Le 14 novembre 2022, le CEPD a adopté une version actualisée de ses recommandations en matière de règles d’entreprise contraignantes « responsable de traitement » (BCR-C).
Que sont les BCR (Binding Corporate Rules) ?
Les BCR désignent une politique de protection des données intra-groupe en matière de transferts de données personnelles à des responsables de traitement ou des sous-traitants internes hors de l'Union européenne. Il s’agit de règles d’entreprise contraignantes qui ont vocation à établir un niveau de protection des données équivalent à celui prévu par le RGPD.
On distingue les BCR « responsable de traitement » et les BCR « sous-traitant ».
Quelles sont les nouvelles recommandations du CEPD s’agissant du référentiel BCR-C ?
Le 14 novembre 2022, le CEPD a adopté des recommandations s’agissant des éléments devant figurer dans les règles d’entreprise contraignantes du responsable de traitement. (BCR-C) Il est donc ici question d’une mise à jour du référentiel BCR-C qui permet notamment :
La distinction entre ce qui doit figurer dans le dossier présenté à l’autorité de protection des données en charge de l’instruction et ce qui doit figurer dans le corps des BCR.
La prise en considération des exigences posées par l’arrêt Schrems II rendu par la Cour de justice de l’Union Européenne, arrêt qui avait invalidé le régime de transfert des données entre l’Union Européenne et les Etats-Unis. En ce sens, les entités qui adhèrent aux BCR ne s’engagent à ne transférer des données qu’après l’analyse de la législation du pays tiers de destination.
L’alignement entre les obligations déclinées dans les clauses contractuelles types et les obligations des BCR. Parmi ces obligations, il y a notamment la mise à disposition par des autorités de la documentation et la gestion des demandes d’accès par des autorités de pays tiers.
Une mise à jour du référentiel applicable aux BCR « sous-traitant » est également en cours d’élaboration.
Source :
Le CEPD met à jour le référentiel BCR responsable de traitement
