Transfert de données hors UE, la fin des anciennes clauses contractuelles types 

Dans un communiqué publié le 21 décembre 2022, la Commission nationale de l’informatique et des libertés (ci-après « Cnil »), rappelle qu’à compter du 27 décembre 2022, les anciennes clauses contractuelles types (ci-après « CCT ») de la Commission européenne ne peuvent plus être utilisées pour encadrer des transferts de données hors de l’Union européenne (ci-après « UE ») prévus par le Règlement général sur la protection des données (ci-après « RGPD »).

Dorénavant, seules les CCT mises à jour en 2021, ou l’utilisation d’un autre outil de transfert seront valables. 

L’irrecevabilité des clauses contractuelles types antérieures à juin 2021

​

Pour rappel, les clauses contractuelles types sont des : « modèles de clauses contractuelles adoptés par la Commission européenne permettant d’encadrer les transferts de données personnelles effectués par des responsables de traitement vers des destinataires situés hors de l’Union européenne. »

Deux modèles de CCT ont initialement été prévus par la Commission européenne : 

​

• les CCT venant encadrer les transferts de données entre deux responsables du traitement de 2004 ;

• les CTT venant encadrer les transferts de données entre un responsable du traitement et un sous-traitant de 2010.

Ces anciennes clauses, lorsqu’elles ont été signées avant juin 2021, doivent être remplacées par les nouvelles CCT, à compter du 27 décembre 2022. 

La validité des clauses contractuelles types signées après le 4 juin 2021

​

Le 4 juin 2021, la Commission européenne a mis à jour les modèles des CCT en publiant deux décisions :

​

• la décision d’exécution (UE) 2021/914 du 4 juin 2021 portant sur les transferts vers des pays tiers ;

• la décision d’exécution (UE) 2021/915 du 4 juin 2021 portant sur les relations entre les responsables du traitement et les sous-traitants.

​

Rappelé par la Cnil, une période de transition à partir de l’entrée en vigueur des nouvelles CCT avait été prévue jusqu’en septembre 2021.

Une autre période supplémentaire de 15 mois avait été prévue afin que les exportateurs et les importateurs de données continuent : « à invoquer les anciennes clauses contractuelles types. »

À compter du 27 décembre 2022, les anciennes CCT ne pourront plus être utilisées et produire des effets juridiques en matière de transferts de données hors de l’UE, conformément à l’article 46 paragraphe 2 du RGPD. 

​​