Article 47 du RGPD : Règles d’entreprises contraignantes

Texte original du RGPD

1. L’autorité de contrôle compétente approuve des règles d’entreprise contraignantes conformément au mécanisme de contrôle de la cohérence prévu à l’article 63, à condition que:

a) ces règles soient juridiquement contraignantes, et soient mises en application par toutes les entités concernées du groupe d’entreprises ou du groupe d’entreprises engagées dans une activité économique conjointe, y compris leurs employés;

b) elles confèrent expressément aux personnes concernées des droits opposables en ce qui concerne le traitement de leurs données à caractère personnel; et

c) elles répondent aux exigences prévues au paragraphe 2.

2. Les règles d’entreprise contraignantes visées au paragraphe 1 précisent au moins:

a) la structure et les coordonnées du groupe d’entreprises ou du groupe d’entreprises engagées dans une activité économique conjointe et de chacune de leurs entités;

b) les transferts ou l’ensemble des transferts de données, y compris les catégories de données à caractère personnel, le type de traitement et ses finalités, le type de personnes concernées affectées et le nom du ou des pays tiers en question;

c) leur nature juridiquement contraignante, tant interne qu’externe;

d) l’application des principes généraux relatifs à la protection des données, notamment la limitation de la finalité, la minimisation des données, la limitation des durées de conservation des données, la qualité des données, la protection des données dès la conception et la protection des données par défaut, la base juridique du traitement, le traitement de catégories particulières de données à caractère personnel, les mesures visant à garantir la sécurité des données, ainsi que les exigences en matière de transferts ultérieurs à des organismes qui ne sont pas liés par les règles d’entreprise contraignantes;

e) les droits des personnes concernées à l’égard du traitement et les moyens d’exercer ces droits y compris le droit de ne pas faire l’objet de décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, conformément à l’article 22, le droit d’introduire une réclamation auprès de l’autorité de contrôle compétente et devant les juridictions compétentes des États membres conformément à l’article 79 et d’obtenir réparation et, le cas échéant, une indemnisation pour violation des règles d’entreprise contraignantes;

f) l’acceptation, par le responsable du traitement ou le sous-traitant établi sur le territoire d’un État membre, de l’engagement de sa responsabilité pour toute violation des règles d’entreprise contraignantes par toute entité concernée non établie dans l’Union; le responsable du traitement ou le sous-traitant ne peut être exonéré, en tout ou en partie, de cette responsabilité que s’il prouve que le fait générateur du dommage n’est pas imputable à l’entité en cause;

g) la manière dont les informations sur les règles d’entreprise contraignantes, notamment en ce qui concerne les éléments mentionnés aux points d), e) et f) du présent paragraphe sont fournies aux personnes concernées, en sus des informations visées aux articles 13 et 14;

h) les missions de tout délégué à la protection des données, désigné conformément à l’article 37, ou de toute autre personne ou entité chargée de la surveillance du respect des règles d’entreprise contraignantes au sein du groupe d’entreprises, ou du groupe d’entreprises engagées dans une activité économique conjointe, ainsi que le suivi de la formation et le traitement des réclamations;

i) les procédures de réclamation;

j) les mécanismes mis en place au sein du groupe d’entreprises, ou du groupe d’entreprises engagées dans une activité économique conjointe pour garantir que le contrôle du respect des règles d’entreprise contraignantes. Ces mécanismes prévoient des audits sur la protection des données et des méthodes assurant que des mesures correctrices seront prises pour protéger les droits de la personne concernée. Les résultats de ce contrôle devraient être communiqués à la personne ou à l’entité visée au point h) et au conseil d’administration de l’entreprise qui exerce le contrôle du groupe d’entreprises, ou du groupe d’entreprises engagées dans une activité économique conjointe, et devraient être mis à la disposition de l’autorité de contrôle compétente sur demande;

k) les mécanismes mis en place pour communiquer et consigner les modifications apportées aux règles et pour communiquer ces modifications à l’autorité de contrôle;

l) le mécanisme de coopération avec l’autorité de contrôle mis en place pour assurer le respect des règles par toutes les entités du groupe d’entreprises, ou du groupe d’entreprises engagées dans une activité économique conjointe, notamment en mettant à la disposition de l’autorité de contrôle les résultats des contrôles des mesures visés au point j);

m) les mécanismes permettant de communiquer à l’autorité de contrôle compétente toutes les obligations juridiques auxquelles une entité du groupe d’entreprises, ou du groupe d’entreprises engagées dans une activité économique conjointe, est soumise dans un pays tiers qui sont susceptibles d’avoir un effet négatif important sur les garanties fournies par les règles d’entreprise contraignantes; et

n) la formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données à caractère personnel.

3. La Commission peut, pour les règles d’entreprise contraignantes au sens du présent article, préciser la forme de l’échange d’informations entre les responsables du traitement, les sous-traitants et les autorités de contrôle, ainsi que les procédures qui s’y rapportent. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 93, paragraphe 2.

Équivalent directive 95/46 CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données 

La Directive évoquait déjà la possibilité de prévoir des clauses types mais n’évoque pas l’existence de règles d’entreprise contraignantes.

Équivalent de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (loi Informatique et Liberté) 

​Décret d’application. 

Art. 6-7

Décret pris pour l’application de la loi n°78-17 du 6 janvier 1978. 

Lorsque la Commission nationale de l’informatique et des libertés est saisie d’une demande d’approbation de règles d’entreprises contraignantes mentionnées à l’article 47 du règlement (UE) 2016/679 du 27 avril 2016 précité, elle communique un projet de décision au comité européen de la protection des données mentionné à l’article 68 du même règlement dans un délai de quatre mois. Ce délai peut être prorogé de deux mois supplémentaires sur décision de son président. La commission informe le demandeur de cette transmission.

Après réception de l’avis du comité européen de la protection des données en vertu de l’article 64 du règlement (UE) 2016/679 du 27 avril 2016 précité ou, le cas échéant, après la mise en œuvre de la procédure de règlement des litiges par le comité en application de l’article 65 du même règlement, la commission se prononce sur la demande dans un délai d’un mois. Lorsque la commission ne s’est pas prononcée dans ce délai, la demande est réputée rejetée.

Voir également TITRE VIII du Décret pris pour l’application de la loi n°78-17 du 6 janvier 1978. 

Analyse des 3 textes qui précèdent 

L’article 47 du RGPD consacre les règles d’entreprise contraignantes (BCR), mécanisme juridique permettant aux groupes d’entreprises multinationales de transférer des données personnelles hors de l’Union européenne en garantissant un haut niveau de protection conforme au RGPD. Ces règles doivent être juridiquement contraignantes et mises en œuvre par toutes les entités du groupe, y compris leurs employés.

Par rapport à la directive 95/46/CE, le RGPD formalise et structure ce mécanisme, qui n’était pas expressément prévu dans la directive. Celle-ci évoquait les clauses contractuelles comme principal outil, tandis que les BCR sont apparues comme une alternative développée plus tard, notamment suite aux travaux du Groupe 29.

En droit français, l’article 69 de la loi Informatique et Libertés prévoit la possibilité pour la CNIL d’approuver des règles internes similaires, avec une procédure définie dans les décrets d’application permettant une coordination avec le système européen.

En résumé, l’article 47 du RGPD établit un cadre clair, contraignant et contrôlé pour les transferts intra-groupe hors UE, sécurisant la protection des données et offrant des garanties solides aux personnes concernées, tout en assurant une coordination européenne forte.

Jurisprudences 

À ce jour, il n’existe aucune jurisprudence, ni au niveau européen, ni au niveau français, relative à ce sujet.

Recommandations 

CEPD 

Recommendations 1/2022 on the Application for Approval and on the elements and principles to be found in Controller Binding Corporate Rules (Art. 47 GDPR) (14 november 2022 – public consultation)

Recommandations concernant la demande d’approbation et les éléments et principes des règles d’entreprise contraignantes pour les responsables du traitement (article 47 du RGPD) – 1/2022 (20 juin 2023)

CNIL 

Règles d’entreprise contraignantes (BCR) : la CNIL publie un outil de suivi (août 2024)

Les règles d’entreprise contraignantes (BCR)

G29 

Explanatory Document on the Processor Binding Corporate Rules – wp204rev.01 (22 May 2015)