La mutualisation d’un certain nombre d’outils et le partage d’informations entre les entités d’un même groupe s’appuient nécessairement sur des
Principes applicables au transfert de données
Au principe de
Les exceptions au principe d’interdiction, prévues par l’article 69 de la loi de 1978 sont d’interprétation stricte et ne sauraient être invoquées que si le transfert est nécessaire :
- à la sauvegarde de la vie de la personne concernée ;
- à la sauvegarde de l’intérêt public ;
- au respect d’obligations permettant d’assurer la constatation, l’exercice ou la défense d’un droit en justice ;
- à la consultation d’un registre public ;
- à l’exécution d’un contrat entre le responsable de traitement et l’intéressé ;
- à la conclusion ou à l’exécution d’un contrat conclu ou à conclure dans l’intérêt de la personne concernée.
Les outils utilisés dans la pratique
La Commission européenne pour faciliter l’encadrement des transferts de données en dehors de l’UE a adopté trois jeux de Clauses contractuelles types (CCT). Deux jeux de CCT concernent les transferts de données à caractère personnel de responsable de traitement à
La pratique des BCR, bien que non expressément prévue par les textes légaux, s’est instaurée sous l’impulsion du Groupe de travail de l’article 29 (G29) qui a créé une « boîte à outils » décrivant les éléments que devaient contenir de tels instruments d’encadrement des transferts hors UE. Les modèles de BCR ainsi proposés par le G29 sont en réalité des schémas directeurs qui doivent être adaptés à chaque situation particulière, en fonction de la politique du groupe pour la protection des données à caractère personnel. La complexité de leur mise en œuvre s’est réduite avec l’expérience des différents acteurs destinés à intervenir dans le processus de leur élaboration puis d’adoption (organisations et autorités de contrôle, les groupes d’entreprise, le G29, etc.).
Les BCR entre responsables de traitement ont alors connu un certain succès, en dépit du temps nécessaire à leur déploiement. Dans la logique de rationalisation des contraintes et lourdeurs administratives liées à l’encadrement des transferts de données le G29 a proposé en 2012 et en 2013 des documents sur la possibilité de BCR entre responsables de traitement et
Les perspectives d’évolution
De manière générale, l’esprit de la proposition de règlement européen, au-delà de l’uniformisation du droit de la protection des données à caractère personnel avec un même texte pour les 28 États, est de simplifier les contraintes administratives appliquées aux traitements de ces données et, en particulier, au regard des formalités déclaratives préalables à leur mise en œuvre. Dans cette perspective d’allégement, les articles 40 et suivants de la proposition dédiés aux transferts « internationaux » de données ont prévu quelques aménagements eux-mêmes amendés par la Commission LIBE (Libertés civiles, justice et affaires intérieures) qui a déposé son rapport le 22 novembre 2013.
En l’état de la proposition législative, pour qu’un transfert de données puisse être effectué depuis un État membre de l’UE, le destinataire doit être situé dans un État tiers ou sur un territoire ou secteur garantissant un niveau de protection adéquat constaté par la Commission. La licéité du transfert peut également reposer sur l’adoption de garanties appropriées ou relever d’une des dérogations limitativement énoncées dans la proposition. En présence d’une décision d’adéquation, le transfert n’a pas besoin d’être autorisé.
De même, les garanties appropriées suivantes permettent d’échapper à une autorisation spécifique : les BCR, le label européen de protection des données octroyé au responsable du traitement et au destinataire et les clauses types de protection des données adoptées par une autorité de contrôle (remplaçant les CCT actuelles de la Commission européenne).
En revanche, les clauses contractuelles, créées par la proposition de règlement, adoptées entre un responsable de traitement ou un sous-traitant et un destinataire doivent être autorisées par une autorité de contrôle.
Ceci étant, la pression du calendrier risque fort de reporter sine die le vote de cette proposition de règlement. L’approche de la prochaine législature pourrait bien définitivement disqualifie tout ou partie des travaux parlementaires. Donc des libertés et des droits fondamentaux à suivre par les banques !
