La CE publie des clauses-types pour les flux de données personnelles vers les pays tiers
Publié le 13/08/2001 par
Etienne Wery 
La Commission européenne a adopté une décision définissant des clauses contractuelles types qui assureront un niveau de protection adéquat des données à caractère personnel transférées de l’UE vers des pays tiers. La décision fait obligation aux États membres de reconnaître que les sociétés ou organismes utilisant de telles clauses types dans des contrats relatifs à…
La Commission européenne a adopté une décision définissant des clauses contractuelles types qui assureront un niveau de protection adéquat des données à caractère personnel transférées de l’UE vers des pays tiers. La décision fait obligation aux États membres de reconnaître que les sociétés ou organismes utilisant de telles clauses types dans des contrats relatifs à des transferts de données à caractère personnel vers des pays tiers assurent un « niveau de protection adéquat » des données.
En vertu de la directive relative à la protection des données (95/46/CE), les données à caractère personnel ne peuvent pas être transférées vers des pays tiers si elles ne bénéficients pas, dans ce pays, d’un « niveau de protection adéquat », ou si le gestionnaire des données ne bénéficie d’une des autres exceptions prévues (consentement indubitable des personnes concernées ; le transfert est nécessaire en vue de la conclusion ou de l’exécution d’un contrat dans l’intérêt des personnes concernées, etc.).
L’utilisation de ces clauses contractuelles types est purement volontaire, mais offrira aux sociétés et aux organismes un moyen simple de respecter leur obligation d’assurer un « niveau de protection adéquat » aux données à caractère personnel transférées vers des pays tiers qui n’ont pas été reconnus par la Commission comme assurant à ces données un niveau de protection adéquat (ces pays sont, en l’état actuel : la Suisse, la Hongrie et les USA par le biais des safe harbour principles).
Les clauses contractuelles types contiennent une déclaration juridiquement exécutoire (« garantie ») par laquelle aussi bien l' »exportateur de données » que l' »importateur de données » s’engagent à traiter les données dans le respect de certaines règles fondamentales de protection des données et reconnaissent que les personnes peuvent faire valoir les droits que leur confère le contrat.
Les autorités de contrôle des États membres conservent la faculté d’interdire ou de suspendre des flux de données dans des circonstances exceptionnelles, mais la décision a pour effet de les empêcher de refuser des transferts de données effectués au titre de contrats qui contiennent les clauses contractuelles types approuvées par la Commission. De même, la décision n’empêche pas les autorités de contrôle nationales d’autoriser d’autres conventions contractuelles ad hoc pour l’exportation de données en dehors de l’UE sur la base de la législation nationale, dans la mesure où ces autorités ont acquis la conviction que les contrats en cause assurent un niveau de protection adéquat des données.
La décision de la Commission contenant les clauses-types est disponible sur note site.