Clauses contractuelles types (CCT) : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Les clauses contractuelles types sont des modèles de contrat adoptés par la Commission européenne pour encadrer un transfert de données personnelles vers un pays tiers sans décision d'adéquation. Elles s'intègrent au contrat sans pouvoir être modifiées sur le fond.
Ce qu'il faut comprendre
Les clauses en vigueur ont été adoptées par la Commission en juin 2021. Elles sont organisées en modules selon la situation : d'un responsable de traitement vers un autre responsable, vers un sous-traitant, d'un sous-traitant vers un sous-traitant ou vers un responsable. On peut y ajouter des clauses, à condition de ne pas les contredire.
Signer les clauses ne suffit pas. Depuis l'arrêt Schrems II, l'exportateur doit évaluer si le droit du pays destinataire permet à l'importateur de les respecter, notamment au regard de l'accès des autorités publiques aux données. Cette analyse est appelée évaluation de l'impact du transfert. Si nécessaire, des mesures supplémentaires, comme le chiffrement, doivent être ajoutées.
Les clauses contractuelles types ne remplacent pas le contrat de sous-traitance prévu à l'article 28, même si certains modules en reprennent le contenu. L'erreur fréquente est de se contenter de la mention « nous utilisons les clauses contractuelles types » dans les conditions d'un fournisseur, sans vérifier le module retenu ni la réalité des garanties.
Exemple concret
Un centre de santé associatif envisage un outil de traduction médicale dont l'éditeur traite les données en Inde, pays sans décision d'adéquation. Avec l'appui de son DPO, il conclut les clauses contractuelles types en module « responsable vers sous-traitant », évalue le droit indien et exige un chiffrement dont il garde la maîtrise des clés.
Textes de référence
- RGPD, art. 46, 2, c)
- Décision d'exécution (UE) 2021/914 de la Commission
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
