Clauses contractuelles types (CCT)

Définition

Les clauses contractuelles types (CCT, en anglais SCC pour Standard Contractual Clauses) sont des modèles de clauses adoptés par la Commission européenne pour encadrer les transferts de données personnelles vers des pays hors Union européenne n’offrant pas un niveau de protection adéquat. Intégrées telles quelles aux contrats entre exportateur et importateur de données, elles constituent la garantie de transfert la plus utilisée.

Enjeux et pratique

Les CCT sont la réponse contractuelle à un problème géographique : le RGPD interdit de transférer des données personnelles hors UE sans garanties appropriées, et la plupart des chaînes de sous-traitance modernes (cloud, SaaS, support international) traversent les frontières. Faute de décision d’adéquation couvrant le pays de destination, les CCT fournissent le socle de garanties.

Leur version en vigueur, adoptée par la Commission en juin 2021, fonctionne par modules selon la relation : responsable vers responsable, responsable vers sous-traitant, sous-traitant vers sous-traitant, sous-traitant vers responsable. Le choix du bon module, le remplissage rigoureux des annexes (description des transferts, mesures de sécurité, sous-traitants ultérieurs) et l’absence de modification du texte type conditionnent leur validité.

La jurisprudence Schrems II (CJUE, 2020) a ajouté une exigence décisive : signer les CCT ne suffit pas. L’exportateur doit évaluer, transfert par transfert, si le droit du pays de destination permet en pratique de respecter les clauses (accès des autorités aux données, recours des personnes), et adopter au besoin des mesures complémentaires, techniques ou organisationnelles. Cette évaluation, souvent appelée TIA (Transfer Impact Assessment), doit être documentée. Le cadre évolue par ailleurs régulièrement (décisions d’adéquation, dont celle concernant les États-Unis, contestées et susceptibles de revirement) : l’état du droit applicable à chaque transfert est à vérifier en continu.

Pour la gestion contractuelle, les CCT illustrent un défi de masse : savoir quels contrats du portefeuille embarquent des CCT, en quelle version, vers quels pays, avec quelles évaluations à jour, et pouvoir réagir en cascade quand le cadre change : chaque revirement juridique européen se traduit par une campagne d’avenants.

Exemple concret

À la suite d’un changement de jurisprudence sur les transferts vers un pays tiers, une entreprise doit identifier ses contrats concernés. Sans référentiel structuré, l’exercice prend deux mois : 27 contrats embarquent des CCT vers ce pays, dont 9 dans une version périmée et 14 sans évaluation de transfert documentée. La mise à niveau (avenants, TIA, mesures complémentaires) suit, mais l’entreprise a passé l’essentiel du délai réglementaire à chercher ses propres contrats.

Question fréquente

Les CCT suffisent-elles à rendre un transfert hors UE licite ?

Plus depuis Schrems II : il faut y ajouter une évaluation documentée du droit du pays de destination et, si nécessaire, des mesures complémentaires (chiffrement avec clés conservées dans l’UE, pseudonymisation, mesures organisationnelles). Les CCT sont le socle, pas le tout : c’est l’ensemble clauses plus évaluation plus mesures qui se défend devant une autorité.