Modèle d'accord de transfert international de données - trame gratuit

Présentation

L'accord de transfert international de données est le document qui encadre juridiquement tout transfert de données personnelles depuis l'Union européenne (ou l'Espace économique européen) vers un pays tiers ne bénéficiant pas d'une décision d'adéquation de la Commission européenne. Le chapitre V du Règlement général sur la protection des données (RGPD), articles 44 à 50, pose le principe : un tel transfert n'est licite que s'il est encadré par une garantie appropriée. ⚠️ Ce modèle est une TRAME générique destinée à être adaptée par un juriste avant toute utilisation : elle rappelle la structure et les clauses attendues, mais ne remplace jamais le texte officiel des clauses contractuelles types (CCT) adoptées par la Commission européenne (décision d'exécution (UE) 2021/914 du 4 juin 2021), qui doit être repris sans altération lorsque les CCT sont choisies comme mécanisme de transfert. Mécanismes de transfert reconnus par le RGPD (article 45 et suivants) : une décision d'adéquation de la Commission européenne, lorsque le pays destinataire garantit un niveau de protection jugé essentiellement équivalent à celui de l'UE (liste actualisée par la Commission) ; à défaut, des garanties appropriées au sens de l'article 46, au premier rang desquelles les clauses contractuelles types, mais aussi les règles d'entreprise contraignantes (Binding Corporate Rules) pour les transferts intragroupe, les codes de conduite ou mécanismes de certification approuvés ; à titre exceptionnel et pour des cas limités, les dérogations de l'article 49 (consentement explicite, exécution d'un contrat, motif d'intérêt public important). Transfer Impact Assessment (TIA) : depuis l'arrêt Schrems II de la Cour de justice de l'Union européenne (16 juillet 2020), les clauses contractuelles types ne suffisent plus à elles seules — l'exportateur de données doit évaluer, au cas par cas, si la législation du pays tiers (notamment en matière d'accès des autorités publiques aux données) permet effectivement le respect des engagements pris dans les CCT, et documenter cette analyse. Des mesures supplémentaires (chiffrement renforcé, pseudonymisation, clauses contractuelles complémentaires) peuvent être nécessaires selon le résultat de cette évaluation. Quand l'utiliser (après adaptation par un juriste) : tout transfert de données personnelles vers un prestataire, une filiale ou un partenaire situé hors de l'Union européenne et de l'Espace économique européen, en dehors des cas couverts par une décision d'adéquation en vigueur — hébergement cloud hors UE, sous-traitant technique établi dans un pays tiers, transfert intragroupe vers une maison mère ou une filiale extra-européenne. Erreurs à éviter (rappel pour la relecture juridique) : modifier le texte des clauses contractuelles types officielles au-delà de ce que la réglementation autorise (seules certaines annexes et informations complémentaires peuvent être adaptées) ; omettre l'analyse d'impact du transfert (TIA) requise depuis l'arrêt Schrems II ; ignorer qu'une décision d'adéquation peut être suspendue ou invalidée (comme cela s'est produit pour le Safe Harbor puis le Privacy Shield), ce qui impose une veille juridique continue sur le statut du pays destinataire.

Informations à personnaliser

• Nom ou raison sociale de l'exportateur de données (UE/EEE)

• Adresse de l'exportateur

• Nom ou raison sociale de l'importateur de données (pays tiers)

• Adresse de l'importateur, avec le pays

• Pays tiers destinataire du transfert

• Mécanisme de transfert retenu

  Décision d'adéquation, clauses contractuelles types, règles d'entreprise contraignantes, dérogation article 49.

• Objet et finalité du transfert

• Catégories de données personnelles transférées

• Catégories de personnes concernées

• Durée du transfert / de la relation

• Mesures techniques supplémentaires (chiffrement, pseudonymisation...)

  À documenter si l'analyse d'impact du transfert (TIA) le recommande.

• Module de clauses contractuelles types applicable

  Module 1 (responsable à responsable), module 2 (responsable à sous-traitant), module 3 (sous-traitant à sous-traitant), module 4 (sous-traitant à responsable).

• Date de signature de l'accord

Personnalisez votre modèle

Questions fréquentes

Pourquoi ce modèle est-il présenté comme une trame et non un contrat prêt à l'emploi ?

Parce que les transferts internationaux de données sont l'un des domaines les plus sensibles du RGPD : le mécanisme de transfert (clauses contractuelles types notamment) répond à un formalisme officiel qui ne peut pas être librement réécrit, et l'analyse d'impact du transfert doit être adaptée à chaque situation concrète. Ce document sert de trame de travail pour un juriste, pas de contrat autonome.

Quels sont les mécanismes reconnus pour un transfert hors Union européenne ?

Par ordre de priorité : une décision d'adéquation de la Commission européenne si le pays destinataire y figure ; à défaut, des garanties appropriées au sens de l'article 46 du RGPD — clauses contractuelles types, règles d'entreprise contraignantes, codes de conduite ou certifications approuvés ; à titre très exceptionnel, les dérogations limitées de l'article 49 (consentement explicite, nécessité contractuelle, intérêt public important).

Qu'est-ce que l'arrêt Schrems II a changé pour les clauses contractuelles types ?

L'arrêt de la Cour de justice de l'Union européenne du 16 juillet 2020 a jugé que les clauses contractuelles types ne suffisent pas, à elles seules, à garantir un niveau de protection adéquat si la législation du pays destinataire permet aux autorités publiques d'accéder aux données de manière disproportionnée. L'exportateur doit désormais réaliser une analyse d'impact du transfert (Transfer Impact Assessment) et, si nécessaire, mettre en œuvre des mesures techniques supplémentaires (chiffrement renforcé, pseudonymisation).

Une décision d'adéquation peut-elle être remise en cause ?

Oui. Le précédent du Safe Harbor (invalidé en 2015) puis du Privacy Shield (invalidé en 2020 par l'arrêt Schrems II) montre qu'une décision d'adéquation peut être annulée par la Cour de justice de l'Union européenne. Toute organisation qui s'appuie sur une décision d'adéquation doit exercer une veille juridique sur son maintien.

Le module de clauses contractuelles types est-il toujours le même ?

Non. La Commission européenne a adopté quatre modules distincts selon la qualité des parties (responsable de traitement à responsable de traitement, responsable à sous-traitant, sous-traitant à sous-traitant, sous-traitant à responsable de traitement établi hors UE). Le module retenu doit correspondre exactement à la relation entre l'exportateur et l'importateur.

Modèles associés