Transferts internationaux de données personnelles • Clauses contractuelles type (CTT) de l'UE et conformité à la Loi n° 1.565

L'Autorité de Protection des Données Personnelles (APDP) a analysé les clauses contractuelles type (CTT) de l'Union Européenne encadrant le transfert de données personnelles à destination d'un pays tiers ne disposant pas d'un niveau de protection adéquat (États-Unis d’Amérique) au regard de la nouvelle Loi n° 1.565 du 3 décembre 2024 relative à la protection des données personnelles (Délibération du 22 janvier 2025 portant autorisation).

Les CTT de l'Union Européenne figurent en Annexe de la Décision d’exécution (UE) 2021/914 de la Commission du 4 juin 2021 relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers en vertu du règlement (UE) 2016/679 du Parlement européen et du Conseil (RGPD)

Note : vu le caractère récent de la Loi n° 1.565, il n'existe pas en l'état de clauses types de protection dont l'utilisation est approuvée par l'APDP en application de l'article 98, tiret 2.

* * *

SYNTHÈSE

Le transfert de données personnelles vers un pays tiers ne disposant pas d'un niveau de protection adéquat au sens de la Loi n° 1.565, encadré par des clauses contractuelles types (CTT) de l'Union Européenne, est soumis à l'autorisation préalable de l'APDP

• Les CTT de l'Union Européenne "ne peuvent se confondre avec les CTT prévues à l'article 98 de la Loi n° 1.565, précitée. Elles s'analysent donc en des clauses spécifiques telles que prévues à l'article 100 de ladite Loi, soumettant le transfert à l'autorisation préalable de l'APDP."

Des clauses complémentaires aux CCT de l'Union Européenne doivent assurer l'effectivité des droits des personnes concernées à Monaco en application de la Loi n° 1.565

• Bien que les CCT de l'Union Européenne "apportent aux personnes concernées une garantie relevant des plus hauts standards", les personnes concernées de Monaco "ne bénéficient de droits qu'en application du RGPD" et les prérogatives qui leur sont offertes "ne sont contractuellement ouvertes que sur le territoire européen : lieu d'exercice des droits (exercés en vertu du règlement (UE) 2016/679 comme le stipule l'article 10 des CTT), Autorité de contrôle permettant l'accompagnement dans l'exercice des droits, droit applicable pour exercer un recours, information par l'importateur de données de l'Autorité de contrôle en cas de violation de données personnelles, etc.".
• Des "clauses permettant de s'assurer de l'effectivité de ces droits en Principauté" doivent être adoptées et transmises à l'APDP.
• Ces clauses complémentaires sont possibles en application de la Décision d’exécution (UE) 2021/914 de la Commission du 4 juin 2021 (Considérant 3) : "le responsable du traitement ou le sous-traitant qui transfère les données à caractère personnel vers un pays tiers (l’«exportateur de données») et le responsable du traitement ou le sous-traitant qui les reçoit (l’«importateur de données») sont libres d’inclure ces clauses contractuelles types dans un contrat plus large et d’ajouter d’autres clauses ou des garanties supplémentaires, à condition que celles-ci ne contredisent pas, directement ou indirectement, les clauses contractuelles types et qu’elles ne portent pas atteinte aux libertés et droits fondamentaux des personnes concernées."

* * *

Source : Site de l'APDP

• APDP Publications Délibérations Autorisations (Délibération du 22 janvier 2025 portant autorisation de transfert)
• APDP Publications Liste des pays disposant d’un niveau de protection adéquat

* * *