Que Sont les CCT ?
Les Clauses Contractuelles Types (CCT) sont des termes contractuels préapprouvés adoptés par la Commission européenne via la Décision d’exécution 2021/914. Elles constituent le mécanisme le plus utilisé pour légitimer les transferts de données personnelles vers des pays hors EEE ne disposant pas d’une décision d’adéquation de la Commission.
Les Quatre Modules
Les CCT de 2021 sont organisées en quatre modules reflétant différentes relations entre parties :
- Module 1 : Responsable du traitement vers responsable du traitement
- Module 2 : Responsable du traitement vers sous-traitant (le scénario le plus courant pour les services cloud)
- Module 3 : Sous-traitant vers sous-traitant (chaînes de sous-traitance)
- Module 4 : Sous-traitant vers responsable du traitement (données revenant à un responsable hors EEE)
Chaque module contient des obligations adaptées à la nature du flux de données et aux rôles des parties.
Schrems II et Analyses d’Impact du Transfert
L’arrêt Schrems II de la CJUE (2020) a établi que les CCT seules peuvent ne pas offrir une protection suffisante si les lois du pays de destination compromettent les garanties contractuelles — notamment en matière de surveillance gouvernementale. Les exportateurs de données doivent désormais réaliser une Analyse d’impact du transfert (TIA) avant de s’appuyer sur les CCT, en évaluant le cadre juridique du pays importateur et en mettant en œuvre des mesures supplémentaires (chiffrement, pseudonymisation, restrictions d’accès) si nécessaire.
Le Cadre de Protection des Données UE-États-Unis
Le Cadre de protection des données UE-États-Unis (2023) fournit un mécanisme d’adéquation pour les transferts vers des entreprises américaines s’auto-certifiant dans le cadre, réduisant (sans l’éliminer) le besoin de CCT dans les flux de données UE-États-Unis. Pour tous les autres pays non adéquats, les CCT restent le mécanisme de transfert principal.
Mise en Œuvre Pratique
Les entreprises doivent intégrer les CCT dans tous les contrats avec les sous-traitants et destinataires de données hors EEE, compléter des TIA documentées, mettre en œuvre des mesures techniques supplémentaires si nécessaire, et revoir périodiquement l’adéquation des garanties à mesure que les paysages juridiques évoluent.