Clauses contractuelles types : choisir le bon module et documenter le transfert

Les clauses contractuelles types adoptées par la Commission européenne en 2021 sont l'instrument le plus utilisé pour encadrer un transfert de données personnelles hors Union européenne. Elles sont aussi le plus mal appliqué, pour une raison simple : beaucoup d'organisations les signent et s'arrêtent là.

Choisir le bon module

La décision 2021/914 contient quatre modules. Utiliser le mauvais rend l'ensemble inopérant.

Module 1 — responsable vers responsable. Rare dans une relation de prestation informatique.

Module 2 — responsable vers sous-traitant. C'est le cas standard : vous confiez à un prestataire hors UE le traitement de données dont vous restez responsable. C'est celui que vous utiliserez dans la quasi-totalité des contrats de développement, de TMA ou d'infogérance.

Module 3 — sous-traitant vers sous-traitant ultérieur. S'applique quand votre prestataire recourt lui-même à un tiers hors UE. Vous devez vérifier que ce module a bien été signé en aval, sinon la chaîne est rompue au deuxième maillon.

Module 4 — sous-traitant vers responsable. Situation particulière, peu fréquente.

Ce qu'il faut ajouter aux clauses

L'arrêt Schrems II a posé que les clauses seules ne suffisent pas lorsque le droit du pays de destination permet aux autorités locales un accès aux données qui viderait ces clauses de leur effet. Il faut donc produire deux choses supplémentaires.

L'analyse d'impact du transfert. Un document qui examine la législation du pays de destination sur l'accès des autorités aux données, l'existence de recours juridictionnels effectifs pour les personnes concernées, et la probabilité pratique qu'une demande d'accès vise vos données. Un rapport de deux pages sérieux vaut mieux que trente pages génériques.

Les mesures supplémentaires. Elles doivent réduire concrètement le risque identifié. Les plus efficaces, par ordre décroissant :

• Ne pas transférer les données du tout. Accès distant à un environnement resté en région UE, sans copie locale : juridiquement, le transfert existe toujours, mais l'exposition est très réduite.
• La pseudonymisation en développement. Le prestataire travaille sur des données qui ne permettent pas d'identifier une personne sans une table de correspondance restée chez vous.
• Le chiffrement avec gestion des clés côté client. Si les clés ne quittent jamais l'Union européenne, un accès aux données chiffrées a peu de valeur.
• La journalisation et l'engagement de contestation. Le prestataire s'engage à vous informer de toute demande d'accès et à la contester dans la mesure du droit local.

La documentation qui tient devant une autorité

Trois éléments doivent exister, datés et signés :

1. Les clauses elles-mêmes, dans le bon module, avec les annexes complétées — description du traitement, mesures techniques, liste des sous-traitants ultérieurs. Une annexe vide est une non-conformité.
2. L'analyse d'impact du transfert, datée, avec la mention des sources consultées.
3. La description des mesures supplémentaires effectivement mises en œuvre, vérifiable.

L'erreur la plus fréquente

Les annexes non remplies. Les clauses types sont un modèle : leur valeur juridique repose sur les annexes, qui décrivent votre traitement à vous. Un contrat qui reprend le texte de la Commission avec des annexes en blanc, ou remplies d'une phrase générique, ne vaut rien en cas de contrôle.

Deuxième erreur fréquente : oublier la mise à jour. La liste des sous-traitants ultérieurs change, les mesures techniques évoluent, le personnel autorisé n'est plus le même. Prévoyez une revue annuelle, et faites-la figurer dans le contrat.