Clauses contractuelles types
Les clauses contractuelles types (CCT, ou SCC en anglais) sont des modèles de contrat adoptés par la Commission européenne qui permettent de transférer des données personnelles vers un pays sans décision d’adéquation, en liant le destinataire à des obligations de niveau RGPD.Le chapitre V du RGPD n’autorise les transferts de données personnelles hors de l’EEE qu’avec des garanties appropriées. La garantie la plus courante est le jeu de clauses adopté par la décision d’exécution (UE) 2021/914 de la Commission du 4 juin 2021, avec quatre modules (responsable vers responsable, responsable vers sous-traitant, sous-traitant vers sous-traitant, sous-traitant vers responsable) et une clause d’adhésion pour les nouvelles parties. Le Royaume-Uni utilise son propre International Data Transfer Agreement ou un addendum aux clauses de l’UE ; la Suisse accepte les clauses de l’UE avec des adaptations.
Depuis l’arrêt Schrems II de la Cour de justice de l’Union européenne (C-311/18, 16 juillet 2020), signer les clauses ne suffit pas : l’exportateur doit évaluer si le droit du pays de destination les compromet et ajouter des mesures supplémentaires si nécessaire. Pour les transferts vers les États-Unis, les entreprises certifiées dans le cadre du Data Privacy Framework UE-États-Unis peuvent s’appuyer sur la décision d’adéquation du 10 juillet 2023 à la place.
Les cookies et les balises rendent les transferts routiniers. Google Analytics, le pixel Meta, les polices, cartes et vidéos embarquées envoient des données de visiteurs vers des serveurs à l’étranger, et les conditions de traitement de chaque fournisseur intègrent les clauses ou s’appuient sur le Data Privacy Framework. Une politique de cookies doit dire quels fournisseurs transfèrent des données, où et sur quelle base, et la politique de confidentialité doit lister les garanties. La question est la même que celle posée par Google Fonts et le RGPD : une requête vers un serveur américain est un transfert.