Article 47 du RGPD : Règles d’entreprises contraignantes

Sommaire :

Comprendre l’article 47

Afin d’organiser les transferts de données vers des états ou organisation hors UE, les entreprises peuvent mettre en place des règles d’entreprises contraignantes. On parle également de Corporate Binding Rules. L’article 47 du RGPD définit ces règles d’entreprises. 

Les règles d’entreprises sont contraignantes et doivent respecter plusieurs conditions. 

Lors d’un traitement réalisé selon des règles d’entreprises, doivent être mentionnées toutes les informations relatives au traitement opéré : quel transfert de donnée, quelles catégories de données, quel type de traitement, quelles finalités, quel type de personnes concernées et le pays destinataire. Les règles d’entreprises doivent prévoir les demandes d’exercices de droit. Les principes généraux de protection des données, telles que la limitation des durées de conservation, la minimisation des données collectées, la base juridique assignée doivent être rappelés et appliqués. Les mécanismes de contrôles prévus doivent également être mentionnés. 

Leur nature contraignante doit être mentionnée. Les règles d’entreprises doivent prévoir, en cas d’acceptation par le responsable de traitement, de l’engagement de sa responsabilité. 

Elles doivent être approuvées par les autorités de contrôle concernées. Des mécanismes doivent être mis en place pour communiquer toute modification de ces règles aux autorités de contrôle concernées. Les résultats des contrôles effectués doivent également être mentionnés. Les entreprises doivent également justifier de la formation faite aux employés en matière de protection des données personnelles auprès de ces autorités. Enfin, si dans le pays concerné, des obligations légales risquent de porter atteintes aux garanties de protection accordées, elles doivent être communiquées aux autorités de contrôles compétentes. 

 Elles doivent également être appliquées par l’ensemble des entités de l’entreprise. Les règles d’entreprises doivent mentionner les coordonnées des entreprises concernées. 

Un DPO peut être utile pour vous aider à mettre en place certaines de ces mesures. Pour en savoir +, consultez notre article : Comment trouver son DPO ? 

Trouver un DPO
Vous êtes à la recherche d'un "Data protection officer" ?

Article 47 du RGPD

  1. « L’autorité de contrôle compétente approuve des règles d’entreprise contraignantes conformément au mécanisme de contrôle de la cohérence prévu à l’article 63, à condition que: 

    a) ces règles soient juridiquement contraignantes, et soient mises en application par toutes les entités concernées du groupe d’entreprises ou du groupe d’entreprises engagées dans une activité économique conjointe, y compris leurs employés;

    b)  elles confèrent expressément aux personnes concernées des droits opposables en ce qui concerne le traitement de leurs données à caractère personnel; et

    c)  elles répondent aux exigences prévues au paragraphe 2.

  2. Les règles d’entreprise contraignantes visées au paragraphe 1 précisent au moins: 

    a)  la structure et les coordonnées du groupe d’entreprises ou du groupe d’entreprises engagées dans une activité économique conjointe et de chacune de leurs entités;

    b)  les transferts ou l’ensemble des transferts de données, y compris les catégories de données à caractère personnel, le type de traitement et ses finalités, le type de personnes concernées affectées et le nom du ou des pays tiers en question;

    c)  leur nature juridiquement contraignante, tant interne qu’externe;

    d)  l’application des principes généraux relatifs à la protection des données, notamment la limitation de la finalité, la minimisation des données, la limitation des durées de conservation des données, la qualité des données, la protection des données dès la conception et la protection des données par défaut, la base juridique du traitement, le traitement de catégories particulières de données à caractère personnel, les mesures visant à garantir la sécurité des données, ainsi que les exigences en matière de transferts ultérieurs à des organismes qui ne sont pas liés par les règles d’entreprise contraignantes;

    e)  les droits des personnes concernées à l’égard du traitement et les moyens d’exercer ces droits y compris le droit de ne pas faire l’objet de décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, conformément à l’article 22, le droit d’introduire une réclamation auprès de l’autorité de contrôle compétente et devant les juridictions compétentes des États membres conformément à l’article 79 et d’obtenir réparation et, le cas échéant, une indemnisation pour violation des règles d’entreprise contraignantes;

    f)  l’acceptation, par le responsable du traitement ou le sous-traitant établi sur le territoire d’un État membre, de l’engagement de sa responsabilité pour toute violation des règles d’entreprise contraignantes par toute entité concernée non établie dans l’Union; le responsable du traitement ou le sous-traitant ne peut être exonéré, en tout ou en partie, de cette responsabilité que s’il prouve que le fait générateur du dommage n’est pas imputable à l’entité en cause;

    g)  la manière dont les informations sur les règles d’entreprise contraignantes, notamment en ce qui concerne les éléments mentionnés aux points d), e) et f) du présent paragraphe sont fournies aux personnes concernées, en sus des informations visées aux articles 13 et 14;

    h)  les missions de tout délégué à la protection des données, désigné conformément à l’article 37, ou de toute autre personne ou entité chargée de la surveillance du respect des règles d’entreprise contraignantes au sein du groupe d’entreprises, ou du groupe d’entreprises engagées dans une activité économique conjointe, ainsi que le suivi de la formation et le traitement des réclamations;

    i)  les procédures de réclamation;

    j)  les mécanismes mis en place au sein du groupe d’entreprises, ou du groupe d’entreprises engagées dans une activité économique conjointe pour garantir que le contrôle du respect des règles d’entreprise contraignantes. Ces mécanismes prévoient des audits sur la protection des données et des méthodes assurant que des mesures correctrices seront prises pour protéger les droits de la personne concernée. Les résultats de ce contrôle devraient être communiqués à la personne ou à l’entité visée au point h) et au conseil d’administration de l’entreprise qui exerce le contrôle du groupe d’entreprises, ou du groupe d’entreprises engagées dans une activité économique conjointe, et devraient être mis à la disposition de l’autorité de contrôle compétente sur demande;

    k)  les mécanismes mis en place pour communiquer et consigner les modifications apportées aux règles et pour communiquer ces modifications à l’autorité de contrôle;

    l)  le mécanisme de coopération avec l’autorité de contrôle mis en place pour assurer le respect des règles par toutes les entités du groupe d’entreprises, ou du groupe d’entreprises engagées dans une activité économique conjointe, notamment en mettant à la disposition de l’autorité de contrôle les résultats des contrôles des mesures visés au point j);

    m)  les mécanismes permettant de communiquer à l’autorité de contrôle compétente toutes les obligations juridiques auxquelles une entité du groupe d’entreprises, ou du groupe d’entreprises engagées dans une activité économique conjointe, est soumise dans un pays tiers qui sont susceptibles d’avoir un effet négatif important sur les garanties fournies par les règles d’entreprise contraignantes; et

    n)  la formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données à caractère personnel.

  3. La Commission peut, pour les règles d’entreprise contraignantes au sens du présent article, préciser la forme de l’échange d’informations entre les responsables du traitement, les sous-traitants et les autorités de contrôle, ainsi que les procédures qui s’y rapportent. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 93, paragraphe 2. »

Jurisprudence

Aucune jurisprudence sur cet article ! 

Inscrivez-vous à notre newsletter RGPD

👉  Restez informé et soyez averti dès la publication de nouveaux articles.

FAQ : Divorce, droit de la famille

Cette procédure peut conduire à des condamnations sous astreinte et des  amendes allant jusqu’à 20 000 000 € ou 4% du chiffre d’affaires annuel, avec le montant le plus élevé retenu. En outre, la CNIL peut décider de rendre la décision publique ce qui peut être dévastateur.

Cette procédure réservée aux cas peu complexes, mais qui peut être prononcée par un seul membre de la CNIL désigné à cet effet, peut amener à des sanctions de mise en conformité sous astreinte et une amende maximale de 20 000 €