DÉCISION D’EXÉCUTION (UE) 2021/915 DE LA COMMISSION

du 4 juin 2021

relative aux clauses contractuelles types entre les responsables du traitement et les sous-traitants au titre de l’article 28, paragraphe 7, du règlement (UE) 2016/679 du Parlement européen et du Conseil et de l’article 29, paragraphe 7, du règlement (UE) 2018/1725 du Parlement européen et du Conseil

(Texte présentant de l’intérêt pour l’EEE)

LA COMMISSION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne,

vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (RGPD) (1), et notamment son article 28, paragraphe 7,

vu le règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (RPDUE) (2), et notamment son article 29, paragraphe 7,

considérant ce qui suit:

(1) Les notions de responsable du traitement et de sous-traitant jouent un rôle fondamental dans l’application du règlement (UE) 2016/679 et du règlement (UE) 2018/1725. Le «responsable du traitement» est la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel. Aux fins du règlement (UE) 2018/1725, on entend par «responsable du traitement» l’institution ou l’organe de l’Union, la direction générale ou toute autre entité organisationnelle qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel. Lorsque les finalités et les moyens dudit traitement sont déterminés par un acte spécifique de l’Union, le responsable du traitement ou les critères spécifiques applicables pour le désigner peuvent être prévus par le droit de l’Union. Le «sous-traitant» est la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement.

(2) Le même ensemble de clauses contractuelles types devrait s’appliquer à l’égard de la relation entre les responsables du traitement et les sous-traitants relevant du règlement (UE) 2016/679, de même que lorsqu’ils sont soumis au règlement (UE) 2018/1725. En effet, afin de disposer d’une approche cohérente en matière de protection et de libre circulation des données à caractère personnel au sein de l’Union, les règles en matière de protection des données prévues par le règlement (UE) 2016/679, applicables au secteur public dans les États membres, et les règles en matière de protection des données énoncées dans le règlement (UE) 2018/1725, applicables aux institutions, organes et organismes de l’Union, ont été alignées les unes sur les autres dans toute la mesure du possible.

(3) Afin de garantir le respect des exigences des règlements (UE) 2016/679 et (UE) 2018/1725, lorsque qu’il confie des activités de traitement à un sous-traitant, le responsable du traitement ne devrait faire appel qu’à des sous-traitants présentant des garanties suffisantes, notamment en termes de connaissances spécialisées, de fiabilité et de ressources, pour la mise en œuvre de mesures techniques et organisationnelles qui satisfont aux exigences du règlement (UE) 2016/679 et du règlement (UE) 2018/1725, y compris en matière de sécurité du traitement.

(4) Le traitement effectué par un sous-traitant doit être régi par un contrat ou un autre acte juridique en vertu du droit de l’Union ou du droit d’un État membre, qui lie le sous-traitant à l’égard du responsable du traitement et qui énonce les éléments énumérés à l’article 28, paragraphes 3 et 4, du règlement (UE) 2016/679 ou à l’article 29, paragraphes 3 et 4, du règlement (UE) 2018/1725. Ce contrat ou cet acte se présente sous forme écrite, y compris sous forme électronique.

(5) Conformément à l’article 28, paragraphe 6, du règlement (UE) 2016/679 et à l’article 29, paragraphe 6, du règlement (UE) 2018/1725, le responsable du traitement et le sous-traitant peuvent choisir soit de négocier un contrat particulier contenant les éléments obligatoires prévus respectivement à l’article 28, paragraphes 3 et 4, du règlement (UE) 2016/679, ou à l’article 29, paragraphes 3 et 4, du règlement (UE) 2018/1725, soit de se fonder, en tout ou en partie, sur les clauses contractuelles types adoptées par la Commission conformément à l’article 28, paragraphe 7, du règlement (UE) 2016/679 et à l’article 29, paragraphe 7, du règlement (UE) 2018/1725.

(6) Le responsable du traitement et le sous-traitant ne devraient pas être empêchés d’inclure les clauses contractuelles types de la présente décision dans un contrat plus large, ni d’y ajouter d’autres clauses ou des garanties supplémentaires, à condition que celles-ci ne contredisent pas, directement ou indirectement, les clauses contractuelles types et qu’elles ne portent pas atteinte aux libertés et droits fondamentaux des personnes concernées. Il est fait appel aux clauses contractuelles types sans préjudice de toute obligation contractuelle incombant au responsable du traitement et/ou au sous-traitant d’assurer le respect des privilèges et immunités applicables.

(7) Les clauses contractuelles types devraient inclure des règles tant de fond que de procédure. En outre, conformément à l’article 28, paragraphe 3, du règlement (UE) 2016/679 et à l’article 29, paragraphe 3, du règlement (UE) 2018/1725, les clauses contractuelles types devraient également exiger du responsable du traitement et du sous-traitant qu’ils définissent l’objet et la durée du traitement, sa nature et sa finalité, le type de données à caractère personnel et les catégories de personnes concernées, ainsi que les obligations et les droits du responsable du traitement.

(8) Conformément à l’article 28, paragraphe 3, du règlement (UE) 2016/679 et à l’article 29, paragraphe 3, du règlement (UE) 2018/1725, le sous-traitant doit informer immédiatement le responsable du traitement si, selon lui, une instruction du responsable du traitement constitue une violation du règlement (UE) 2016/679 ou du règlement (UE) 2018/1725, ou d’autres dispositions du droit de l’Union ou du droit des États membres relatives à la protection des données.

(9) Si un sous-traitant a recours aux services d’un autre sous-traitant pour mener des activités de traitement spécifiques, les exigences spécifiques énoncées à l’article 28, paragraphes 2 et 4, du règlement (UE) 2016/679 ou à l’article 29, paragraphes 2 et 4, du règlement (UE) 2018/1725 doivent s’appliquer. Une autorisation écrite préalable, spécifique ou générale, est notamment requise. Indépendamment de la nature spécifique ou générale de cette autorisation préalable, le premier sous-traitant doit tenir à jour une liste des autres sous-traitants.

(10) Afin de satisfaire aux exigences de l’article 46, paragraphe 1, du règlement (UE) 2016/679, la Commission a adopté des clauses contractuelles types conformément à l’article 46, paragraphe 2, point c), du règlement (UE) 2016/679. Ces clauses satisfont également aux exigences de l’article 28, paragraphes 3 et 4, du règlement (UE) 2016/679 pour les transferts de données effectués par des responsables du traitement relevant du règlement (UE) 2016/679 vers des sous-traitants ne relevant pas du champ d’application territorial dudit règlement ou par des sous-traitants relevant du règlement (UE) 2016/679 vers des sous-traitants ultérieurs ne relevant pas du champ d’application territorial dudit règlement. Ces clauses contractuelles types ne peuvent servir de clauses contractuelles types aux fins du chapitre V du règlement (UE) 2016/679.

(11) Les tiers devraient pouvoir devenir parties aux clauses contractuelles types tout au long du cycle de vie du contrat.

(12) Le fonctionnement des clauses contractuelles types devrait être évalué dans le cadre de l’évaluation périodique du règlement (UE) 2016/679, prévue à l’article 97 de celui-ci.

(13) Le Contrôleur européen de la protection des données et le comité européen de la protection des données ont été consultés conformément à l’article 42, paragraphes 1 et 2, du règlement (UE) 2018/1725 et ont rendu un avis conjoint le 14 janvier 2021 (3), qui a été pris en considération lors de l’élaboration de la présente décision.

(14) Les mesures prévues par la présente décision sont conformes à l’avis du comité institué en vertu de l’article 93 du règlement (UE) 2016/679 et de l’article 96, paragraphe 2, du règlement (UE) 2018/1725,

A ADOPTÉ LA PRÉSENTE DÉCISION:

Article premier Les clauses contractuelles types figurant en annexe satisfont aux exigences applicables aux contrats conclus entre les responsables du traitement et les sous-traitants énoncées à l’article 28, paragraphes 3 et 4, du règlement (UE) 2016/679 et à l’article 29, paragraphes 3 et 4, du règlement (UE) 2018/1725.

Article 2 Les clauses contractuelles types figurant en annexe peuvent être utilisées dans les contrats conclus entre un responsable du traitement et un sous-traitant qui traite des données à caractère personnel pour le compte du responsable du traitement.

Article 3 La Commission évalue l’application pratique des clauses contractuelles types figurant en annexe sur la base de toutes les informations disponibles dans le cadre de l’évaluation périodique prévue à l’article 97 du règlement (UE) 2016/679.

Article 4 La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Fait à Bruxelles, le 4 juin 2021. Par la Commission La présidente Ursula VON DER LEYEN

(1) JO L 119 du 4.5.2016, p. 1.

(2) JO L 295 du 21.11.2018, p. 39.

(3) Avis conjoint 1/2021 du comité européen de la protection des données et du Contrôleur européen de la protection des données sur la décision d’exécution de la Commission européenne relative aux clauses contractuelles types entre les responsables du traitement et les sous-traitants au titre de l’article 28, paragraphe 7, du règlement (UE) 2016/679 du Parlement européen et du Conseil et de l’article 29, paragraphe 7, du règlement (UE) 2018/1725 du Parlement européen et du Conseil.