent examiner des mesures supplémentaires:
Si l’exportateur de données […] se rend compte que l’importateur de données n’est plus en mesure de respecter les clauses contractuelles types, il doit identifier les mesures appropriées pour remédier à la situation, le cas échéant en consultation avec l’autorité de contrôle compétente. Ces mesures peuvent inclure des mesures complémentaires adoptées par l’exportateur et/ou l’importateur de données, telles que technique ou organisationnelle des mesures pour assurer la sécurité et la confidentialité.
- La décision de la Commission européenne ne dit rien d’explicite sur la question de savoir quelle est encore l’importance des clauses standard dans ce cas, mais il ressort clairement du contexte que les clauses standard peuvent certes continuer à s’appliquer dans ce cas, mais uniquement en combinaison avec d’autres mesures. En d’autres termes le problème de Schrems II reste inchangéL’exportateur est tenu de vérifier la conformité des clauses avec le droit local. L’exportateur n’est donc pas plus dispensé de cet examen qu’il ne l’est avec les clauses actuelles. Au contraire, les clauses prévoient des obligations concrètes sur la manière d’évaluer le droit local et les facteurs de risque à prendre en compte (ce dernier point étant toutefois très superficiel), ainsi qu’une obligation de documentation correspondante.
Qui peut conclure les clauses ?
- Les clauses sont à la fois Privé ainsi que Autorités ouvert (Clause 1(b)).
- Troisième peuvent adhérer à des clauses déjà conclues, à condition que les parties soient d’accord (“Docking Clause”, clause optionnelle 6). L’adhésion suppose entre autres que la concrétisation correspondante des transmissions (voir point suivant) soit complétée en conséquence, le cas échéant. La clause 6 précise que l’entreprise adhérente n’assume aucune obligation préexistante du fait de son adhésion.
Comment les clauses doivent-elles être concrétisées ?
- Comme dans le cadre des clauses actuelles, les différents flux de données doivent également être concrétisés dans le cadre des nouvelles clauses standard (clause 5). Les nouvelles clauses ne précisent pas si cela peut se faire uniquement au cas par cas ou de manière générique (par exemple par le biais d’une liste de catégories de données, etc. qui peuvent être échangées dans le cadre de relations intragroupes), mais la première solution devrait s’appliquer.
- La concrétisation correspond en grande partie à l’actuelle annexe B des clauses C2C. Il convient toutefois d’indiquer en plus des mesures de protection particulières pour des catégories spéciales de données personnelles et la durée maximale de conservation.
Que régissent les clauses ?
- Les obligations particulières (Sec. II) règlent notamment les thèmes suivants :
- Respect de la Affectation des fonds par l’importateur (modules 1, 2 et 3) et Obligation de donner des instructions de l’importateur (modules 2, 3 et 4, dans ce dernier cas, engagement de l’exportateur) ;
- Transparence: Les personnes concernées doivent être informées :
- Module 1 (C2C) : par le responsable de l’importation, entre autres sur son identité, les autres fins de traitement et les transmissions ultérieures ; sur demande, copie des clauses) ;
- Module 2 (C2P) : sur demande Copie des clauses ;
- Module 3 (P2P) : sur demande Copie des clauses ;
- Exactitude et minimisation des données:
- Module 1 (C2C) : à assurer par les deux parties, notamment par l’information mutuelle ;
- Module 2 (C2P) : information mutuelle en cas d’inexactitude ;
- Module 3 (P2P) : information mutuelle en cas d’inexactitude ;
- Effacement ou limitation de la mémoire:
- Module 1 (C2C) : Obligation de suppression de l’importateur après réalisation de la finalité ;
- Module 2 (C2P) : obligation de suppression de l’importateur après l’expiration du traitement (à concrétiser dans l’annexe I) ;
- Module 3 (P2P) : obligation de suppression de l’importateur à l’expiration du traitement (à concrétiser dans l’annexe I) ;
- Sécurité des données:
- Module 1 (C2C) : obligation de prendre des mesures appropriées de la part de l’importateur, mais aussi de l’exportateur en cas de transit ; autres obligations de l’importateur : (contrôle régulier des mesures (sans clause de minimis en cas de transmissions anodines) ; garantie d’une obligation légale ou contractuelle de confidentialité de ses auxiliaires ; mesures d’atténuation en cas de brèche ; information sans délai (sans délai maximal) tant de l’exportateur que de l’autorité de surveillance de l’exportateur ( !) en cas de violation susceptible d’avoir des conséquences importantes, et en même temps des personnes concernées ( !), à moins que cela ne soit disproportionné ; documentation de toutes les violations et des mesures prises ;
- Module 2 (C2P) : obligation de prendre des mesures appropriées de la part de l’importateur, mais aussi de l’exportateur en cas de transit ; autres obligations de l’importateur : accès aux données selon le principe du “need-to-know” ; garantie d’une obligation légale ou contractuelle de confidentialité de ses auxiliaires ; mesures d’atténuation en cas de brèche ; information sans délai (sans délai maximal) de l’exportateur (mais pas non plus de l’autorité de surveillance ou des personnes concernées) ; coopération avec l’exportateur ;
- Module 3 (P2P) : obligation de prendre des mesures appropriées de la part de l’importateur, mais aussi de l’exportateur en cas de transit ; autres obligations de l’importateur : accès aux données selon le principe du “need-to-know” ; garantie d’une obligation légale ou contractuelle de confidentialité de la part de ses auxiliaires ; mesures d’atténuation en cas de brèche ; information sans délai (sans délai maximal) de l’exportateur et, le cas échéant, du responsable) ; coopération avec l’exportateur ;
- Module 4 (P2C) : obligation pour les parties de prendre des mesures de sécurité appropriées.
- des catégories particulières de données personnelles:
- Module 1 (C2C) : obligation de prendre des mesures de sécurité appropriées ;
- Module 2 (C2P) : Obligation de respecter les mesures de sécurité conformément à l’annexe I.B (description de la transmission) ;
- Module 3 (P2P) : comme le module 2.
- Transfert ultérieur (onward transfer) vers des pays tiers:
- Module 1 (C2C) : Interdiction du transfert ultérieur, sauf si le destinataire est également lié par les clauses, si le transfert est autorisé en vertu des articles 46 ou 47 du RGPD (garanties appropriées ou BCR), si l’État destinataire offre une protection adéquate, si l’importateur conclut avec le tiers un accord offrant la même protection que les clauses standard (l’importateur devant alors transmettre une copie à l’exportateur ou si la personne concernée a expressément donné son consentement (l’importateur devant dans ce cas informer l’exportateur en conséquence).
- Module 2 (C2P) : interdiction des transferts ultérieurs en dehors des instructions de l’exportateur et uniquement si le transfert est autorisé en vertu des articles 46 ou 47 du RGPD ou si l’État destinataire offre une protection adéquate ;
- Module 3 (P2P) : comme le module 2.
- Documentation et conformité:
- Module 1 (C2C) : Les parties doivent documenter le respect des clauses. L’importateur doit divulguer la documentation à l’autorité de contrôle compétente, le cas échéant.
- Module 2 (C2P) :
- Les parties doivent prouver le respect des clauses ;
- L’importateur doit répondre aux demandes de l’exportateur ; documenter ses traitements ; divulguer les informations nécessaires à l’exportateur pour qu’il puisse prouver le respect des clauses ; autoriser les audits par l’exportateur ou les agents ; divulguer les informations à l’autorité compétente sur demande.
- Module 3 (P2P) :
- Les parties doivent prouver le respect des clauses ;
- L’importateur doit répondre aux demandes de l’exportateur et du responsable ; documenter ses traitements ; divulguer à l’exportateur et au responsable les informations nécessaires pour qu’ils puissent démontrer le respect des clauses ; autoriser les audits par l’exportateur ou le responsable ou des agents ; divulguer des informations à l’autorité compétente sur demande.
- Module 4 (P2C) : Les parties doivent pouvoir démontrer le respect des clauses.
- Droit local (presque le même pour tous les modules) :
- Assurance mutuelle ( !) qu’il n’y a aucune raison de penser que le droit local s’oppose aux clauses et qu’ils ont vérifié ce point ;
- Assurance de l’importateur qu’il a informé l’exportateur en conséquence ;
- Obligation de documentation ;
- Obligation pour l’importateur d’informer l’exportateur si la législation locale change et n’est plus compatible avec les clauses ;
- Obligation pour l’exportateur de prendre immédiatement des mesures supplémentaires dans ce cas, le cas échéant en concertation avec l’autorité de surveillance. Si la transmission ne peut pas être suffisamment sécurisée, elle doit être interrompue ; l’exportateur dispose dans ce cas d’un droit de résiliation extraordinaire. Dans les deux cas – avec ou sans mesures suffisantes – l’exportateur doit informer son autorité ( !).
- Accès des autorités (presque identique pour tous les modules ; applicable dans le module 4 uniquement dans certaines circonstances) :
- L’importateur doit informer immédiatement l’exportateur ; s’il ne peut pas le faire, il doit demander une dérogation ; information continue de l’exportateur ;
- Contestation de la décision d’accès.
- Recours à des sous-traitants:
- Module 2 (C2P) : utilisation uniquement avec une autorisation générale et un droit de veto ou une autorisation individuelle ; obligation de superviser et de divulguer l’accord de tiers sur demande ; responsabilité du sous-traitant et obligation d’informer l’exportateur des violations commises par le sous-traitant ; droit du responsable du traitement de faire appliquer le contrat de tiers directement contre le sous-traitant en cas de défaillance du sous-traitant ;
- Module 3 (P2P) : utilisation uniquement avec une autorisation générale et un droit de veto ou une autorisation individuelle du responsable ; obligation de surlivrer et de divulguer l’accord de tiers à l’exportateur ou au responsable sur demande ; responsabilité du sous-traitant et obligation d’informer l’exportateur des violations commises par le sous-traitant ; droit de l’exportateur de faire appliquer le contrat de tiers directement contre le sous-traitant en cas de défaillance du sous-traitant.
- Droits des personnes concernées:
- Module 1 (C2C) : obligations détaillées de l’importateur concernant le traitement des demandes des personnes concernées (y compris, par exemple, les décisions individuelles automatisées) ;
- Module 2 (C2P) : information du responsable par l’importateur ;
- Module 3 (P2P) : information de l’exportateur et, le cas échéant, du responsable par l’importateur ;
- Module 4 (P2C) : Coopération entre les parties.
- Protection juridique:
- L’importateur doit indiquer aux personnes concernées une personne de contact pour les questions et les plaintes, par exemple par le biais d’une communication ou de son site web.
- En outre, les parties doivent se tenir informées des litiges avec les personnes concernées. Si une personne concernée invoque des droits en vertu des clauses standard (voir le point suivant), l’importateur doit se soumettre à une décision d’un organisme compétent de l’EEE (ne s’applique pas au module 4).
- Responsabilité:
- Modules 1 et 4 (C2C et P2C) : Les parties sont responsables les unes envers les autres et envers les personnes concernées (ici, le cas échéant, solidairement) des dommages matériels et immatériels.
- Modules 2 et 3 (C2P et P2P) : les parties sont responsables l’une envers l’autre et l’exportateur est responsable envers les parties concernées des dommages matériels et immatériels.
- Indemnisation: Les parties ont le droit d’être indemnisées si, en cas de responsabilité solidaire, elles ont fait l’objet d’une réclamation dépassant leur part, à condition qu’elles aient informé l’autre partie en temps utile des réclamations de tiers et qu’elles l’aident à se défendre.
- SupervisionL’autorité de contrôle compétente est celle de l’exportateur, qui doit être désignée en détail. Si l’exportateur n’est soumis au RGPD qu’en vertu de l’art. 3, al. 2 (p. ex. en cas d’établissement suisse), l’autorité compétente est celle des personnes concernées. L’importateur accepte la compétence de cette autorité et coopère avec elle.
- Fin:
- L’exportateur peut et doit suspendre le transfert si l’importateur viole les clauses ou ne peut continuer à les respecter.
- Les clauses peuvent être résiliées en cas de suspension de la transmission, après un délai raisonnable pour rétablir la conformité de l’importateur, en cas de violation substantielle ou permanente des clauses par l’importateur et en cas de violation par l’importateur d’une ordonnance d’un tribunal ou d’une autorité compétente. Dans ces cas, l’importateur doit informer l’autorité de contrôle.
- En cas de résiliation, l’importateur doit immédiatement restituer les données concernées et en supprimer des copies, et confirmer la suppression (“certify”), à moins que le droit local ne s’y oppose.
- Droit applicable et juridiction compétenteLes parties peuvent choisir la loi ou la compétence des tribunaux d’un État membre.
Que faut-il encore prendre en compte ?
- Comme c’est le cas aujourd’hui, les clauses standard ne peuvent pas être modifiées, mais elles peuvent être utilisées dans le cadre d’un contrat. un ensemble complet de contrats (par ex. d’un Intragroup Data Protection Agreement) et peuvent être complétées par des mesures contractuelles d’accompagnement (Clause 1(c)).
- Les clauses standard prévalent sur tous les autres accords contractuels entre les parties (clause 4), ce qui est déjà généralement prévu dans les contrats.
- Les clauses standard avec le module 2 (C2P) se recoupent avec les obligations prévues par Art. 28 RGPDc’est-à-dire l’accord de traitement des commandes. Les incohérences doivent être évitées lors de la mise en œuvre contractuelle. Cela peut conduire à une (nouvelle) complexification des contrats.
- Le site Risques des parties augmentent, car d’autres obligations peuvent conduire, en cas de violation, non seulement à des sanctions, mais aussi à une responsabilité contractuelle (ce qui est déjà le cas aujourd’hui lorsqu’un contrat exige de manière générale la “compliance with applicable laws”). A cela s’ajoute le fait que les clauses prévoient également une responsabilité pour les dommages immatériels, ce que le droit suisse ne connaît pratiquement nulle part.
- Les autorités de contrôle ont un rôle très actif et peuvent être amenées à donner des conseils sur des questions complexes. En d’autres termes, leur rôle prescrit par le RGPD est représenté par un contrat. Si le PFPDT reconnaît également les clauses standard, il devra en faire de même, ce qui rapproche dans une certaine mesure sa mission de celle d’une autorité de surveillance de l’UE (et il en va de même pour les autorités de surveillance cantonales lorsqu’elles reconnaissent les clauses standard en vertu du droit cantonal).
Que faut-il faire ?
- Pour l’instant, les nouvelles clauses seulement une ébauche. La période de consultation se termine le 10 décembre 2020. La date de finalisation et d’entrée en vigueur des clauses n’est pas connue.
- Cependant, les entreprises doivent passer aux nouvelles clauses standardLes entreprises qui ont recours à ces clauses pour des transferts vers des pays tiers doivent le faire. Certains fournisseurs d’accès procéderont d’eux-mêmes aux adaptations nécessaires de leurs contrats, mais pas tous, et les nouvelles clauses ne concernent pas uniquement les fournisseurs d’accès, mais aussi tous les autres transferts basés sur les clauses standard, y compris les contrats intragroupes et les clauses entre responsables. En outre, les transmissions qui ne sont pas encore réglementées aujourd’hui devraient être basées sur les clauses standard.
- Cela nécessite premièrement, une disposition relative aux transferts transfrontaliers en provenance d’un État de l’EEE ou d’autres États qui reconnaissent les clauses standard comme potentiellement suffisantes, notamment la Suisse.
- Dans un deuxième étape il convient de déterminer lesquels de ces transferts ont été et/ou seront légitimés par les clauses types.
- Troisièmement, les contrats correspondants doivent être adaptés ou conclus. En cas d’adaptation, la question est de savoir de quelle manière elle peut être effectuée. Les contrats les plus récents, et notamment les accords de traitement des commandes, autorisent souvent l’exportateur à demander unilatéralement de telles modifications.
- Quatrièmement, les informations requises par les nouvelles clauses doivent être disponibles. Cela exige entre autres une détermination des mesures de protection techniques et organisationnelles pour les différentes transmissions (voir ci-dessus l’annexe 2).
- Cinquièmement, l’exportateur doit vérifier si l’importateur est en mesure de respecter les clauses. Si ce n’est pas le cas, il doit examiner et mettre en œuvre d’autres mesures (mesures Schrems II).
- Sixièmement, les autres obligations découlant du RGPD ou du droit applicable en rapport avec les transferts doivent être respectées, par exemple l’obligation d’information ou l’obligation de conclure un contrat de traitement des données.