BCR, RGPD et ESG : clés de Conformité pour Entreprises

Publié le 23-12-30

Sommaire :

 I) Introduction :

II) Comprendre les BCR pour les transferts de données hors UE au sein des Groupes de Sociétés :

II-1) Procédure d'Évaluation Interne et Rédaction d'une Charte Contraignante les BCR :

II-2) Contrôle de Conformité des BCR par l’autorité administrative compétente :

II-2-1) Le Rôle de la CNIL dans le Contrôle de Conformité :

II-2-2) Clés de Rédaction des BCR : Conformité RGPD et Durabilité dans l'Ère de l'Automatisation

1. a) Structure et Coordonnées :
2. b) Explications sur les Transferts de Données :
3. c) Mentions Informatives Précises pour l'Exercice des Droits Hors UE

III) Conclusion :

  I) Introduction :

Dans l'ère numérique actuelle, la gestion des données à caractère personnel est devenue un enjeu majeur pour les entreprises, en particulier celles opérant à l'échelle internationale.

Les Règles d'Entreprise Contraignantes (Binding Corporate Rules, BCR) sont un outil essentiel pour naviguer dans le paysage complexe du Règlement Général sur la Protection des Données (RGPD) de l'UE.

Bien que le RGPD soit en vigueur depuis près de six ans, la compréhension et l'application des BCR restent un défi, notamment pour les groupes de sociétés de petite taille.

Ces entreprises, tout comme leurs homologues plus importantes, choisissent souvent d'externaliser des traitements de données à caractère personnel hors de l'UE, dans le cadre de la mondialisation.

Selon le RGPD, un transfert de données se définit par l'acte de transférer un flux d'information contenant des données à caractère personnel en dehors de l'UE.

Ce transfert, qu'il soit à l'initiative d'une filiale ou d'un sous-traitant au sein d'un groupe, quel que soit sa taille, doit être encadré par des règles contraignantes, les « BCR ».

Les BCR ne doivent pas être perçues comme de simples directives internes de moindre importance.

Au contraire, elles représentent un enjeu de conformité majeur, s'inscrivant également dans le cadre des engagements de durabilité de l'entreprise.

Le respect du formalisme dans la rédaction des BCR, en cas de transfert de données hors de l'UE, symbolise un engagement continu envers la protection et la sécurité des données personnelles.

Ce respect s'aligne avec les critères ESG, en particulier les volets Social et Gouvernance, témoignant ainsi de l'adhésion de l'entreprise tant à ses obligations liées à la Responsabilité Sociétale des Entreprises (RSE) qu’au respect du RGPD.

II) Comprendre les BCR pour les transferts de données hors UE au sein des Groupes de Sociétés :

II-1) Procédure d'Évaluation Interne et Rédaction d'une Charte Contraignante les BCR :

La mise en place des BCR commence par une initiative de la société mère du groupe ou de l'entité assumant le rôle de responsable de traitement pour l'ensemble des entités du groupe.

Le processus implique plusieurs étapes clés :

• Évaluation des Transferts de Données :

Le responsable de traitement doit évaluer si les transferts de données à caractère personnel respectent le niveau de protection exigé par l'UE. Cette évaluation prend en compte non seulement les principes du RGPD, mais aussi les droits fondamentaux des personnes concernées.

• Formalisation par un Contrat Inter-Groupe :

L'évaluation aboutit à la rédaction d'un contrat inter-groupe.

Ce contrat a pour but de rendre juridiquement contraignantes les obligations de chaque entité du groupe concernant le transfert de données hors de l'UE.

• Engagements de Conformité :

Dans le cadre de ce contrat, chaque entité du groupe s'engage à respecter des normes précises pour le traitement et le transfert de données à des tiers hors de l'UE.

Ces engagements doivent garantir que les employés de chaque entité respectent en interne les dispositions des BCR.

II-2) Contrôle de Conformité des BCR par l’autorité administrative compétente :

II-2-1) Le Rôle de la CNIL dans le Contrôle de Conformité :

En France, la CNIL est responsable du contrôle de conformité des BCR pour les responsables de traitement établis sur son territoire.

Ce contrôle de conformité vise à vérifier que les clauses des BCR respectent les normes de l’article 47 du RGPD.

Le contenu des clauses est contrôlé et interprété en tenant compte de la jurisprudence de la Cour de Justice de l’Union Européenne (CJUE) et des recommandations du Comité Européen de Protection des Données CEPD.

Ce contrôle exige des clauses obligatoires clairement rédigées, car les BCR doivent servir de document de référence pour permettre aux personnes concernées de faire valoir efficacement leurs droits issus du RGPD.

Le RGPD, selon son article 1, vise à protéger les libertés et droits fondamentaux des personnes physiques, notamment leur droit à la protection des données à caractère personnel, tout en facilitant la libre circulation de ces données au sein de l'UE.

Depuis la promulgation du RGPD en 2016 et sa mise en œuvre en 2018, l'utilisation des technologies d'intelligence artificielle a considérablement augmenté, entraînant une multiplication des traitements de données et des décisions automatisées ayant un impact significatif sur les droits des personnes.

Ces traitements sont souvent effectués au sein de groupes économiques dont les filiales ou sous-traitants sont basés hors de l'UE.

La conformité des BCR nécessite donc une attention particulière, notamment pour s'assurer que les traitements basés sur l'intelligence artificielle respectent les droits fondamentaux des personnes (article 47 du RGPD).

De plus, le contrôle de conformité des BCR, de plus en plus rigoureux, exige des mesures d'audit et une réévaluation constante pour garantir le respect des droits et libertés des personnes pour les traitements effectués par les technologies utilisées, y compris celles basées sur la blockchain et la cryptographie.

Cette exigence de conformité se recoupe avec les critères de la RSE et l'évaluation des critères ESG, en particulier :

• La protection des droits fondamentaux (critère Social), qui établit le respect du critère de Gouvernance

Cette approche met en lumière l'importance croissante des BCR, non seulement en tant qu'outil de conformité réglementaire au RGPD, et également en tant qu'indicateur clé de la responsabilité sociale et éthique des entreprises.

En outre, elle souligne comment les BCR contribuent à démontrer le respect de la durabilité par une entreprise, en intégrant des pratiques responsables et éthiques dans la gestion des données à caractère personnel.

Cette approche met en lumière l'importance croissante des BCR, non seulement en tant qu'outil de conformité réglementaire au RGPD, et au-delà devient aussi un indicateur clé de la responsabilité sociale et éthique des entreprises :

La conformité au RGPD des BCR établit que les modalités de traitement des données même en dehors de l’UE témoigne de l'engagement de l’entreprise pour inscrire son activité économique dans une approche de « durabilité »

II-2-2) Clés de Rédaction des BCR : Conformité RGPD et Durabilité dans l'Ère de l'Automatisation

Les BCR doivent intégrer des informations essentielles conformément à l'article 47 du RGPD, notamment

 a)Structure et Coordonnées :

Les détails concernant la structure du groupe et les coordonnées de chaque entité impliquée doivent être clairement énoncés

b) Explications sur les Transferts de Données :

Il est crucial de fournir des informations explicites sur les aspects suivants :

• Les finalités des transferts de données.
• Les catégories de personnes concernées par ces transferts.
• Les types de données traitées.

L’obligation de mentionner la typologie des données traitées est souvent mal comprise.

Cette notion ne doit pas être confondue avec les finalités des traitements.

Des typologies de données pouvant être externalisées via un transfert hors de l'UE peut donc inclure :

• Données d'identification et biométriques.
• Données économiques et financières.
• Données de connexion.
• Données relatives à la vie personnelle.
• Données de localisation.
• Toute information publiquement disponible que le responsable de traitement juge utile.
• Données relatives à l'utilisation de services interactifs, etc.

Cette distinction claire dans les BCR est essentielle pour assurer que les responsables de traitement comprennent pleinement la portée et les implications de leurs obligations lorsqu'ils externalisent des traitements de données à caractère personnel en dehors de l'UE.

Ce contrat intragroupe entre les entités, ou les BCR, doit établir pour chaque entité concernée des règles d'organisation contraignantes.

Ces règles doivent justifier clairement le circuit de l'information interne et s'assurer que le personnel comprend parfaitement ces règles pour les respecter efficacement.

Cette précision est cruciale car les BCR doivent démontrer que le responsable du traitement ou le sous-traitant établi dans un État membre de l'UE accepte d'assumer la responsabilité pour toute violation des règles d'entreprise contraignantes par une entité non établie dans l'UE.

L’organisation contractuelle de cette responsabilité couvre le respect des principes généraux de protection des données transférées, y compris :

• L'organisation du traitement en limitant les finalités.
• La minimisation des données traitées.
• La limitation des durées de conservation des données.
• Le maintien de la qualité des données tout au long du cycle de vie du traitement.
• La protection des données dès la conception du traitement.
• La vérification de la base juridique du traitement.
• La mise en œuvre de toutes les mesures nécessaires pour garantir la sécurité des données.
• Cela inclut également des exigences similaires pour les transferts ultérieurs à d'autres organismes qui ne seraient pas liés par les règles d'entreprise contraignantes.

c) Mentions Informatives Précises pour l'Exercice des Droits Hors UE:

Avec l'avènement de l'intelligence artificielle, les entreprises utilisent de plus en plus les données pour prédire, répondre à des questions et optimiser leur activité économique.

Ces traitements de données, en particulier les données à caractère personnel, impliquent souvent le ciblage, le profilage et la prise de décision automatisée.

Le RGPD, par son article 22, a pris en compte ces traitements spécifiques en accordant aux personnes concernées des droits précis.

Les BCR doivent détailler comment ces personnes peuvent exercer leur droit de ne pas faire l'objet de décisions automatisées ou de refuser le profilage.

Il est aussi crucial que les personnes soient informées de leur droit d'introduire une réclamation concernant ces traitements auprès de l'autorité compétente.

Pour que l'exercice de ces droits ne soit pas une simple formalité, les BCR doivent clairement indiquer comment ces informations sont communiquées aux personnes concernées.

Ces informations, spécifiques et complémentaires aux dispositions des articles 13 et 14 du RGPD, doivent être clairement énoncées.

En outre, les BCR doivent inclure le formalisme des procédures de réclamation, en informant les personnes concernées par ces traitements externalisés de leurs droits et des moyens de les exercer.

Il est également essentiel que les BCR prévoient une mission spécifique pour le Délégué à la Protection des Données (DPO).

III) Conclusion :

Les responsables de traitement doivent exercer une vigilance constante (Accountability) pour garantir que les BCR restent en phase avec les évolutions technologiques et réglementaires.

Il est crucial de comprendre que l'approbation des BCR par une autorité telle que la CNIL ne constitue pas une validation permanente ni une reconnaissance de la légitimité des transferts de données hors de l'UE.

Cette approbation doit être vue comme la reconnaissance de la conformité d'une organisation de gouvernance interne pour un transfert de données hors UE, basée sur des règles contraignantes établies.

Ces règles doivent être soutenues par des mécanismes internes d'audit régulier, dont l'existence et la conformité doivent être justifiées à tout moment sur demande de l'autorité compétente, même après l'approbation initiale.

Les BCR, personnalisées pour chaque groupe d'entreprises, deviennent ainsi un élément crucial de leur réputation et de leur valorisation, notamment à travers le prisme des critères ESG.

Le respect du RGPD devient un élément clé de la mesure du respect des critères ESG, en contribuant à démontrer le respect de la RSE par l'entreprise.

Depuis la Loi Pacte de juin 2019. Le non-respect de ces obligations peut engager la responsabilité civile de l'entreprise.

Notre cabinet, spécialisé en droit des données, est à votre disposition pour répondre à toute demande d'audit externe de DPO, pour vous aider à rédiger vos BCR ou surtout à évaluer et auditer le maintien de leur conformité avec les normes légales actuelles et futures, notamment :

• Le respect des droits fondamentaux liés à l'utilisation de l'intelligence artificielle,
• Vos critères ESG.

N'hésitez pas à nous consulter pour toute question que cet article pourrait susciter.

Notre cabinet se fera un plaisir de vous fournir des mises à jour régulières sur les enjeux clés liés au respect de votre Responsabilité Sociétale des Entreprises (RSE) et à l'impact de vos activités économiques sur la durabilité

En 2024, nous approfondirons notre exploration de ces problématiques, en particulier à la lumière de l'ordonnance N° 2023-11 42 du 6 décembre 2023, qui a intégré les normes de durabilité dans le droit français. Cette évolution législative souligne l'importance croissante de la durabilité dans le cadre réglementaire et commercial.

La conformité des BCR, notamment sous l'angle de la durabilité, ne représente pas seulement une obligation réglementaire ; elle devient également un enjeu stratégique crucial pour votre communication marketing et pour la valorisation de votre e-réputation, un actif immatériel de plus en plus précieux dans le monde numérique d'aujourd'hui.

Article publié le 30 Décembre 2023

Véronique RONDEAU-ABOULY

Avocat Blockchain et DPO externe.

La rédaction de cet article a été conçue et organisée pour vous soumettre des informations utiles, des axes de réflexion pour une utilisation personnelle ou à visée professionnelle.

Il est mis à jour régulièrement, mais dans un contexte réglementaire et jurisprudentiel évoluant, nous soulignons que nous ne pouvons être responsables de toute péremption du contenu, ou de toute erreur juridique et/ou inexactitude qui pourrait se révéler en fonction de l’évolution,  le lecteur voudra bien considérer qu’en tout état de cause, pour une application personnalisée, chaque cas est unique et que bien sûr, le cabinet reste à votre disposition si vous avez une question précise à poser en lien avec cet article, nous nous ferons un plaisir de collaborer avec vous, n’hésitez pas à prendre contact ou à nous téléphoner.

Mots Clefs : RGPD – Binding corporates Rules – BCR – Règles contraignantes d’entreprise – Durabilité – ESG – RSE

Crédits Photos :IStock by Getty images : Chor muang

Retour