En une phrase. Les clauses contractuelles types (CCT) sont le modèle de contrat adopté par la Commission dans la décision d’exécution (UE) 2021/914 du 4 juin 2021 ; elles constituent une garantie appropriée au sens de l’Art. 46(2)© RGPD, se déclinent en quatre modules selon la qualité de l’exportateur et de l’importateur, et ne peuvent plus, depuis Schrems II, être signées sans une analyse d’impact du transfert documentée ni une annexe II décrivant des mesures techniques réelles.
Ce guide s’adresse aux DPO, juristes et DSI qui doivent signer, annexer et défendre des CCT — pas les commenter.
Points clés
- Les CCT de 2021 remplacent intégralement les anciens modèles (décisions 2001/497/CE, 2004/915/CE, 2010/87/UE) : un contrat encore fondé sur ces textes est sans base juridique depuis le 27 décembre 2022.
- Quatre modules : 1 responsable → responsable, 2 responsable → sous-traitant, 3 sous-traitant → sous-traitant, 4 sous-traitant → responsable.
- La clause 14 impose d’évaluer le droit et les pratiques du pays destinataire et de documenter cette évaluation : c’est le fondement contractuel de la TIA.
- Les modules 2 et 3 valent contrat de sous-traitance au sens de l’Art. 28(3) RGPD ; l’annexe II reste le premier point de faiblesse relevé en contrôle.
Quel texte s’applique, et depuis quand ?
Le transfert de données hors UE n’est licite que s’il repose sur un mécanisme du chapitre V du RGPD. À défaut de décision d’adéquation (Art. 45), l’exportateur doit fournir des garanties appropriées au titre de l’Art. 46 : les CCT sont de loin la plus utilisée, parce qu’elles ne demandent aucune autorisation préalable de l’autorité de contrôle (fiche CNIL sur les transferts). Elles s’inscrivent dans le cadre plus large des transferts internationaux de données, qui traite l’adéquation et les dérogations de l’Art. 49.
Le texte applicable est la décision d’exécution (UE) 2021/914 du 4 juin 2021, qui a organisé une double transition : interdiction des anciennes clauses pour les nouveaux contrats dès le 27 septembre 2021, migration des contrats en cours au plus tard le 27 décembre 2022. Retrouver des clauses de 2010 dans un contrat cadre reste pourtant fréquent lors d’un audit des sous-traitants : c’est un manquement de plein droit, indépendant de toute considération sur la surveillance étrangère.
Comment choisir le bon module ?
Socle commun (clauses 1 à 18) et variantes à retenir à l’intérieur de plusieurs clauses : on sélectionne un seul module par flux, selon la qualification des parties au sens de l’Art. 4 RGPD.
| Module | Exportateur (UE) | Importateur (hors UE) | Cas typique |
|---|---|---|---|
| Module 1 | Responsable | Responsable | Données RH transmises à une maison mère qui les traite pour ses finalités propres |
| Module 2 | Responsable | Sous-traitant | SaaS, hébergeur, support technique hors UE |
| Module 3 | Sous-traitant | Sous-traitant | Sous-traitant ultérieur d’un prestataire européen |
| Module 4 | Sous-traitant | Responsable | Filiale européenne traitant pour un donneur d’ordre hors UE |
L’erreur la plus courante consiste à signer un Module 2 alors que l’importateur détermine en réalité les finalités — un cas de Module 1. La qualification, établie avant signature, conditionne l’étendue des obligations et le régime de responsabilité (critères dans notre analyse des obligations du sous-traitant à l’Art. 28). Point souvent ignoré : les modules 2 et 3 intègrent dans la clause 8 toutes les mentions exigées par l’Art. 28(3) RGPD, si bien qu’un contrat de sous-traitance distinct fait doublon sur ce périmètre.
Ce que l’on peut modifier, et la clause d’amarrage
La clause 2 pose le principe d’invariabilité : les CCT ne se modifient pas, sauf pour sélectionner les modules, remplir les annexes et ajouter des garanties supplémentaires. Elles s’insèrent dans un contrat plus large à condition qu’aucune stipulation ne les contredise — un plafond de responsabilité qui viderait de sa substance le droit à réparation des personnes (clause 12) est inopposable.
La clause 7, dite clause d’amarrage (docking clause), est optionnelle : elle permet à une entité tierce d’adhérer ultérieurement par simple signature de l’annexe I.A, ce qui évite à un groupe international de renégocier un jeu complet de CCT à chaque acquisition. Son coût est réel — toute entité amarrée hérite des obligations, dont la notification des demandes d’accès des autorités publiques, que beaucoup de groupes activent sans jamais outiller le processus interne correspondant.
Trois clauses forment ensuite un bloc : la clause 3 fait des personnes concernées des tiers bénéficiaires pouvant agir en justice, la clause 17 impose pour cette raison le droit d’un État membre (un droit d’État tiers est exclu), la clause 18 réserve la compétence à une juridiction de l’Union.
L’analyse d’impact du transfert : la clause 14
L’arrêt Schrems II (CJUE, C-311/18, 16 juillet 2020) a maintenu la validité des CCT mais imposé de vérifier, au cas par cas, que le droit du pays destinataire ne fait pas obstacle au respect effectif des clauses. La décision 2021/914 transpose cette exigence dans la clause 14 : les parties déclarent avoir évalué les circonstances du transfert, la législation locale et les pratiques des autorités publiques, et l’exportateur doit tenir l’évaluation à disposition de l’autorité de contrôle. Les recommandations 01/2020 du CEPD, définitives depuis le 18 juin 2021, structurent la démarche en six étapes ; notre modèle d’analyse d’impact du transfert la reprend sous forme utilisable.
Une TIA sérieuse ne se contente pas de citer la Section 702 FISA et l’Executive Order 12333 : elle documente la probabilité effective d’une demande d’accès au regard des données et du secteur, les recours ouverts à la personne, et surtout les mesures qui rendent la donnée inintelligible. Le chiffrement dont l’importateur détient les clés n’en est pas une — c’est exactement ce que la CNIL a rejeté dans les mises en demeure Google Analytics de février 2022. La pseudonymisation avant transfert, table de correspondance conservée en UE, en est une.
L’annexe II : le point faible des dossiers
L’annexe II décrit les mesures techniques et organisationnelles de l’importateur ; la décision 2021/914 en donne une liste indicative qui recoupe les exigences de l’Art. 32 RGPD sur la sécurité du traitement. Ce qui distingue une annexe défendable d’une annexe décorative : elle est spécifique au traitement et non au catalogue commercial du fournisseur ; elle précise l’algorithme, la longueur de clé et qui détient les clés ; elle indique les durées de conservation et la suppression en fin de contrat ; elle renvoie à l’annexe III pour la liste localisée des sous-traitants ultérieurs (modules 2 et 3) ; elle est datée et versionnée.
Ce que regarde la CNIL en contrôle
Le volet transferts d’un contrôle CNIL suit toujours le même ordre. Les agents demandent d’abord le registre des traitements : l’Art. 30(1)(e) impose d’y mentionner les transferts vers des pays tiers et les garanties appliquées — un registre muet alors que l’organisme utilise un CRM américain suffit à ouvrir la discussion. Viennent ensuite trois pièces : le jeu de CCT signé annexes remplies, la TIA, la preuve du déploiement effectif des mesures. La CNIL en vérifie la cohérence : une TIA concluant à la nécessité d’un chiffrement de bout en bout, face à une annexe II qui n’en mentionne aucun, est plus dommageable que l’absence de TIA. Elle contrôle aussi la chaîne complète — en environnement cloud, le support délocalisé et les accès d’administration sont des transferts au même titre que le stockage. Contexte : 83 sanctions en 2025 pour 486,8 millions d’euros, les transferts figurant parmi les priorités affichées pour 2026.
Quand les CCT ne suffisent pas
Le droit local rend les garanties ineffectives. C’est le raisonnement qui a conduit la DPC irlandaise à sanctionner Meta de 1,2 milliard d’euros en mai 2023 : les CCT étaient signées, mais aucune mesure supplémentaire ne neutralisait l’accès des autorités américaines. Le montant tient précisément à ce que le contrat existait et ne servait à rien.
L’importateur est déjà soumis au RGPD. Lorsqu’il relève de l’Art. 3(2), les CCT de 2021 ne sont pas conçues pour ce cas — le CEPD l’a confirmé dans ses lignes directrices 05/2021 et la Commission a annoncé un jeu additionnel de clauses. Dans l’intervalle, une garantie ad hoc doit être construite.
Le transfert est massif et systématique. Les dérogations de l’Art. 49 ne prennent pas le relais : d’interprétation stricte, elles sont réservées aux transferts occasionnels.
L’importateur ne peut pas honorer la clause 15, qui l’oblige à contester les demandes d’accès manifestement illégales et à notifier l’exportateur. Un prestataire qui refuse cet engagement, ou qui en est juridiquement empêché, ne devrait pas être retenu — les secteurs régulés sont exposés en premier, comme le montrent les conflits entre RGPD et LCB-FT sur les flux intragroupes. Un jeu de CCT, une TIA et une annexe II par fournisseur, revus annuellement : à cette échelle, une plateforme de conformité évite la dérive du tableur partagé, mode de gestion dominant et le plus fragile en contrôle.
FAQ
Faut-il des CCT pour un transfert vers les États-Unis ?
Si l’importateur est certifié au titre du Data Privacy Framework UE–États-Unis pour la catégorie de données concernée, le transfert repose sur la décision d’adéquation du 10 juillet 2023 et les CCT ne sont pas requises. À défaut de certification — ou pour les données RH, qui exigent une adhésion spécifique — elles restent nécessaires, avec TIA et mesures supplémentaires. La certification se vérifie sur la liste publique : elle expire et se retire.
Qui doit réaliser l’analyse d’impact du transfert ?
La clause 14 en fait une obligation conjointe, mais la charge de la preuve pèse sur l’exportateur : c’est lui que l’autorité interrogera. En pratique, l’importateur fournit les éléments factuels — statut au regard des lois de surveillance, demandes reçues, mesures déployées — et l’exportateur conduit l’analyse juridique et la conserve.
Un fournisseur peut-il proposer ses propres clauses « équivalentes » ?
Non. Seules les clauses adoptées par la Commission, ou approuvées par une autorité de contrôle, constituent une garantie appropriée au sens de l’Art. 46. Tant que les CCT de 2021 ne sont pas signées, le transfert est illicite.
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial