2010

Le groupe de travail de l’article 29 a adopté, le 12 juillet 2010, un document apportant d’utiles précisions quant à l’application des clauses contractuelles types issues de la décision 2010/87/UE du 5 février 2010. En particulier, il rappelle le principe selon lequel les clauses contractuelles type sont inapplicables dans la situation dans laquelle le responsable et le sous-traitant sont établis dans l’EEE

Informatique et libertés Flux transfrontières Flux transfrontières : de nouvelles clauses contractuelles types La Commission européenne a adopté, le 5 février 2010, de nouvelles clauses contractuelles permettant d’encadrer les flux transfrontières de données à caractère personnel vers des sous-traitants établis dans un pays n’offrant pas un niveau de protection adéquat. En permettant d’encadrer les transferts de « sous-traitant » vers « sous-traitant », les nouvelles clauses, prennent mieux en compte le recours croissant à l’externalisation et au « cloud computing » (littéralement, informatique dans les nuages). Ces nouvelles clauses remplaceront, à compter du 15 mai 2010, les clauses contractuelles types résultant de la décision 2002/16/CE du 27 décembre 2001. Aux termes de ces clauses un sous-traitant qui souhaite à son tour sous-traiter le traitement des données à caractère personnel devra au préalable obtenir l’accord écrit de l’exportateur pour le compte duquel les données sont transférées hors Union européenne. Par ailleurs, le contrat conclu entre le sous-traitant initial et le sous-traitant ultérieur devra imposer à ce dernier les mêmes obligations que celles auxquelles le sous-traitant initial est soumis. Un audit des contrats de sous-traitance devra donc être réalisé afin d’assurer, le cas échéant, leur mise en conformité à ces nouvelles dispositions. De même, un avenant aux conventions de flux transfrontières conclues avec des sous-traitants avant le 15 mai 2010 devra être rédigé, afin de prendre en compte le cas d’une sous-traitance ultérieure effectuée dans un pays tiers. Décision 2010/87/UE de la Commission européenne du 5 février 2010

Informatique et libertés Flux transfrontières Etablir des règles internes de flux transfrontières intra groupe : le G29 prescrit des règles Pour aider les entreprises à établir des règles internes d’entreprise contraignantes (BCR ou Binding Corporate Rules) conformes aux exigences européennes, le groupe de travail « article 29 », organe consultatif européen indépendant sur la protection des données et de la vie privée, a publié, le 24 juin 2008, deux documents de travail récapitulant l’ensemble des obligations leur incombant. Le premier document de travail WP 153 est un tableau récapitulatif permettant de visualiser les informations qui doivent impérativement figurer dans les règles internes (BCR) et les informations qui doivent être transmises à l’autorité compétente en matière de protection des données en vue de l’approbation des règles internes, à savoir la Cnil. Le second document de travail WP 154, présente le squelette de règles internes (BCR) qui pourraient être adoptées au regard de l’ensemble des informations impératives présentées dans le premier document. Les BCR devront être adaptées afin de prendre en compte la structure du groupe auquel elles s’appliquent, les opérations de traitement que les filiales effectuent et les politiques et procédures qu’elles mettent en oeuvre pour protéger les données à caractère personnel. Document de travail WP 153 du 24 juin 2008 Document de travail WP 154 du 24 juin 2008 (Mise en ligne Novembre 2008)