2001D0497 — FR — 01.04.2005 — 001.001

Ce document constitue un outil de documentation et n’engage pas la responsabilité des institutions

►B DÉCISION DE LA COMMISSION du 15 juin 2001 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers en vertu de la directive 95/46/CE [notifiée sous le numéro C(2001) 1539] (Texte présentant de l'intérêt pour l'EEE) (2001/497/CE) (JO L 181, 4.7.2001, p.19)

Modifié par:









▼B

DÉCISION DE LA COMMISSION

du 15 juin 2001

relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers en vertu de la directive 95/46/CE

[notifiée sous le numéro C(2001) 1539]

(Texte présentant de l'intérêt pour l'EEE)

(2001/497/CE)







LA COMMISSION DES COMMUNAUTÉS EUROPÉENNES, vu le traité instituant la Communauté européenne, vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ( 1 ), et notamment son article 26, paragraphe 4, considérant ce qui suit: (1) Conformément à la directive 95/46/CE, les États membres sont tenus de veiller à ce qu'un transfert de données à caractère personnel vers un pays tiers ne puisse avoir lieu que si le pays en question assure un niveau de protection adéquat des données et si les lois des États membres, qui sont conformes aux autres dispositions de la directive, sont respectées avant le transfert. (2) Toutefois, l'article 26, paragraphe 2, de la directive 95/46/CE prévoit que les États membres peuvent autoriser, sous certaines garanties, un transfert, ou un ensemble de transferts, de données à caractère personnel vers des pays tiers n'assurant pas un niveau de protection adéquat. Ces garanties doivent notamment résulter de clauses contractuelles appropriées. (3) Conformément à la directive 95/46/CE, le niveau de protection des données doit s'apprécier au regard de toutes les circonstances relatives à un transfert ou à une catégorie de transferts. Le groupe de protection des personnes à l'égard du traitement des données à caractère personnel instauré au titre de ladite directive ( 2 ) a publié des lignes directrices afin de faciliter l'évaluation ( 3 ). (4) L'article 26, paragraphe 2, de la directive 95/46/CE, qui assure la flexibilité à une organisation qui souhaite transférer des données vers des pays tiers, et l'article 6, paragraphe 4, qui prévoit des clauses contractuelles types, sont essentiels pour assurer le flux nécessaire de données à caractère personnel entre la Communauté et les pays tiers sans imposer de charges inutiles aux opérateurs économiques. Lesdits articles sont particulièrement importants étant donné que la Commission n'adoptera probablement des mécanismes attestant le niveau adéquat de protection des données, conformément à l'article 25, paragraphe 6, que pour un nombre limité de pays à court terme ou même à moyen terme. (5) Les clauses contractuelles types ne constituent qu'une des diverses possibilités prévues par la directive 95/46/CE pour transférer de manière licite des données à caractère personnel conjointement à l'article 25 et à l'article 26, paragraphes 1 et 2. En intégrant ces clauses contractuelles dans un contrat, les organisations pourront transférer beaucoup plus aisément des données à caractère personnel vers des pays tiers. Les clauses contractuelles types ne concernent que la protection des données et l'exportateur et l'importateur sont libres d'inclure d'autres clauses à caractère commercial, comme des clauses d'assistance mutuelle en cas de litiges avec une personne concernée ou une autorité de contrôle, qu'ils jugent pertinentes pour le contrat à condition qu'elles ne contredisent pas les clauses contractuelles types. (6) La présente décision ne doit pas affecter les autorisations nationales que les États membres peuvent délivrer conformément aux dispositions nationales mettant en œuvre l'article 26, paragraphe 2, de la directive 95/46/CE. Les circonstances des transferts spécifiques peuvent amener les responsables du traitement des données à prévoir des garanties différentes au sens de l'article 26, paragraphe 2. En tout état de cause, la présente décision a pour seul effet d'obliger les États membres à ne pas refuser de reconnaître que les clauses contractuelles qui y sont décrites offrent des garanties adéquates et elle n'a donc aucun effet sur d'autres clauses contractuelles. (7) Le champ d'application de la présente décision se limite à établir que les clauses reprises dans l'annexe peuvent être utilisées par un responsable du traitement établi dans la Communauté pour offrir des garanties suffisantes au sens de l'article 26, paragraphe 2, de la directive 95/46/CE. Le transfert de données à caractère personnel vers des pays tiers constitue un traitement dans un État membre dont la licéité est soumise au droit national. Dans l'exercice des fonctions et des pouvoirs qui leur sont conférés par l'article 28 de la directive 95/46/CE, les autorités de contrôle des États membres demeureront compétentes pour apprécier si l'exportateur de données a respecté le droit national mettant en œuvre les dispositions de la directive 95/46/CE et, notamment, toute règle spécifique relative à l'obligation de fournir des informations au titre de la directive. (8) La présente décision ne couvre pas le transfert de données à caractère personnel effectué par des responsables du traitement établis dans la Communauté vers des destinataires établis en dehors du territoire de la Communauté qui agissent exclusivement en tant que sous-traitants. Ces transferts n'exigent pas les mêmes garanties parce que le sous-traitant agit exclusivement pour le compte du responsable du traitement. La Commission estime qu'il est nécessaire d'aborder ce transfert dans une décision ultérieure. (9) Il convient d'établir les informations minimales que les parties doivent prévoir dans le contrat qui a trait au transfert. Les États membres doivent conserver la faculté de spécifier les informations que les parties doivent fournir. L'application de la présente décision sera revue à la lumière de l'expérience acquise. (10) La Commission examinera à l'avenir également si les clauses contractuelles types présentées par des organisations commerciales ou d'autres parties concernées offrent des garanties suffisantes conformément à l'article 26, paragraphe 2, de la directive 95/46/CE. (11) Tandis que les parties doivent être libres de convenir des règles de protection des données de fond que l'importateur de données doit respecter, certains principes de protection des données doivent s'appliquer en tout état de cause. (12) Les données ne doivent être traitées et ensuite utilisées ou être communiquées à d'autres qu'à des fins déterminées et ne doivent pas être conservées plus longtemps que nécessaire. (13) Conformément à l'article 12 de la directive 95/46/CE, la personne concernée doit avoir un droit d'accès à toutes les données la concernant et, le cas échéant, un droit de rectification, d'effacement ou d'opposition à certaines données. (14) D'autres transferts de données à caractère personnel à un autre responsable du traitement établi dans un pays tiers ne doivent être permis que sous certaines conditions, visant en particulier à garantir que les personnes concernées reçoivent des informations correctes et ont la possibilité de s'opposer, ou dans certains cas de retirer leur consentement. (15) Outre l'appréciation de la conformité des transferts vers des pays tiers avec le droit national, les autorités de contrôle doivent également jouer un rôle clé dans ce mécanisme contractuel en garantissant la protection adéquate des données à caractère personnel après le transfert. Dans les circonstances particulières, les autorités de contrôle des États membres doivent conserver la faculté d'interdire ou de suspendre un transfert de données ou un ensemble de transferts basé sur des clauses contractuelles types dans les cas exceptionnels où il est établi qu'un transfert basé sur des termes contractuels risque d'altérer considérablement les garanties offrant un niveau de protection adéquat à la personne concernée. (16) Les clauses contractuelles types doivent être exécutoires, non seulement par les organisations parties au contrat mais également par les personnes concernées, en particulier lorsque ces dernières subissent un dommage en raison d'une rupture du contrat. (17) Le droit régissant le contrat doit être le droit de l'État membre dans lequel l'exportateur de données est établi qui autorise un tiers bénéficiaire à faire exécuter un contrat. Les personnes concernées doivent pouvoir être représentées par des associations ou d'autres organismes si elles le souhaitent et si le droit national l'autorise. (18) Pour réduire les difficultés d'ordre pratique que les personnes concernées pourraient rencontrer lorsqu'elles tentent de faire appliquer leurs droits en vertu de ces clauses contractuelles types, l'exportateur et l'importateur de données doivent être solidairement responsables des dommages résultant de toute violation des dispositions soumises à la clause du tiers bénéficiaire. (19) La personne concernée a le droit d'exercer un recours et d'obtenir réparation de l'exportateur de données, de l'importateur de données ou des deux pour tout dommage résultant de toute action incompatible avec les obligations prévues par les clauses contractuelles types. Les deux parties peuvent être exonérées de cette responsabilité si elles prouvent que ni l'une ni l'autre n'étaient responsables. (20) La responsabilité solidaire ne s'étend pas aux dispositions non couvertes par la clause du tiers bénéficiaire et elle ne doit pas rendre une partie responsable du traitement illicite effectué par l'autre partie. Bien qu'un dédommagement mutuel entre les parties ne soit pas obligatoire pour garantir le niveau adéquat de protection des personnes concernées et que cette disposition puisse donc être supprimée, elle est incluse dans les clauses contractuelles types dans un souci de clarification et pour éviter aux parties de devoir négocier des clauses de dédommagement séparément. (21) Si un litige entre les parties et la personne concernée n'est pas résolu à l'amiable et si la personne concernée invoque la clause du tiers bénéficiaire, les parties conviennent de proposer à la personne concernée le choix entre la médiation, l'arbitrage ou le procès. La personne concernée aura réellement le choix dans la mesure où elle pourra disposer de systèmes de médiation et d'arbitrage fiables et reconnus. La médiation par l'autorité de contrôle d'un État membre doit être une option lorsqu'elle fournit un tel service. (22) Le groupe de protection des personnes à l'égard du traitement des données à caractère personnel institué en vertu de l'article 29 de la directive 95/46/CE a émis un avis sur le niveau de protection prévu par les clauses contractuelles types annexées à la présente décision. Cet avis a été pris en considération dans la préparation de la décision actuelle ( 4 ). (23) Les mesures prévues dans la présente décision sont conformes à l'avis du comité institué en vertu de l'article 31 de la directive 95/46/CE, considérant ce qui suit: A ARRÊTÉ LA PRÉSENTE DÉCISION:







Article premier

Les causes contractuelles types contenues dans l'annexe sont considérées comme offrant des garanies suffisantes en matière de protection de la vie privée et des droits fondamentaux et des libertés des individus et en ce qui concerne l'exercice des droits correspondants comme l'exige l'article 26, paragraphe 2, de la directive 95/46/CE.

▼M1

Les responsables du traitement des données peuvent choisir entre les ensembles I et II de l’annexe. Ils ne peuvent toutefois pas modifier les clauses ni combiner des clauses individuelles ou les ensembles.

▼B

Article 2

La présente décision concerne uniquement le caractère adéquat de la protection fournie par les clauses contractuelles types pour le transfert de données à caractère personnel contenues dans l'annexe. Elle n'affecte pas l'application d'autres dispositions nationales mettant en œuvre la directive 95/46/CE qui se rapportent au traitement de données à caractère personnel dans les États membres.

La présente décision ne s'applique pas au transfert de données à caractère personnel par des responsables du traitement établis dans la Communauté à des destinataires établis en dehors de la communauté qui agissent seulement comme sous-traitants.

Article 3

Aux fins de la présente décision:

a) les définitions contenues dans la directive 95/46/CE s'appliquent;

b) les «catégories spéciales de données» sont les données visées à l'article 8 de ladite directive;

c) les «autorités de contrôle» sont les autorités visées à l'article 28 de ladite directive;

d) l'«exportateur de données» est le responsable du traitement qui transfère les données à caractère personnel;

e) l'«importateur de données» est le responsable du traitement qui accepte de recevoir de l'exportateur de données des données à caractère personnel en vue de leur traitement ultérieur conformément aux conditions de la présente décision.

Article 4

1. Sans préjudice de leurs pouvoirs de prendre des mesures visant à assurer le respect des dispositions nationales adoptées conformément aux chapitres II, III, V et VI de la directive 95/46/CE, les autorités compétentes des États membres peuvent exercer les pouvoirs dont elles disposent pour interdire ou suspendre les flux de données vers des pays tiers afin de protéger les individus en ce qui concerne le traitement de leurs données à caractère personnel et ce, dans les cas où:

a) il est établi que le droit auquel l'importateur de données est soumis oblige ce dernier à déroger aux règles pertinentes de protection des données au-delà des restrictions nécessaires dans une société démocratique comme le prévoit l'article 13 de la directive 95/46/CE lorsque ces obligations risquent d'altérer considérablement les garanties offertes par les clauses contractuelles types, ou

b) une autorité compétente a établi que l'importateur de données n'a pas respecté les clauses du contrat, ou

c) il est fort probable que les clauses contractuelles types figurant dans l'annexe ne sont pas ou ne seront pas respectées et que la poursuite du transfert ferait courir aux personnes concernées un risque imminent de subir des dommages graves.

▼M1

2. Aux fins du paragraphe 1, lorsque le responsable du traitement des données offre des garanties adéquates sur la base des clauses contractuelles types contenues dans l’ensemble II de l’annexe, les autorités compétentes en matière de protection des données peuvent exercer les pouvoirs dont elles disposent pour interdire ou suspendre les flux de données dans les cas suivants:

a) refus de l’importateur de données de coopérer de bonne foi avec les autorités compétentes ou de se conformer aux obligations clairement énoncées dans le contrat;

b) refus de l’exportateur de données de prendre des mesures appropriées pour faire valoir le contrat à l’encontre de l’importateur de données dans le délai normal d’un mois après avoir reçu la notification de l’autorité compétente.

Aux fins du premier alinéa, le refus de mauvaise foi ou le refus d’appliquer le contrat par l’importateur de données ne couvre pas les cas où la coopération ou l’application entrerait en conflit avec les exigences impératives de la législation nationale le concernant et qui ne vont pas au-delà de celles qui sont nécessaires dans une société démocratique sur la base de l’un des intérêts énumérés à l’article 13, paragraphe 1, de la directive 95/46/CE, notamment les sanctions reconnues sur le plan international, les obligations de déclaration fiscale et les obligations de déclaration dans le cadre de la lutte contre le blanchiment d’argent.

Aux fins du point a) du premier alinéa, la coopération peut inclure, en particulier, la soumission pour vérification des moyens de traitement des données de l’importateur de données ou l’obligation de se soumettre à l’avis de l’autorité de contrôle de la protection des données dans la Communauté.

3. L’interdiction ou la suspension visée aux paragraphes 1 et 2 est levée dès que les raisons qui la motivaient disparaissent.

4. Lorsque les États membres adoptent des mesures conformément aux paragraphes 1 et 2, ils en informent sans délai la Commission, qui transmet l’information aux autres États membres.

▼B

Article 5

►M1 La Commission évaluera l'effet de cette décision sur la base des informations disponibles trois ans après sa notification aux États membres ainsi qu'après la notification de tout amendement qui pourrait y être apporté. ◄ Elle communique au comité institué au titre de l'article 31 de la directive 95/46/CE un rapport sur les constatations effectuées. Le rapport comprend tout élément susceptible d'influer sur l'évaluation concernant l'adéquation des clauses contractuelles types figurant en annexe et tout élément indiquant que la présente décision est appliquée de manière discriminatoire.

Article 6

La présente décision s'applique à compter du 3 septembre 2001.

Article 7

Les États membres sont destinataires de la présente décision.









ANNEXE

▼M1

ENSEMBLE I

▼B

Appendice 1

aux clauses contractuelles types

Appendice 2

aux clauses contractuelles types

Principes obligatoires de protection des données visés au paragraphe 1 de la clause 5, point b)

Les présents principes doivent être lus et interprétés à la lumière des dispositions (principes et exceptions pertinentes) de la directive 95/46/CE.

Ils s'appliquent sous réserve des exigences impératives de la législation nationale applicables à l'importateur de données qui ne vont pas au-delà de ce qui est nécessaire dans une société démocratique sur la base de l'un des intérêts énumérés à l'article 13, paragraphe 1, de la directive 95/46/CE, c'est-à-dire, si elles constituent une mesure nécessaire pour sauvegarder la sécurité de l'État, la défense, la sécurité publique, la prévention, la recherche, la détection et la poursuite d'infractions pénales ou de manquements à la déontologie dans le cas de professions réglementées, un intérêt économique ou financier d'un État ou la protection de la personne concernée ou des droits et des libertés d'autrui.

1. Limitation des transferts à une finalité spécifique: les données ne doivent être traitées et utilisées ou communiquées ultérieurement que pour les finalités spécifiques indiquées dans l'appendice 1 des présentes clauses. Elles ne doivent pas être conservées plus longtemps que nécessaire aux fins pour lesquelles elles sont transférées.

2. Qualité et proportionnalité des données: les données doivent être exactes et, au besoin, actualisées. Elles doivent être adéquates, pertinentes et non excessives au regard des finalités auxquelles obéit leur transfert ou leur traitement ultérieur.

3. Transparence: les personnes concernées doivent recevoir des informations sur les finalités du traitement et sur l'identité du responsable de ce traitement dans le pays tiers ainsi que d'autres informations, dans la mesure où elles sont nécessaires pour assurer un traitement loyal, à moins que ces informations aient déjà été fournies par l'exportateur de données.

4. Sécurité et confidentialité: le responsable du traitement doit prendre des mesures de sécurité, sur le plan technique et au niveau de l'organisation, qui sont appropriées au regard des risques présentés par le traitement, comme l'accès non autorisé. Toute personne agissant sous l'autorité du responsable du traitement, y compris un sous-traitant, ne doit traiter les données que sur instructions du responsable.

5. Droits d'accès, de rectification, d'effacement et d'opposition: comme le prévoit l'article 12 de la directive 95/46/CE, la personne concernée doit avoir le droit d'accéder à toutes les données traitées qui la concernent et, le cas échéant, d'obtenir leur rectification, leur effacement ou leur verrouillage lorsqu'il apparaît que leur traitement ne respecte pas les principes fixés dans le présent appendice, notamment parce que ces données sont incomplètes ou inexactes. Elle doit également être en mesure de s'opposer au traitement des données la concernant pour des raisons impérieuses et légitimes concernant sa situation personnelle.

6. Restrictions aux transferts ultérieurs: les transferts ultérieurs de données à caractère personnel effectués par l'importateur de données vers un autre responsable du traitement établi dans un pays tiers n'offrant pas un niveau de protection adéquat ou non couverts par une décision de la Commission adoptée conformément à l'article 25, paragraphe 6, de la directive 95/46/CE ne peuvent être autorisés que si: a) les personnes concernées ont, dans le cas de catégories spéciales de données, indubitablement accepté le transfert ultérieur ou, dans les autres cas, la possibilité de s'y opposer. Les informations minimales à fournir aux personnes concernées doivent contenir dans un langage qui leur soit compréhensible: — l'objectif du transfert ultérieur, — l'identification de l'exportateur de données établi dans la Communauté, — les catégories des destinataires ultérieurs des données et les pays de destination, et — une remarque expliquant que, après le transfert ultérieur, les données peuvent être traitées par un responsable du traitement établi dans un pays qui ne présente pas un niveau approprié de protection de la vie privée des personnes, ou b) l'exportateur et l'importateur de données acceptent les clauses d'un autre responsable du traitement qui devient alors partie aux clauses et souscrit aux mêmes obligations que l'importateur de données.

7. Catégories particulières de données: lorsque des données qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, les données relatives à la santé et à la vie sexuelle et des données relatives aux infractions, aux condamnations pénales ou aux mesures de sûreté sont traitées, des mesures de protection supplémentaires doivent être prévues au sens de la directive 95/46/CE, notamment des mesures de sécurité appropriées telles que procéder à un cryptage approfondi pour la transmission ou répertorier l'accès aux données sensibles.

8. Marketing direct: lorsque des données sont traitées à des fins de marketing direct, des procédures efficaces doivent exister, permettant à la personne concernée de «s'opposer» à ce que les données la concernant soient, à un moment ou à un autre, utilisées à une telle fin.

9. Décisions individuelles automatisées: les personnes concernées ont le droit de ne pas être soumises à une décision prise uniquement sur la base du traitement automatisé de données, à moins que d'autres mesures ne soient prises pour sauvegarder les intérêts légitimes de la personne comme le prévoit l'article 15, paragraphe 2, de la directive 95/46/CE. Lorsque la finalité du transfert est la prise d'une décision automatisée, au sens de l'article 15 de la directive 95/46/CE qui produit des effets juridiques à l'égard de la personne ou qui affecte de manière significative, et qui est prise sur le seul fondement d'un traitement automatisé de données destiné à évaluer certains aspects de sa personnalité, tels que son rendement professionnel, son crédit, sa fiabilité, son comportement, etc., la personne doit avoir le droit de connaître la logique qui sous-tend cette décision.

Appendice 3

aux clauses contractuelles types

Principes obligatoires de protection des données visés au paragraphe 2 de la clause 5, point b)

1. Limitation des transferts à une finalité spécifique: les données ne doivent être traitées et utilisées ou communiquées ultérieurement que pour les finalités spécifiques indiquées dans l'appendice 1 des présentes clauses. Elles ne doivent pas être conservées plus longtemps que nécessaire aux fins pour lesquelles elles sont transférées.

2. Droits d'accès, de rectification, d'effacement et d'opposition: comme le prévoit l'article 12 de la directive 95/46/CE, la personne concernée doit avoir le droit d'accéder à toutes les données traitées qui la concernent et, le cas échéant, d'obtenir leur rectification, leur effacement ou leur verrouillage lorsqu'il apparaît que leur traitement ne respecte pas les principes fixés dans le présent appendice parce que les données sont incomplètes ou inexactes. Elle doit également être en mesure de s'opposer au traitement des données la concernant pour des raisons impérieuses et légitimes concernant sa situation personnelle.

3. Restrictions aux transferts ultérieurs: les transferts ultérieurs de données à caractère personnel effectués par l'importateur de données vers un autre responsable du traitement établi dans un pays tiers n'offrant pas un niveau de protection adéquat ou non couverts par une décision de la Commission adoptée conformément à l'article 25, paragraphe 6, de la directive 95/46/CE ne peuvent être autorisés que si: a) les personnes concernées ont, dans le cas de catégories spéciales de données, indubitablement accepté le transfert ultérieur ou, dans les autres cas, la possibilité de s'y opposer. Les informations minimales à fournir aux personnes concernées doivent contenir dans un langage qui leur soit compréhensible: — l'objectif du transfert ultérieur, — l'identification de l'exportateur de données établi dans la Communauté, — les catégories des destinataires ultérieurs des données et les pays de destination, et — une remarque expliquant que, après le transfert ultérieur, les données peuvent être traitées par un responsable du traitement établi dans un pays qui ne présente pas un niveau approprié de protection de la vie privée des personnes, ou b) l'exportateur et l'importateur de données acceptent les clauses d'un autre responsable du traitement qui devient alors partie aux clauses et souscrit aux mêmes obligations que l'importateur de données.

▼M1

ENSEMBLE II

Clauses contractuelles types pour le transfert de données à caractère personnel à partir de la Communauté vers des pays tiers (transferts de responsable du traitement à responsable du traitement)

Accord de transfert de données

entre

_(nom)

_(adresse et pays d’établissement)

ci-après, «l’exportateur de données»

d’une part, et

_(nom)

_(adresse et pays d’établissement)

ci-après, «l’importateur de données», d’autre part,

dénommés ensemble «les parties» et individuellement «partie»

Définitions

Au sens des clauses:

a) «données à caractère personnel», «catégories spéciales de données/données sensibles», «traiter/traitement», «responsable du traitement», «sous-traitant», «personne concernée» et «autorité de contrôle/autorité» ont la même signification que dans la directive 95/46/CE du 24 octobre 1995 («l’autorité» étant l’autorité compétente en matière de protection des données sur le territoire où l’exportateur de données est établi);

b) l'«exportateur de données» est le responsable du traitement qui transfère les données à caractère personnel;

c) l'«importateur de données» est le responsable du traitement qui accepte de recevoir de l’exportateur de données des données à caractère personnel destinées à être traitées conformément aux termes des présentes clauses et qui n’est pas soumis au mécanisme d’un pays tiers assurant une protection adéquate;

d) les «clauses» sont les présentes clauses contractuelles, qui constituent un document indépendant et ne comprennent pas de dispositions commerciales convenues par les parties dans le cadre d’accords commerciaux distincts.

Les détails du transfert (ainsi que les données à caractère personnel couvertes) sont spécifiés à l’annexe B, qui fait partie intégrante des clauses.

I. Obligations de l’exportateur de données

L’exportateur de données offre les garanties et prend les engagements suivants:

a) Les données à caractère personnel ont été collectées, traitées et transférées conformément aux lois applicables à l’exportateur de données.

b) L’exportateur de données a entrepris des démarches raisonnables pour s’assurer que l’importateur de données est à même de satisfaire aux obligations juridiques qui lui incombent en vertu des présentes clauses.

c) L’exportateur de données communique à l’importateur de données, à la demande de ce dernier, le texte des lois pertinentes en matière de protection des données du pays dans lequel il est établi ou les références de ces lois (si approprié et sans inclure d’avis juridique).

d) L’exportateur de données répond aux demandes de renseignements des personnes concernées et de l’autorité au sujet du traitement des données à caractère personnel par l’importateur de données, à moins que les parties n’aient convenu que c’est l’importateur de données qui y répond, auquel cas l’exportateur de données doit néanmoins répondre dans la mesure du possible en communiquant les informations dont il peut raisonnablement disposer si l’importateur de données ne consent pas à répondre ou n’est pas en mesure de le faire. Les réponses sont apportées dans des délais raisonnables.

e) L’exportateur de données remet, sur demande, un exemplaire des clauses aux personnes concernées qui sont des tiers bénéficiaires en vertu de la clause III, à moins que les clauses ne contiennent des informations confidentielles, auquel cas il est autorisé à retirer lesdites informations. Lorsque des informations sont retirées, l’exportateur de données informe les personnes concernées, par écrit, de la raison du retrait et de leur droit de porter ce retrait à la connaissance de l’autorité. Toutefois, l’exportateur de données se conforme à une décision de l’autorité concernant l’accès au texte intégral des clauses par les personnes concernées, pour autant que ces dernières aient accepté de respecter la confidentialité des informations confidentielles retirées. L’exportateur de données fournit également un exemplaire des clauses à l’autorité lorsque cette dernière le lui demande.

II. Obligations de l’importateur de données

L’importateur de données offre les garanties et prend les engagements suivants:

a) L’importateur de données met en place les mesures techniques et organisationnelles appropriées pour protéger les données à caractère personnel contre une destruction fortuite ou illicite, une perte accidentelle, une altération, une divulgation ou un accès non autorisé. Ces mesures assurent un niveau de sécurité adapté au risque lié au traitement et à la nature des données à protéger.

b) L’importateur de données met en place des procédures assurant que les tiers qu’il autorise à accéder aux données à caractère personnel, y compris les sous-traitants, respectent et préservent la confidentialité et la sécurité des données à caractère personnel. Toute personne agissant sous l’autorité de l’importateur de données, y compris un sous-traitant, ne peut traiter les données à caractère personnel que sur instruction de l’importateur de données. Cette disposition ne s’applique pas aux personnes que la loi ou la réglementation autorise ou oblige à accéder aux données à caractère personnel.

c) Au moment où il adhère aux présentes clauses, l’importateur de données n’a pas connaissance de l’existence de lois locales susceptibles d’affecter de façon substantielle les garanties offertes en vertu des présentes clauses et, s’il apprend l’existence de telles lois, il en informe l’exportateur de données (qui transmettra cette notification à l’autorité si nécessaire).

d) L’importateur de données traite les données à caractère personnel aux fins décrites à l’annexe B et il est juridiquement habilité à donner les garanties et à prendre les engagements énoncés dans les présentes clauses.

e) L’importateur de données désigne à l’exportateur de données un point de contact au sein de son organisation qui est autorisé à répondre aux demandes de renseignements concernant le traitement des données à caractère personnel et coopère de bonne foi avec l’exportateur de données, les personnes concernées et l’autorité au sujet de toutes ces demandes de renseignements dans des délais raisonnables. En cas de dissolution légale de l’exportateur de données ou si les parties en ont convenu ainsi, l’importateur de données assume la responsabilité de la conformité aux dispositions de la clause I e).

f) À la demande de l’exportateur de données, l’importateur de données lui apporte la preuve qu’il dispose de ressources financières suffisantes pour assumer ses responsabilités au titre de la clause III (ce qui peut inclure la couverture d’une assurance).

g) Sur demande raisonnable de l’exportateur de données, l’importateur de données soumet ses moyens de traitement des données, ses fichiers de données et la documentation nécessaire au traitement à l’examen, à la vérification et/ou à la certification par l’exportateur de données (ou tout inspecteur ou vérificateur indépendant ou impartial sélectionné par l’exportateur de données et que l’importateur de données ne peut raisonnablement récuser) afin de vérifier la conformité aux garanties données et aux engagements pris dans les présentes clauses, moyennant un préavis raisonnable et durant les heures de bureau habituelles. La demande est soumise, si nécessaire, à l’autorisation ou à l’approbation d’une autorité réglementaire ou de contrôle du pays de l’importateur de données, lequel s’efforce d’obtenir cette autorisation ou approbation dans les meilleurs délais.

h) L’importateur de données traite les données à caractère personnel, selon son choix, conformément: i) aux lois sur la protection des données du pays dans lequel l’exportateur de données est établi, ou ii) aux dispositions ( 5 ) pertinentes d’une décision de la Commission en application de l’article 25, paragraphe 6, de la directive 95/46/CE, lorsque l’importateur de données se conforme aux dispositions pertinentes de cette autorisation ou décision et est établi dans un pays où cette autorisation ou décision s’applique mais n’est pas couvert par cette autorisation ou décision pour les besoins du transfert de données à caractère personnel ( 6 ); iii) aux principes de traitement des données énoncés à l’annexe A. L’importateur de données indique l’option qu’il sélectionne: _ Paraphe de l’importateur de données: _;

i) L’importateur de données ne divulgue pas et ne transfère pas les données à caractère personnel à un responsable du traitement dans un pays tiers situé en dehors de l’Espace économique européen (EEE) sans notifier ce transfert à l’exportateur de données et sans i) que le responsable du traitement dans le pays tiers traite les données à caractère personnel conformément à une décision de la Commission établissant que le pays tiers en question assure une protection adéquate ou ii) que le responsable du traitement dans le pays tiers devienne signataire des présentes clauses ou d’un autre accord de transfert de données approuvé par une autorité compétente de l’Union européenne ou iii) que les personnes concernées aient eu la possibilité de s’y opposer, après avoir été informées des finalités du transfert, des catégories de destinataires et du fait que les pays vers lesquels les données sont exportées peuvent avoir des normes de protection des données différentes ou iv) que les personnes concernées aient donné leur consentement non équivoque au transfert ultérieur dans le cas de données sensibles.

III. Responsabilité et droits des tiers

a) Chaque partie est responsable envers l’autre partie des dommages qu’elle cause par suite d’un manquement aux présentes clauses. La responsabilité entre les parties se limite au dommage effectif subi. Des pénalités (c’est-à-dire des dommages-intérêts destinés à punir une partie pour sa conduite outrageante) sont spécifiquement exclues. Chaque partie est responsable envers les personnes concernées des dommages qu’elle cause par suite d’une violation des droits des tiers au titre des présentes clauses, sans que cela n’affecte la responsabilité de l’exportateur de données en vertu de la loi sur la protection des données à laquelle il est soumis.

b) Les parties conviennent qu’une personne concernée a le droit de faire appliquer, en tant que tiers bénéficiaire, la présente clause, ainsi que les clauses I b), I d), I e), II a), II c), II d), II e), II h), II i), III a), V, VI d) et VII à l’encontre de l’importateur de données ou de l’exportateur de données, pour leurs manquements respectifs à leurs obligations contractuelles, en ce qui concerne ses données à caractère personnel, et accepte la juridiction à cette fin du pays d’établissement de l’exportateur de données. Dans les cas impliquant des allégations de manquement dans le chef de l’importateur de données, la personne concernée doit d’abord demander à l’exportateur de données de prendre des mesures appropriées pour faire valoir ses droits à l’encontre de l’importateur de données; si l’exportateur de données ne prend pas ces mesures dans des délais raisonnables (qui, dans des circonstances normales, seraient d’un mois), la personne concernée peut alors faire valoir ses droits à l’encontre de l’importateur de données directement. Une personne concernée est en droit de procéder directement à l’encontre d’un exportateur de données qui n’a pas entrepris de démarches raisonnables pour déterminer que l’importateur de données est à même de satisfaire à ses obligations légales au titre des présentes clauses (il appartient à l’exportateur de données de prouver qu’il a entrepris des démarches raisonnables).

IV. Droit applicable aux clauses

Les présentes clauses sont régies par le droit du pays où l’exportateur de données est établi, à l’exception des lois et règlements relatifs au traitement des données à caractère personnel par l’importateur de données en vertu de la clause II h), qui s’appliquent seulement si l’importateur de données les sélectionnent en vertu de cette clause.

V. Règlement des litiges avec les personnes concernées ou l’autorité

a) En cas de litige ou de plainte introduite à l’encontre des parties ou de l’une d’entre elles par une personne concernée ou par l’autorité au sujet du traitement des données à caractère personnel, les parties s’informent mutuellement de ces litiges ou plaintes et coopèrent en vue de parvenir à un règlement à l’amiable dans les meilleurs délais.

b) Les parties conviennent de répondre à toute procédure de médiation non contraignante généralement disponible mise en œuvre par une personne concernée ou par l’autorité. Si elles participent aux procédures, les parties peuvent choisir de le faire à distance (notamment par téléphone ou autres moyens électroniques). Les parties conviennent également d’examiner la possibilité de participer à toute autre procédure d’arbitrage, de médiation ou de règlement de litige mise en place pour les litiges relatifs à la protection des données.

c) Chaque partie se plie à la décision d’un tribunal compétent du pays d’établissement de l’exportateur de données ou de l’autorité qui est définitive et contre laquelle aucun recours n’est possible.

VI. Résiliation

a) Au cas où l’importateur de données manque à ses obligations au titre des présentes clauses, l’exportateur de données peut temporairement suspendre le transfert de données à caractère personnel à l’importateur de données jusqu’à ce qu’il soit remédié au manquement ou que le contrat soit résilié.

b) Au cas où: i) le transfert de données à caractère personnel à l’importateur de données a été temporairement suspendu par l’exportateur de données pendant plus d’un mois conformément au paragraphe a); ii) le respect par l’importateur de données des présentes clauses le mettrait en violation de ses obligations légales ou réglementaires dans le pays d’importation; iii) l’importateur de données est en violation grave ou persistante des garanties qu’il a données ou des engagements qu’il a pris au titre des présentes clauses; iv) une décision finale, contre laquelle aucun recours n’est possible, d’un tribunal compétent du pays d’établissement de l’exportateur de données ou de l’autorité déclare que les clauses n’ont pas été respectées par l’importateur de données ou l’exportateur de données, ou v) une pétition est présentée en vue de l’administration ou de la liquidation de l’importateur de données, en tant que personne ou en tant qu’entreprise, laquelle pétition n’est pas contestée dans les délais applicables pour une telle contestation en vertu du droit applicable; un ordre de liquidation est donné; un administrateur est désigné pour l’un des biens de l’importateur de donnés; un curateur de faillite est désigné, si l’importateur de données est une personne privée; une procédure de concordat est engagée par lui; ou il intervient un événement équivalent dans toute juridiction, l’exportateur de données, sans préjudice des autres droits qu’il pourrait faire valoir à l’encontre de l’importateur de données, est autorisé à résilier les présentes clauses, auquel cas l’autorité en est informée si nécessaire. Dans les cas couverts par les points i), ii) ou iv) ci-dessus, l’importateur de données peut également résilier les présentes clauses.

c) L’une des parties peut résilier les présentes clauses si i) la Commission a adopté une décision constatant le caractère adéquat de la protection des données au titre de l’article 25, paragraphe 6, de la directive 95/46/CE (ou tout texte la remplaçant) concernant le pays (ou un secteur de celui-ci) vers lequel les données sont transférées et traitées par l’importateur de données ou ii) la directive 95/46/CE (ou tout texte la remplaçant) devient directement applicable dans ce pays.

d) Les parties conviennent que la résiliation des présentes clauses à tout moment, en toutes circonstances et pour quelque raison que ce soit [sauf pour la résiliation en vertu de la clause VI c)] ne les exempte pas des obligations et/ou conditions imposées par les clauses en ce qui concerne le traitement des données à caractère personnel transférées.

VII. Modification des présentes clauses

Les parties ne peuvent pas modifier les présentes clauses sauf pour mettre à jour les informations de l’annexe B, auquel cas elles en informent l’autorité si nécessaire. Elles sont toutefois autorisées à ajouter des clauses commerciales supplémentaires, si nécessaire.

VIII. Description du transfert

Les détails du transfert et des données à caractère personnel sont spécifiés à l’annexe B. Les parties conviennent que l’annexe B peut contenir des informations professionnelles confidentielles qu’elles ne divulgueront pas à des tiers, sauf si la loi les y oblige ou en réponse à une agence officielle ou réglementaire compétente ou si elles y sont tenues en vertu de la clause I e). Les parties peuvent exécuter des annexes supplémentaires pour couvrir des transferts supplémentaires, qui seront soumises à l’autorité si nécessaire. L’annexe B peut aussi être rédigée de manière à couvrir des transferts multiples.

Date: _

_

_

POUR L’IMPORTATEUR DE DONNÉES

POUR L’EXPORTATEUR DE DONNÉES

…

…

…

…

…

…

ANNEXE A:

PRINCIPES DE TRAITEMENT DES DONNÉES

1. Limitation des transferts à une finalité spécifique: Les données à caractère personnel ne peuvent être traitées et ultérieurement communiquées qu’aux fins décrites à l’annexe B ou ultérieurement autorisées par la personne concernée.

2. Qualité et proportionnalité des données: Les données à caractère personnel doivent être exactes et, au besoin, actualisées. Elles doivent être adéquates, pertinentes et non excessives au regard des finalités de leur transfert ou de leur traitement ultérieur.

3. Transparence: Les personnes concernées sont en droit d’obtenir les informations nécessaires pour assurer un traitement loyal (notamment les informations sur les finalités du traitement et sur le transfert), à moins que ces informations aient été déjà fournies par l’exportateur de données.

4. Sécurité et confidentialité: Le responsable du traitement doit prendre des mesures de sécurité, sur le plan technique et au niveau de l’organisation, qui sont appropriées au regard des risques présentés par le traitement, notamment la destruction fortuite ou illicite, la perte fortuite, l’altération, la divulgation ou l’accès non autorisé. Toute personne agissant sous l’autorité du responsable du traitement, y compris un sous-traitant, ne doit traiter les données que sur instructions du responsable.

5. Droits d’accès, de rectification, de suppression et d’objection: Comme le prévoit l’article 12 de la directive 95/46/CE, les personnes concernées sont en droit d’obtenir, directement ou via un tiers, la communication des informations personnelles les concernant qu’une organisation détient, sauf si les demandes sont manifestement abusives du fait de leur fréquence déraisonnable, de leur nombre ou de leur nature répétitive ou systématique, ou si l’accès ne doit pas être accordé en vertu des lois du pays de l’exportateur de données. Pour autant que l’autorité ait donné son accord préalable, l’accès peut également ne pas être accordé lorsqu’il risque de porter gravement atteinte aux intérêts de l’importateur de données ou d’autres organisations traitant avec l’importateur de données et que les libertés et droits fondamentaux de la personne concernée ne priment pas sur ces intérêts. Les sources des données à caractère personnel peuvent ne pas être identifiées lorsque cela n’est pas possible au prix d’efforts raisonnables ou lorsque les droits de personnes autres que celle concernée seraient violés. Les personnes concernées ont le droit de faire rectifier, modifier ou supprimer les données à caractère personnel les concernant lorsqu’elles sont inexactes ou font l’objet d’un traitement contraire aux présents principes. En cas de doute sérieux quant à la légitimité de la demande, l’organisation peut demander d’autres justifications avant de procéder à la rectification, à la modification ou à la suppression. La notification de toute rectification, modification ou suppression aux tiers à qui les données ont été divulguées peut être omise lorsque cela implique un effort disproportionné. Les personnes concernées doivent également être en mesure de s’opposer au traitement des données les concernant pour des raisons impérieuses et légitimes relatives à leur situation personnelle. La charge de la preuve pour tout refus appartient à l’importateur de données et la personne concernée peut toujours contester un refus devant l’autorité.

6. Données sensibles: L’importateur de données prend les mesures supplémentaires (par exemple, en matière de sécurité) qui sont nécessaires pour protéger les données sensibles conformément à ses obligations au titre de la clause II.

7. Données utilisées à des fins de marketing direct: Lorsque les données sont traitées à des fins de marketing direct, des procédures efficaces doivent permettre à la personne concernée de s’opposer à ce que les données la concernant soient, à un moment ou à un autre, utilisées à une telle fin.

8. Décisions automatisées: Aux fins du présent contrat, on entend par «décision automatisée» toute décision de l’exportateur de données ou de l’importateur de données qui produit des effets juridiques à l’égard d’une personne concernée ou affecte de manière significative une personne concernée, prise sur le seul fondement d’un traitement automatisé de données destiné à évaluer certains aspects de la personnalité, tels que son rendement professionnel, son crédit, sa fiabilité, son comportement, etc. Les personnes concernées ne peuvent faire l’objet de décisions automatisées de la part de l’importateur de données sauf dans le cas où: i) de telles décisions sont prises par l’importateur de données dans le cadre de la conclusion ou de l’exécution d’un contrat avec la personne concernée, et ii) la personne a l’occasion d’examiner les résultats d’une décision automatisée la concernant avec un représentant de la partie qui prend une telle décision ou sinon de se faire représenter auprès de cette partie. a) ou b) lorsque la loi applicable à l’exportateur de données en dispose autrement.

ANNEXE B

DESCRIPTION DU TRANSFERT

[À compléter par les parties]

EXEMPLES DE CLAUSES COMMERCIALES (FACULTATIF)

Dédommagement entre l’exportateur de données et l’importateur de données

«Les parties se tiennent mutuellement indemnes et à couvert des coûts, frais, dommages, dépenses ou pertes qu’elles s’occasionnent l’une l’autre du fait de leur manquement à l’une des dispositions des présentes clauses. Le dédommagement est subordonné aux conditions suivantes: a) la partie qui doit être indemnisée notifie rapidement la plainte à la partie qui doit indemniser; b) la partie qui doit indemniser a le contrôle exclusif de la défense et du règlement de la plainte et c) la partie qui doit être indemnisée coopère raisonnablement avec la partie qui doit indemniser et l’assiste dans la défense de la plainte.»

Règlement des litiges entre l’exportateur de données et l’importateur de données (les parties peuvent naturellement opter pour une autre solution ou clause juridictionnelle de règlement des litiges):

«Un litige entre l’importateur de données et l’exportateur de données concernant un manquement présumé aux dispositions des présentes clauses est réglé en dernier ressort selon les règles d’arbitrage de la Chambre de commerce internationale par un ou plusieurs arbitres désignés conformément aux dites règles. L’arbitrage a lieu à: [ ]. Les arbitres sont au nombre de [ ].»

Répartition des frais:

«Chaque partie remplit ses obligations au titre des présentes clauses à ses propres frais.»

Clause de résiliation supplémentaire:

«En cas de résiliation des présentes clauses, l’importateur de données doit restituer immédiatement à l’exportateur de données toutes les données à caractère personnel et toutes les copies des données à caractère personnel faisant l’objet des présentes clauses ou, selon le choix de l’exportateur de données, en détruire toutes les copies et certifier à l’exportateur de données qu’il a agi de la sorte, à moins que l’importateur de données ne soit empêché par son droit national ou le régulateur local de détruire ou de restituer l’ensemble ou une partie de ces données, auquel cas les données sont maintenues confidentielles et ne peuvent pas être traitées activement à quelque fin que ce soit. L’importateur de données convient que, à la demande de l’exportateur de données, il permettra à ce dernier ou à un inspecteur sélectionné par ce dernier et qu’il ne peut raisonnablement récuser, d’accéder à son établissement afin de vérifier que cela a été fait, moyennant un préavis raisonnable et durant les heures de bureau.»