Le GDPR

L’article 47 du Règlement constitue la consécration du système des règles contraignantes d’entreprises, qui peuvent être adoptées par les groupes de sociétés confrontés à des transferts intra-groupe de données hors l'Union.

Sa compréhension dépend du reste de diverses définitions introduites à l’article 4 du Règlement.

Les « règles d'entreprise contraignantes » sont définies à l’article 4. 20) comme étant : « les règles internes relatives à la protection des données à caractère personnel qu'applique un responsable du traitement ou un sous-traitant établi sur le territoire d'un État membre de l'Union aux transferts ou à un ensemble de transferts de données à caractère personnel à un responsable du traitement ou à un sous-traitant dans un ou plusieurs pays tiers au sein d'un groupe d'entreprises ou d'un groupe d'entreprises engagées dans une activité économique conjointe ».

 

Les « groupes d'entreprises » reçoivent une définition moins précise, « une entreprise qui exerce le contrôle et les entreprises qu'elle contrôle » (art. 4.19). Sans doute pourrait-on s’aider des règles applicables en droit de la concurrence, et particulièrement en matière de concentration. Selon le considérant 37, un groupe d'entreprises devrait consister en une entreprise qui exerce le contrôle et des entreprises contrôlées, la première devant être celle qui peut exercer une influence dominante sur les autres du fait, par exemple, de la détention du capital, d'une participation financière ou des règles qui la régissent, ou du pouvoir de faire appliquer les règles relatives à la protection des données à caractère personnel. Une entreprise centrale qui contrôle le traitement de données à caractère personnel dans des entreprises qui lui sont affiliées forme avec ces dernières une entité qui peut être considérée comme un « groupe d'entreprises ».

 

Quant à l’« entreprise », elle est définie plus classiquement comme « toute personne physique ou morale exerçant une activité économique, quelle que soit sa forme juridique, y compris les sociétés de personnes ou les associations qui exercent régulièrement une activité économique » (art. 4, 19).

 

Ces Règles d’entreprise contraignantes doivent répondre à plusieurs conditions définies par l’article 47 (1) et être approuvées par l’autorité de contrôle compétente selon le mécanisme de contrôle de la cohérence prévue à l’article 63. À cet égard, l’article 64 (1) f), prévoit que le Comité européen de la protection des données rende un avis lorsqu’une autorité de contrôle envisage de prendre une décision visant à approuver des règles d'entreprise contraignantes.

La première condition tient à leur caractère juridiquement contraignant : les BCR doivent s’appliquer à toutes les entités concernées du groupe d'entreprises engagées dans une activité économique conjointe, y compris à leurs employés (a).

La deuxième condition consiste dans le fait que les BCR doivent conférer expressément aux personnes concernées des droits opposables concernant le traitement de leurs données (b).

La troisième condition renvoie au contenu spécifique des BCR qui doivent spécifier toute une série d’informations spécifiées au paragraphe 2 ; elles doivent au moins préciser :

- la structure et les coordonnées du groupe concerné et de chacune de ses entités ; les transferts ou aux catégories de transferts de données, en ce compris les types de données, le type de traitement et ses finalités, les catégories de personnes concernées et le nom du ou des pays tiers en question ; la nature juridiquement contraignante tant interne qu’externe des BCR  (a) à c).

- l'application des principes généraux de protection des données, notamment la limitation de la finalité, la minimisation des données, les périodes limitées de stockage, la qualité des données, la base juridique du traitement, le traitement de catégories spéciales de données à caractère personnel, les mesures visant à garantir la sécurité des données, ainsi que les exigences en matière de transferts ultérieurs à des organismes qui ne sont pas liés par les règles d'entreprise contraignantes (d)

-les droits des personnes concernées et la manière de les exercer. Les BCR doivent également prévoir un droit de déposer une réclamation auprès de l'autorité de contrôle compétente et devant les juridictions compétentes des États membres en vue d’obtenir réparation, et le cas échéant, une indemnisation en cas de violation des BCR (e) ;

-l’acceptation par le responsable ou le sous-traitant établi sur le territoire de l’UE de voir sa responsabilité engagée pour toute violation des BCR par toute entité concernée non établie dans l'Union, à moins qu’il prouve que le fait générateur du dommage n'est pas imputable à l'entité en cause (f).

-les missions du délégué à la protection des données ou de toute personne chargée de la surveillance du respect des BCR doivent également être précisées par les BCR, tout comme le suivi de la formation, du traitement et des procédures de réclamation (h et suivants) ;Etc.

In fine, le troisième paragraphe prévoit que la Commission peut, dans le cadre des BCR, spécifier la forme de l'échange d'informations entre les responsables du traitement, les sous-traitants et les autorités de contrôle, ainsi que les procédures qui s'y rapportent.

La Directive

La Directive prévoyait diverses exceptions à l’interdiction de traitement qui résultait de l’absence d’un niveau de protection adéquat.

L’une d’elles est prévue à l’article 26.2. et s’applique lorsque le responsable du traitement offre des garanties suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes, ainsi qu'à l'égard de l'exercice des droits correspondants. Cette dérogation implique que le responsable ait pris des mesures particulières pour pallier l'insuffisance du niveau de protection du pays de destination des données à caractère personnel.

Selon l’article 26.2 de la Directive, ces garanties appropriées peuvent notamment résulter de clauses contractuelles appropriées. Des clauses contractuelles types ont donc été développées pour encadrer les transferts de données hors de l’UE en contractualisant les règles de protection contenues dans la Directive. Des modèles ont ensuite été adoptés par la Commission européenne conformément à l’article 26, § 4 de la Directive. En effet, cette disposition conférait à la Commission le pouvoir de constater, par voie de décision, que certaines clauses contractuelles types présentaient des garanties suffisantes, ce qui obligeait alors les États membres à autoriser les transferts fondés sur ces clauses contractuelles types. La décision de la Commission devait être adoptée conformément à la procédure prévue à l’article 31, paragraphe 2, prévoyant la saisine du Comité de l’article 31 (voir notamment les décisions 2001/497/CE ; 2002/16/CE ; 2004/915/CE ; 2010/87/UE).

Une alternative aux clauses contractuelles types a vu le jour à partir de 2003 : les règles internes d’entreprises (dites Binding Corporate Rules). Bien que sceptique dans un premier temps, c’est le Groupe Article 29 qui a développé ce système dans son document de travail WP 74 du 3 juin 2003 (par le Groupe article 29, dans son document de travail WP 74 du 3 juin 2003 (Document de travail WP 74: Transferts de données personnelles vers des pays tiers Application de l’article 26 (2) de la Directive). Il s’agit d’une alternative globale et unique qui permet d’encadrer l’ensemble des transferts des données au sein d’un groupe de sociétés, sans vérifier systématiquement le fondement légal du transfert (cfr. le commentaire de l’article 43 relatif aux règles d’entreprise contraignantes).

Belgique

L’article 22 de la loi du 8 décembre 1992 prévoit que même en l'absence d'un niveau de protection adéquat, offert par le pays destinataire, et en dehors des exceptions prévues par l'article 22, un transfert vers un pays tiers peut être opéré, à condition que le responsable du traitement offre des garanties suffisantes au regard de la protection de la vie privée.

En droit belge, le responsable du traitement est considéré comme offrant des garanties suffisantes lorsque le transfert est régi par des règles d’entreprises contraignantes offrant des garanties suffisantes, selon le protocole d’accord du 13 juillet 2011 conclu entre le SPF Justice et la CPVP. A noter que les règles d’entreprises contraignantes encadrant les transferts de données personnelles intra-groupes au sein de sociétés multinationales doivent être validées par arrêté royal, après avis de la CPVP, conformément à la procédure mise en place par ledit protocole d’accord (cfr. Protocole d’accord du 13 juillet 2011, https://www.privacycommission.be/sites/privacycommission/files/documents/protocole-bcr-cpvp-spf-justice_1.pdf ).

Difficultés probables ?

Il faudra revoir toutes les BCR déjà adoptées afin qu’ils soient conformes à la nouvelle disposition. Le contenu obligatoire imposé par la nouvelle disposition est en effet extrêmement large.

Groupe 29

Explanatory Document on the Processor Binding Corporate Rules (22 May 2015)

(Approved by the EDPB)

The Directive requires that data transfers outside the European Union shall be strictly framed in order to make sure that data subjects benefit from an adequate level of protection even when their data is sent outside the European Union (hereinafter “EU”).

Art. 26.2 of the Directive provides that “(…) a Member State may authorize a transfer or a set of transfers of personal data to a third country which does not ensure an adequate level of protection (…), where the controller adduces adequate safeguards with respect to the protection of individuals and as regards the exercise of the corresponding rights; such safeguards may in particular result from appropriate contractual clauses.”

Consequently, when the country of the importer of data does not ensure an adequate level of protection, the Controller must provide sufficient guarantees to the data transferred, for instance by the adoption of contractual clauses.

On this basis, and in order to facilitate compliance with the Directive 95/46 of data transfers outside the EU, the European Commission adopted sets of standard contractual clauses - 2001/497/EC on 15 June 2001 and 2004/915/EC on 27 December 2004 – in order to frame transfers between Controllers; and 2010/87/EU on 5 February 2010 for transfers between Controllers and Processors.

Link

Working Document Setting Forth a Co-Operation Procedure for the approval of “Binding Corporate Rules” for controllers and processors under the GDPR (11 Arpil 2018)

(Approved by the EDPB)

The procedure for approving binding corporate rules (BCRs) for controllers and processors is laid out by provisions contained in Articles 47.1, 63, 64 and (only if necessary) 65 of the Regulation (EU) 2016/679 (GDPR).

As a result, binding corporate rules are to be approved by the competent supervisory authority1 in the relevant jurisdiction in accordance with the consistency mechanism set out in Article 63, under which the European Data Protection Board (EDPB) will issue a non-binding opinion on the draft decision submitted by the competent Supervisory Authority (Article 64 GDPR).

As the group applying for approval of its BCRs may have entities in more than one Member State, this procedure may involve a number of concerned Supervisory Authorities (SAs)2 , e.g. in those countries from where the transfers are to take place. However, the GDPR does not lay down specific rules for the cooperation phase which should take place among the concerned SAs in advance of referral to the EDPB. It also does not set out specific rules for identifying the competent SA – which will act as Lead Authority for the BCRs (‘BCR Lead’) 3 . The role of such BCR Lead includes acting as a single point of contact with the applicant organization or group during the approval process and managing the application procedure in its cooperation phase.

The aim of this document is to update the WP 107 and identify smooth and effective cooperation procedures in line with the GDPR whilst taking full advantage of the previous fruitful experience of the Data Protection Authorities in dealing with the approval of BCRs.

This document will be reviewed and if necessary updated, based on the practical experience gained through the application of the GDPR.

Link

Recommendation on the Standard Application form for Approval of Processor Binding Corporate Rules for the Transfer of Personal Data (11 April 2018)

(Approved by the EDPB)

Link

Document de travail établissant un tableau présentant les éléments et principes des règles d’entreprise contraignantes (6 février 2018)

Afin de faciliter l’utilisation des règles d’entreprise contraignantes pour les responsables du traitement (Binding Corporate Rules for Controllers, ci-après les «BCR-C») par un groupe d’entreprises ou par un groupe d’entreprises engagées dans une activité économique conjointe pour les transferts internationaux d’organisations établies dans l’UE à des organisations du même groupe établies hors de l’UE, le groupe de travail «Article 29» a modifié le document de travail WP 153 (adopté en 2008) établissant un tableau présentant les éléments et principes des règles d’entreprise contraignantes afin de tenir compte des exigences relatives aux règles d’entreprise contraignantes (Binding Corporate Rules, ci-après les «BCR» ou les «règles») désormais énoncées expressément dans le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données, ci-après le «RGPD»).

Il convient de rappeler que les BCR-C ont vocation à encadrer les transferts de données à caractère personnel de responsables du traitement établis dans l’UE à d’autres responsables du traitement ou à des sous-traitants (établis hors de l’UE) au sein du même groupe, tandis que les règles d’entreprise contraignantes pour les sous-traitants (Binding Corporate Rules for Processors ou «BCR-P») s’appliquent aux données reçues d’un responsable du traitement (établi dans l’UE) qui n’est pas une entité du groupe, et ensuite traitées par les entités du groupe concernées en tant que sous-traitants et/ou que sous-traitants ultérieurs. Ainsi, les obligations définies dans les BCR-C s’appliquent aux entités d’un même groupe agissant en qualité de responsables du traitement et aux entités agissant en qualité de sous-traitants «internes». Quant à ces derniers, il y a lieu de rappeler qu’un contrat ou un autre acte juridique au titre du droit de l’Union ou du droit d’un État membre, qui lie le sous-traitant à l’égard du responsable du traitement et qui comporte toutes les exigences énoncées à l’article 28, paragraphe 3, du RGPD, doit être signé avec l’ensemble des entreprises sous-traitantes/des sous-traitants internes et externes (par exemple, un contrat de service ou tous autres actes satisfaisant aux mêmes exigences) 2. En effet, les obligations contenues dans les BCR-C s’appliquent aux entités du groupe recevant des données à caractère personnel en tant que sous-traitants («internes») tant est qu’elles ne soient pas en contradiction avec les dispositions du contrat de service (en d’autres termes, les entités sous-traitantes du groupe traitant ces données au nom des entités du groupe responsables du traitement respecteront en premier lieu les dispositions de ce contrat).

Étant donné que l’article 47, paragraphe 2, du RGPD énonce un ensemble minimum d’éléments à inclure dans les règles d’entreprise contraignantes, le présent tableau modifié vise à:

- adapter la formulation du référentiel précédent de sorte à ce qu’il reste conforme à l’article 47 du RGPD;
- clarifier le contenu nécessaire des BCR spécifié à l’article 47 (en tenant compte des documents WP 743 et WP 1084 adoptés par le groupe de travail «Article 29» dans le cadre de la directive 95/46/CE);
- établir une distinction entre ce qui doit être inclus dans les BCR et ce qui doit être présenté à l’autorité de contrôle compétente dans le cadre d’une demande d’approbation des BCR (document WP 1335);
- indiquer les principes auxquels renvoie le texte de l’article 47 du RGPD; et
- fournir des explications/formuler des observations sur chacun de ces principes.
Les documents de travail ayant trait aux BCR, adoptés par le groupe de travail «Article 29», ont manifestement servi de modèle aux auteurs de l’article 47 du RGPD. Toutefois, cet article comporte certains éléments nouveaux dont il conviendra de tenir compte lors de l’actualisation de BCR existantes, ou lors de l’adoption de nouvelles BCR, afin d’en garantir la compatibilité avec le nouveau cadre établi par le RGPD.

Lien