{"id":2538,"date":"2022-11-24T08:22:00","date_gmt":"2022-11-24T08:22:00","guid":{"rendered":"https:\/\/www.cranium.eu\/new-sccs-under-gdpr-how-to-prepare-yourself-and-avoid-fines\/"},"modified":"2024-09-03T09:40:23","modified_gmt":"2024-09-03T08:40:23","slug":"nouvelles-cct-sous-rgpd-comment-se-preparer-et-eviter-les-amendes","status":"publish","type":"post","link":"https:\/\/www.cranium.eu\/fr\/nouvelles-cct-sous-rgpd-comment-se-preparer-et-eviter-les-amendes\/","title":{"rendered":"Nouvelles CCT sous RGPD :\u00a0Comment se pr\u00e9parer et \u00e9viter les amendes ?"},"content":{"rendered":"\n

Tic-tac, tic-tac ! Le 27 d\u00e9cembre approche !<\/strong><\/p>\n\n\n\n

Votre organisation utilise-t-elle un fournisseur bas\u00e9 aux \u00c9tats-Unis ? Travaillez-vous via Teams avec vos coll\u00e8gues ? Votre service d\u2019assistance est-il situ\u00e9 en Asie ? Utilisez-vous Google Analytics<\/a> sur votre site Web ? Ou peut-\u00eatre votre fournisseur de cloud est-il situ\u00e9 en dehors de l\u2019Espace \u00e9conomique europ\u00e9en ? Si votre r\u00e9ponse \u00e0 n\u2019importe laquelle de ces questions est oui, alors vous pourriez \u00eatre int\u00e9ress\u00e9 par la lecture des lignes suivantes.<\/p>\n\n\n\n

Que sont les transferts internationaux de donn\u00e9es ? <\/h2>\n\n\n\n

Dans le monde d\u2019aujourd\u2019hui, tr\u00e8s peu d\u2019organisations traitent l\u2019enti\u00e8ret\u00e9 de leurs donn\u00e9es personnelles uniquement dans le pays dans lequel elles sont \u00e9tablies, et si elles le font, il y a de fortes chances pour que leurs sous-traitants ne le fassent pas.<\/p>\n\n\n\n

Les transferts de donn\u00e9es personnelles, s\u2019ils sont effectu\u00e9s au sein de l\u2019Espace \u00e9conomique europ\u00e9en (ci-apr\u00e8s \u00ab EEE \u00bb), ne n\u00e9cessitent aucune mesure suppl\u00e9mentaire. Toutefois, si le traitement est effectu\u00e9 en dehors de l\u2019EEE, celui-ci sera consid\u00e9r\u00e9 comme un transfert international de donn\u00e9es<\/strong> et certaines mesures suppl\u00e9mentaires devront \u00eatre prises.<\/p>\n\n\n\n

En plus des pays membres de l\u2019EEE, la Commission europ\u00e9enne a \u00e9tabli une liste de pays offrant un niveau de protection ad\u00e9quat, ce qui signifie qu\u2019ils offrent un niveau de protection des donn\u00e9es suffisant au regard du RGPD.<\/p>\n\n\n\n

Cette liste comprend Andorre, l\u2019Argentine, le Canada (organisation commerciale), les \u00eeles F\u00e9ro\u00e9, Guernesey, Isra\u00ebl, l\u2019\u00eele de Man, le Japon, Jersey, la Nouvelle-Z\u00e9lande, la R\u00e9publique de Cor\u00e9e, la Suisse, le Royaume-Uni en vertu du GDPR et la LED et l\u2019Uruguay. Pour plus d\u2019informations, voir : d\u00e9cisions d\u2019ad\u00e9quation<\/a>.<\/p>\n\n\n\n

Tous vos traitements sont-ils bas\u00e9s dans l\u2019EEE ou dans l\u2019un de ces pays s\u00fbrs ? Vous voudrez peut-\u00eatre rev\u00e9rifier cela. En effet, bien souvent, votre helpdesk, votre assistance technique, \u00e9quipe de d\u00e9bogage, de r\u00e9solution des probl\u00e8mes, votre centre d\u2019appels, etc. sont situ\u00e9s en dehors de ces pays. Lorsque tel est le cas, cela signifie que vos donn\u00e9es personnelles font l\u2019objet d\u2019un transfert international de donn\u00e9es.<\/p>\n\n\n\n

Le m\u00e9canisme le plus utilis\u00e9 pour les transferts internationaux de donn\u00e9es, est l\u2019int\u00e9gration de Clauses Contractuelles Types (ci-apr\u00e8s \u00ab CCT \u00bb) dans vos contrats.<\/strong><\/p>\n\n\n\n

<\/a><\/p>\n\n\n\n

Que sont les Clauses Contractuelles Types (ou CCT) ? <\/strong><\/h2>\n\n\n\n

Les Clauses Contractuelles Types sont un m\u00e9canisme qui fournit des garanties appropri\u00e9es en cas de transfert international de donn\u00e9es, comme le d\u00e9crit l\u2019article 46 du RGPD. Ces clauses dictent les mesures appropri\u00e9es qui seront prises \u00e0 la fois par l\u2019exportateur de donn\u00e9es et l\u2019importateur de donn\u00e9es pour fournir un niveau de protection ad\u00e9quat aux donn\u00e9es personnelles trait\u00e9es au niveau international.<\/p>\n\n\n\n

Un nouvel ensemble de CCT<\/strong><\/h2>\n\n\n\n

En juin 2021, la Commission europ\u00e9enne a adopt\u00e9 un nouvel ensemble de Clauses Contractuelles Types. Ces clauses modernis\u00e9es, bas\u00e9es sur le RGPD, restent applicables pour les transferts de donn\u00e9es des responsables du traitement ou des sous-traitants dans l\u2019UE\/EEE (ou autrement soumis au RGPD) vers des responsables du traitement ou des sous-traitants \u00e9tablis en dehors de l\u2019UE\/EEE (et non soumis au RGPD).<\/p>\n\n\n\n

Mesures \u00e0 prendre pour se conformer aux nouveaux CCT<\/strong><\/h2>\n\n\n\n

1. \u00c9valuez vos transferts de donn\u00e9es internationaux<\/h3>\n\n\n\n

La premi\u00e8re \u00e9tape consiste \u00e0 identifier les transferts internationaux de donn\u00e9es<\/strong>. C\u2019est le cas lorsque ;<\/p>\n\n\n\n

    \n
  • Vos fournisseurs ont acc\u00e8s \u00e0 des donn\u00e9es personnelles depuis l\u2019ext\u00e9rieur de l\u2019EEE ;<\/li>\n\n\n\n
  • Vous avez des filiales \u00e9trang\u00e8res (hors EEE) qui ont acc\u00e8s \u00e0 des donn\u00e9es personnelles ;<\/li>\n\n\n\n
  • Vous envoyez ou recevez des donn\u00e9es personnelles \u00e0\/de la part de clients (\u2026) ;<\/li>\n\n\n\n
  • Votre fournisseur, filiale \u00e9trang\u00e8re et\/ou client est bas\u00e9 dans un pays en dehors de l\u2019EEE et n\u2019est pas un pays en dehors de l\u2019UE qui offre un niveau de protection ad\u00e9quat.<\/li>\n<\/ul>\n\n\n\n

    Si tel est le cas, vous devez vous assurer que les mesures appropri\u00e9es sont prises pour rester en conformit\u00e9.<\/p>\n\n\n\n

    2. Mettez \u00e0 jour vos contrats<\/h3>\n\n\n\n

    En cas de transferts internationaux de donn\u00e9es avec un pays qui n\u2019est pas reconnu comme offrant un niveau de protection ad\u00e9quat, votre accord de traitement des donn\u00e9es doit compenser l\u2019absence de protections suffisantes.<\/p>\n\n\n\n

    Ce nouveau d\u00e9lai est l\u2019occasion id\u00e9ale de v\u00e9rifier que vos contrats incluent les CCT n\u00e9cessaires et, si c\u2019est le cas, qu\u2019il s\u2019agit bien du nouvel ensemble de CCT. Votre organisation doit contacter ses fournisseurs, affili\u00e9s et\/ou clients pour modifier les accords dans ce sens.<\/p>\n\n\n\n

    3. Effectuez \u00e9galement des \u00e9valuations de l\u2019impact du transfert<\/h3>\n\n\n\n

    Inclure des CCT dans vos contrats n\u2019est pas suffisant pour \u00eatre conforme au RGPD. En effet, vous devez effectuer des \u00e9valuations de l\u2019impact du transfert relatives \u00e0 ces activit\u00e9s de traitement qui ont lieu en dehors de l\u2019EEE<\/strong>. Ces \u00e9valuations visent \u00e0 \u00e9valuer le niveau de protection du transfert et \u00e0 d\u00e9terminer si l\u2019utilisation d\u2019un m\u00e9canisme de transfert (notamment les CCT) est suffisante.<\/p>\n\n\n\n

    Quand devez-vous mettre \u00e0 jour vos CCT ?<\/strong><\/h2>\n\n\n\n

    D\u00e8s que possible<\/strong>. Depuis le 21 septembre 2021, tous les nouveaux contrats conclus devraient inclure le nouvel ensemble de CCT. Mais comme pour tout changement majeur, la Commission europ\u00e9enne a pr\u00e9vu une p\u00e9riode de transition. Afin de donner aux organisations suffisamment de temps pour mettre \u00e0 jour leurs contrats qui incluaient l\u2019ensemble pr\u00e9c\u00e9dent de CCT, la Commission europ\u00e9enne a pr\u00e9vu une p\u00e9riode de transition.<\/p>\n\n\n\n

    La p\u00e9riode de transition touche \u00e0 sa fin et la date limite approche \u00e0 grands pas : le 27 d\u00e9cembre 2022.<\/strong> D\u2019ici l\u00e0, les organisations peuvent toujours s\u2019appuyer sur les CCT pr\u00e9c\u00e9dentes pour transf\u00e9rer l\u00e9galement des donn\u00e9es \u00e0 caract\u00e8re personnel vers des pays tiers. Apr\u00e8s cette date, vous devez vous assurer que vous prenez les mesures appropri\u00e9es pour garantir que votre organisation reste conforme en 2023.<\/p>\n\n\n\n

    Quels sont les risques si vous ne mettez pas \u00e0 jour vos CCT ?<\/strong><\/h2>\n\n\n\n

    Le risque \u00e9vident est celui des amendes. Comme pour tout type de violation du RGPD, l\u2019absence d\u2019un m\u00e9canisme appropri\u00e9 de transfert international de donn\u00e9es (c\u2019est-\u00e0-dire l\u2019absence de CCT valides) peut conduire \u00e0 une enqu\u00eate par une autorit\u00e9 de contr\u00f4le et \u00e0 une amende pour votre organisation.<\/p>\n\n\n\n

    Un autre risque \u00e0 consid\u00e9rer concerne votre r\u00e9putation et vos relations commerciales. Alors que la confidentialit\u00e9 est de plus en plus prise en compte par le public, les organisations ne veulent pas donner l\u2019impression qu\u2019elles ne se soucient pas de la protection des donn\u00e9es. Avoir des CCT obsol\u00e8tes donnera l\u2019impression que vous n\u2019accordez pas \u00e0 la protection des donn\u00e9es l\u2019importance qu\u2019elle m\u00e9rite.<\/p>\n","protected":false},"excerpt":{"rendered":"

    Tic-tac, tic-tac ! Le 27 d\u00e9cembre approche ! Votre organisation utilise-t-elle un fournisseur bas\u00e9 aux \u00c9tats-Unis ? Travaillez-vous via Teams avec vos coll\u00e8gues ? Votre service d\u2019assistance est-il situ\u00e9 en Asie ? Utilisez-vous Google Analytics sur votre site Web ? Ou peut-\u00eatre votre fournisseur de cloud est-il situ\u00e9 en dehors de l\u2019Espace \u00e9conomique europ\u00e9en ? Si votre […]<\/p>\n","protected":false},"author":3,"featured_media":2279,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"content-type":"","footnotes":""},"categories":[61],"tags":[66],"post_folder":[],"class_list":["post-2538","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blogpost-fr","tag-protection-de-la-vie-privee"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts\/2538","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/comments?post=2538"}],"version-history":[{"count":0,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts\/2538\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/media\/2279"}],"wp:attachment":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/media?parent=2538"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/categories?post=2538"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/tags?post=2538"},{"taxonomy":"post_folder","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/post_folder?post=2538"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}