BCR : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Les BCR, ou règles d'entreprise contraignantes, sont une politique interne de protection des données adoptée par un groupe international et approuvée par une autorité de contrôle. Elles permettent les transferts de données entre les entités du groupe hors de l'UE.
Ce qu'il faut comprendre
Le sigle vient de l'anglais « Binding Corporate Rules ». Les BCR fixent, pour toutes les sociétés d'un même groupe, des règles communes et juridiquement contraignantes : principes de protection, droits des personnes, formation, audits, traitement des réclamations. Elles s'imposent aux entités et aux salariés, et ouvrent des droits aux personnes concernées.
Il existe des BCR « responsable de traitement », pour les données que le groupe traite pour son propre compte, et des BCR « sous-traitant », pour les prestataires qui traitent des données pour leurs clients. Leur approbation passe par une autorité chef de file et un avis du CEPD. La procédure est longue et exigeante.
Les BCR ne concernent que les transferts au sein d'un groupe : elles ne couvrent pas les transferts vers un fournisseur extérieur, qui relèvent des clauses contractuelles types ou d'une décision d'adéquation. Pour une PME, une collectivité ou une association, elles sont rarement pertinentes. On les rencontre surtout lorsqu'un grand prestataire les invoque.
Exemple concret
Une PME française choisit un éditeur de logiciel de paie appartenant à un groupe international, dont le centre de support est en Tunisie. L'éditeur indique disposer de BCR « sous-traitant » approuvées. La PME vérifie l'approbation, s'assure que ses données entrent dans leur champ, puis signe un contrat de sous-traitance qui y fait référence.
Textes de référence
- RGPD, art. 47
- RGPD, art. 4, 20)
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
