Vous avez dit CCT ?
Par Christophe CHAMPOUSSIN • Gérant ANAXIA CONSEIL • 30 août 2022 • LinkedIn
L’expression Clauses Contractuelles Types (ou CCT) porte souvent à confusion car utilisée pour différentes choses, et pas toujours de manière appropriée.
Cette expression est employée dans le cadre des transferts hors U.E. … mais pas que.
Avant le RGPD, la Commission européenne avait adopté des Clauses Contractuelles Types (c’était le terme) qui étaient (pour faire simple) un modèle à signer entre exportateur et importateur de données (typiquement dans une relation RT-ST) dans le cadre d’un transfert de données hors UE.
Mais le RGPD ne reprend pas cette expression (dans le cadre des transferts, cf. article 46.1.c) et utilise celle de Clauses Types de Protection (CTP), que quasiment personne n’emploie, lui préférant celle de Clauses Contractuelles Types.
Un premier niveau de confusion vient du fait que, dans le cadre d’un transfert, on peut avoir un contrat ad-hoc entre exportateur et importateur de données (ne reprenant donc pas strictement le contenu des CTP) que le RGPD appelle Clauses contractuelles, qui font alors office de garantie appropriée mais nécessitent une autorisation de l’Autorité de Contrôle compétente (ex. / CNIL) ; cf. article 46.3.
Un second niveau de confusion vient du fait que les « nouvelles » Clauses Contractuelles Types (celles de 2021) s’appellent toujours Clauses Contractuelles Types et ne reprennent pas l’expression du RGPD (Clauses Types de Protection) ; cf. la DÉCISION D’EXÉCUTION (UE) 2021/914 DE LA COMMISSION du 4 juin 2021 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers en vertu du règlement (UE) 2016/679 du Parlement européen et du Conseil.
Et pour simplifier le tout, le RGPD utilise bien l’expression Clauses Contractuelles Types mais pas dans le cadre des transferts. Elle est utilisée dans le 28.7 qui dispose que « La Commission peut établir des clauses contractuelles types pour les questions visées aux paragraphes 3 et 4 du présent article et conformément à la procédure d'examen visée à l'article 93, paragraphe 2 » et donc proposer un modèle de clause de sous-traitance (qu’il y ait transfert ou pas !). Donc la même expression pour un tout autre sujet (sous-traitance versus transfert).
La Commission Européenne a proposé de telles clauses (DÉCISION D’EXÉCUTION (UE) 2021/915 DE LA COMMISSION du 4 juin 2021 relative aux clauses contractuelles types entre les responsables du traitement et les sous-traitants au titre de l’article 28, paragraphe 7, du règlement (UE) 2016/679 du Parlement européen et du Conseil et de l’article 29, paragraphe 7, du règlement (UE) 2018/1725 du Parlement européen et du Conseil). Et comme cela a été concomitant aux nouvelles CCT …
Pour résumer :
Pour les transferts, il y a les Clauses Type de Protection (46.2.c) que la commission appelle des Clauses Contractuelles Types (Décision d’exécution 2021-914 de la Commission relative aux CCT pour le transfert de données à caractère personnel vers des pays tiers) ;
Toujours pour les transferts, on peut se passer des CTP et avoir un contrat ad-hoc entre 2 parties (Clauses Contractuelles, article 46.3) mais il faut une autorisation de la CNIL ;
Pour la sous-traitance (transfert ou pas) il faut un contrat/clause/convention/... conforme à l'article 28 du RGPD. Et pour cela la commission propose un modèle (Décision d’exécution 2021-915) qu'elle appelle "Clauses contractuelles Type" (ce qui est sémantiquement juste mais crée là encore de la confusion).
Qui a dit que le RGPD était simple ?
Pour en savoir plus sur les transferts de données hors U.E. :
