Clauses contractuelles types : quand et comment les utiliser

Héberger des données hors de l'Espace économique européen ou utiliser un logiciel dont l'éditeur est établi aux États-Unis peut constituer un transfert hors UE. Lorsque le pays de destination ne bénéficie pas d'une protection reconnue, les clauses contractuelles types sont l'outil le plus courant pour encadrer ce flux. Elles ne se signent pas comme un simple formulaire : il faut choisir le bon module, évaluer le droit du pays destinataire et, le cas échéant, ajouter des mesures.

Quand faut-il signer des CCT de transfert ?

Les CCT sont nécessaires lorsque vous transférez des données vers un pays tiers qui ne fait pas l'objet d'une décision d'adéquation, et que vous ne vous appuyez sur aucun autre outil de l'article 46 du RGPD. L'article 46, paragraphe 2, point c) cite expressément les clauses types de protection adoptées par la Commission européenne comme garantie appropriée, sans autorisation préalable de la CNIL.

Pour savoir si un pays est couvert, consultez notre liste des pays reconnus adéquats. Le cas des États-Unis demande une vérification supplémentaire : la décision d'adéquation de juillet 2023 ne couvre que les organisations inscrites sur la liste du Data Privacy Framework. Comme le rappelle la CNIL, un destinataire américain non certifié exige un outil de l'article 46, en pratique des CCT.

Que contient la décision d'exécution (UE) 2021/914 ?

La décision d'exécution (UE) 2021/914 du 4 juin 2021 fixe le modèle actuel des clauses contractuelles types de transfert. Elle est organisée en quatre modules, à choisir selon le rôle de chaque partie. Les anciennes clauses ne peuvent plus être invoquées depuis le 27 décembre 2022, selon les questions-réponses de la Commission.

Le texte des clauses ne se modifie pas. Les parties peuvent seulement le compléter par des dispositions qui ne le contredisent pas, et doivent remplir les annexes : description du transfert, mesures de sécurité et, pour les modules concernés, liste des sous-traitants ultérieurs. Un sous-traitant qui vous propose ses CCT doit donc reprendre le modèle officiel.

Faut-il réaliser une analyse d'impact du transfert ?

Oui, dès que le transfert repose sur des CCT. La clause 14 impose aux parties de vérifier, avant la signature, que la législation et les pratiques du pays de destination n'empêchent pas l'importateur de respecter ses engagements, et de documenter cette évaluation.

Cette exigence découle de l'arrêt Schrems II du 16 juillet 2020 (affaire C-311/18), qui a validé le principe des clauses contractuelles types tout en exigeant que l'exportateur vérifie leur efficacité au cas par cas. Le CEPD a traduit cette exigence dans ses recommandations 01/2020, adoptées dans leur version finale le 18 juin 2021, qui proposent une méthode en six étapes.

1. 1Connaître ses transferts — Recenser les flux, accès à distance compris.
2. 2Identifier l'outil de transfert — Vérifier l'existence d'une décision d'adéquation, à défaut choisir un outil de l'article 46.
3. 3Évaluer le pays tiers — Analyser la législation et les pratiques susceptibles de priver les clauses de leur efficacité.
4. 4Adopter des mesures supplémentaires — Choisir des mesures techniques, contractuelles ou organisationnelles adaptées.
5. 5Mettre en œuvre les mesures — Documenter les choix retenus.
6. 6Réévaluer — Revoir l'analyse à intervalles appropriés ou lorsque le droit du pays tiers évolue.

La CNIL a publié en 2025 la version finale de son guide pratique AITD, qui suit la même logique. Parmi les mesures supplémentaires citées par le CEPD figure le chiffrement de bout en bout, lorsque l'importateur n'a pas besoin d'accéder aux données en clair.

Clauses de transfert et clauses de sous-traitance : quelle différence ?

Ce sont deux textes distincts. La décision d'exécution (UE) 2021/915 propose des clauses facultatives pour le contrat de sous-traitance exigé par l'article 28 du RGPD. Elles organisent la relation entre un responsable et son sous-traitant, mais ne constituent pas un outil de transfert.

Selon la Commission, les modules 2 et 3 des clauses contractuelles types de transfert intègrent déjà les exigences de l'article 28 : un contrat de sous-traitance séparé n'est alors pas nécessaire pour le même périmètre.

Qu'est-ce qui a changé en 2025 et 2026 ?

Deux points sont à suivre. Le 3 septembre 2025, le Tribunal de l'Union européenne a rejeté le recours de M. Latombe (affaire T-553/23) contre la décision d'adéquation relative aux États-Unis. Ce cadre reste donc applicable aux organisations certifiées, mais le contentieux peut encore se poursuivre devant la Cour de justice : la Commission précise par ailleurs que les garanties du droit américain profitent aussi aux transferts fondés sur des CCT.

Ensuite, la Commission indique que le modèle de 2021 ne doit pas être utilisé lorsque l'importateur est lui-même soumis au RGPD au titre de son article 3, et qu'elle prépare un jeu de clauses complémentaire pour ce cas. Avant de signer avec un tel importateur, vérifiez sur le site de la Commission si ce nouveau modèle a été adopté.

À retenir

• Les clauses contractuelles types s'imposent faute de décision d'adéquation, ou pour un destinataire américain non certifié.
• La décision 2021/914 comporte quatre modules, à choisir selon le rôle des parties.
• Une analyse d'impact du transfert documentée accompagne obligatoirement les CCT.
• Les clauses de la décision 2021/915 encadrent la sous-traitance, pas les transferts.
• Le Data Privacy Framework a été validé par le Tribunal en septembre 2025 ; restez attentif aux suites.