Commission Implementing Decision (EU) 2021/914 of 4 June 2021 on standard contractual clauses for the transfer of personal data to third countries pursuant to Regulation (EU) 2016/679 of the European Parliament and of the Council (Text with EEA relevance)

• Celex Number: 32021D0914
• ELI: http://data.europa.eu/eli/dec_impl/2021/914/oj
• Published date: 07 June 2021
• Date: 04 June 2021
• Date of Signature: 04 June 2021
• Official Gazette Publication: Official Journal of the European Union, L 199, 7 June 2021

7.6.2021 FR Journal officiel de l’Union européenne L 199/31

---

DÉCISION D’EXÉCUTION (UE) 2021/914 DE LA COMMISSION

du 4 juin 2021

relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers en vertu du règlement (UE) 2016/679 du Parlement européen et du Conseil

(Texte présentant de l’intérêt pour l’EEE)

LA COMMISSION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne,

vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (1), et notamment son article 28, paragraphe 7, et son article 46, paragraphe 2, point c),

considérant ce qui suit:

(1) L’évolution des technologies facilite les flux transfrontières de données nécessaires au développement de la coopération internationale et des échanges internationaux. Dans le même temps, il est nécessaire de veiller à ce que le niveau de protection des personnes physiques garanti par le règlement (UE) 2016/679 ne soit pas compromis lorsque des données à caractère personnel sont transférées vers des pays tiers, notamment en cas de transferts ultérieurs (2). Les dispositions relatives aux transferts de données figurant au chapitre V du règlement (UE) 2016/679 visent à garantir la continuité de ce niveau élevé de protection en cas de transfert de données à caractère personnel vers un pays tiers (3).

(2) Conformément à l’article 46, paragraphe 1, du règlement (UE) 2016/679, en l’absence de décision d’adéquation de la Commission en vertu de l’article 45, paragraphe 3, le responsable du traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers un pays tiers que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives. Ces garanties peuvent être fournies par des clauses types de protection des données adoptées par la Commission conformément à l’article 46, paragraphe 2, point c).

(3) Le rôle des clauses contractuelles types se limite à offrir des garanties appropriées en matière de protection des données pour les transferts internationaux de données. Par conséquent, le responsable du traitement ou le sous-traitant qui transfère les données à caractère personnel vers un pays tiers (l’«exportateur de données») et le responsable du traitement ou le sous-traitant qui les reçoit (l’«importateur de données») sont libres d’inclure ces clauses contractuelles types dans un contrat plus large et d’ajouter d’autres clauses ou des garanties supplémentaires, à condition que celles-ci ne contredisent pas, directement ou indirectement, les clauses contractuelles types et qu’elles ne portent pas atteinte aux libertés et droits fondamentaux des personnes concernées. Les responsables du traitement et les sous-traitants sont encouragés à fournir des garanties supplémentaires au moyen d’engagements contractuels qui viendraient compléter les clauses contractuelles types (4). Le recours aux clauses contractuelles types est sans préjudice de toute obligation contractuelle de l’exportateur et/ou de l’importateur de données de garantir le respect des privilèges et immunités applicables.

(4) Outre le recours aux clauses contractuelles types pour fournir les garanties appropriées pour les transferts conformément à l’article 46, paragraphe 1, du règlement (UE) 2016/679, l’exportateur de données doit s’acquitter de ses responsabilités générales en tant que responsable du traitement ou sous-traitant en vertu du règlement (UE) 2016/679. Ces responsabilités comportent l’obligation, pour le responsable du traitement, de fournir aux personnes concernées des informations sur le fait qu’il a l’intention d’effectuer un transfert de leurs données à caractère personnel vers un pays tiers conformément à l’article 13, paragraphe 1, point f), et à l’article 14, paragraphe 1, point f), du règlement (UE) 2016/679. Dans le cas des transferts effectués conformément à l’article 46 du règlement (UE) 2016/679, ces informations doivent comporter une référence aux garanties appropriées et indiquer les moyens d’en obtenir une copie ou l’endroit où elles ont été mises à disposition.

(5) Les décisions 2001/497/CE (5) et 2010/87/UE (6) de la Commission contiennent des clauses contractuelles types visant à faciliter le transfert de données à caractère personnel d’un responsable du traitement établi dans l’Union à un responsable du traitement ou à un sous-traitant établi dans un pays tiers qui n’offre pas un niveau de protection adéquat. Ces décisions étaient fondées sur la directive 95/46/CE du Parlement européen et du Conseil (7).

(6) Conformément à l’article 46, paragraphe 5, du règlement (UE) 2016/679, les décisions 2001/497/CE et 2010/87/UE restent en vigueur jusqu’à leur modification, leur remplacement ou leur abrogation, si nécessaire, par une décision de la Commission adoptée conformément à l’article 46, paragraphe 2, dudit règlement. Les clauses contractuelles types figurant dans ces décisions demandaient à être actualisées pour tenir compte des nouvelles exigences du règlement (UE) 2016/679. En outre, depuis l’adoption de ces décisions, l’économie numérique a beaucoup évolué, avec le recours généralisé à de nouvelles opérations de traitement plus complexes, qui impliquent souvent de multiples importateurs et exportateurs de données, des chaînes de traitement longues et complexes et des relations commerciales en évolution constante. Il y a donc lieu de moderniser les clauses contractuelles types afin de mieux refléter ces réalités en les étendant à des situations de traitement et de transfert supplémentaires, et de permettre une approche plus souple, par exemple en ce qui concerne le nombre de parties pouvant adhérer au contrat.

(7) Un responsable du traitement ou un sous-traitant peut utiliser les clauses contractuelles types figurant à l’annexe de la présente décision afin de fournir des garanties appropriées au sens de l’article 46, paragraphe 1, du règlement (UE) 2016/679 pour le transfert de données à caractère personnel à un sous-traitant ou à un responsable du traitement établi dans un pays tiers, sans préjudice de l’interprétation de la notion de transfert international dans le règlement (UE) 2016/679. Les clauses contractuelles types ne peuvent être utilisées pour ce type de transferts que dans la mesure où le traitement effectué par l’importateur de données ne relève pas du champ d’application du règlement (UE) 2016/679. Cela inclut également le transfert de données à caractère personnel par un responsable du traitement ou un sous-traitant qui n’est pas établi dans l’Union, dans la mesure où le traitement est soumis au règlement (UE) 2016/679 (en vertu de son article 3, paragraphe 2), parce qu’il est lié à l’offre de biens ou de services à des personnes concernées dans l’Union ou au suivi du comportement de ces personnes dans la mesure où il s’agit de leur comportement au sein de l’Union.

(8) Le règlement (UE) 2016/679 et le règlement (UE) 2018/1725 du Parlement européen et du Conseil (8) étant, de manière générale, alignés, il devrait également être possible d’utiliser les clauses contractuelles types dans le cadre d’un contrat visé à l’article 29, paragraphe 4, du règlement (UE) 2018/1725 pour le transfert de données à caractère personnel à un sous-traitant ultérieur dans un pays tiers par un sous-traitant qui n’est pas une institution ou un organe de l’Union, mais qui est soumis au règlement (UE) 2016/679 et qui traite des données à caractère personnel pour le compte d’une institution ou d’un organe de l’Union conformément à l’article 29 du règlement (UE) 2018/1725. Pour autant que le contrat reflète les mêmes obligations en matière de protection des données que celles fixées dans le contrat ou un autre acte juridique entre le responsable du traitement et le sous-traitant en vertu de l’article 29, paragraphe 3, du règlement (UE) 2018/1725, notamment en présentant des garanties suffisantes quant aux mesures techniques et organisationnelles nécessaires pour que le traitement réponde aux exigences dudit règlement, l’article 29, paragraphe 4, du règlement (UE) 2018/1725 sera respecté. Ce sera notamment le cas lorsque le responsable du traitement et le sous-traitant ont recours aux clauses contractuelles types de la décision d’exécution de la Commission relative aux clauses contractuelles types entre les responsables du traitement et les sous-traitants au titre de l’article 28, paragraphe 7, du règlement (UE) 2016/679 du Parlement européen et du Conseil et de l’article 29, paragraphe 7, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (9).

(9) Si le traitement suppose des transferts de données de responsables du traitement soumis au règlement (UE) 2016/679 vers des sous-traitants ne relevant pas du champ d’application territorial dudit règlement ou de sous-traitants soumis au règlement (UE) 2016/679 vers des sous-traitants ultérieurs ne relevant pas du champ d’application territorial dudit règlement, les clauses contractuelles types figurant à l’annexe de la présente décision devraient également permettre de satisfaire aux exigences de l’article 28, paragraphes 3 et 4, du règlement (UE) 2016/679.

(10) Les clauses contractuelles types figurant à l’annexe de la présente décision combinent des clauses générales et une approche modulaire pour tenir compte des différents scénarios de transfert et de la complexité des chaînes de traitement modernes. Outre les clauses générales, les responsables du traitement et les sous-traitants devraient choisir le

...