Clauses contractuelles types : le guide pratique 2026

Le 22 mai 2023, l’autorité irlandaise inflige à Meta Platforms Ireland une amende de 1,2 milliard d’euros. Le motif n’est pas l’absence de contrat : Meta avait bien signé les clauses contractuelles types. Le motif, c’est que ces clauses, à elles seules, ne compensaient pas ce que la loi américaine autorisait les services de renseignement à faire des données transférées.

C’est le malentendu le plus répandu que je rencontre en audit : les clauses contractuelles types sont perçues comme un formulaire à signer, alors qu’elles fonctionnent comme un cadre à instruire. Le document officiel fait quarante pages, dont une bonne moitié n’a pas à s’appliquer à votre situation, et l’essentiel du travail réel se trouve dans les annexes que presque personne ne remplit sérieusement. Voici comment les utiliser correctement.

Ce que sont exactement les clauses contractuelles types

Les clauses contractuelles types — CCT, ou SCC pour standard contractual clauses — sont un modèle de contrat adopté par la Commission européenne au titre de l’Art. 46(2)© du RGPD. Leur fonction est précise : encadrer un transfert de données personnelles vers un pays tiers qui ne bénéficie pas d’une décision d’adéquation, en fournissant les « garanties appropriées » qu’exige le chapitre V. Elles sont, de très loin, l’outil le plus utilisé parmi les mécanismes de transfert hors UE.

La version en vigueur résulte de la décision d’exécution (UE) 2021/914 du 4 juin 2021. Elle a remplacé les modèles de 2001, 2004 et 2010. Depuis le 27 décembre 2022, les anciennes clauses ne produisent plus aucun effet juridique : un contrat qui les vise encore ne repose sur rien. Si vous découvrez dans un contrat de 2019 une annexe intitulée « Décision 2010/87/UE », votre transfert est actuellement dépourvu de base légale au sens du chapitre V.

Trois précisions utiles avant d’entrer dans le détail.

Les CCT ne sont pas toujours nécessaires. Elles ne servent que si le pays de destination n’est pas couvert par une décision d’adéquation. Le Royaume-Uni, la Suisse, le Japon, la Corée du Sud, le Canada (organisations commerciales), la Nouvelle-Zélande, l’Argentine, l’Uruguay, l’Office européen des brevets et, depuis le 10 février 2026, le Brésil sont adéquats. Vers les États-Unis, une organisation certifiée au titre du Data Privacy Framework est également couverte par adéquation depuis le 10 juillet 2023 — sans CCT. Avant de rédiger quoi que ce soit, vérifiez donc la destination réelle : c’est le contrôle le plus rentable de tout le processus.

Les CCT ne se modifient pas. La clause 2 est explicite : les parties ne peuvent pas altérer le texte. Elles peuvent ajouter des stipulations commerciales, à condition que celles-ci ne contredisent ni directement ni indirectement les clauses et ne portent pas atteinte aux droits des personnes. Si vous touchez au texte lui-même, vous basculez dans le régime des clauses ad hoc de l’Art. 46(3)(a), qui exige une autorisation préalable de la CNIL — une procédure longue, que très peu d’organisations engagent.

Les CCT ne dispensent pas de tout le reste. Elles ne créent pas la base légale du traitement au sens de l’Art. 6, ne remplacent ni le registre ni l’information des personnes, et n’exonèrent pas l’exportateur de son obligation de sécurité au titre de l’Art. 32.

Les quatre modules : choisir le bon, et un seul

L’innovation structurante de la version 2021 est l’approche modulaire. Le document combine un tronc commun avec quatre modules, dont vous devez retenir un seul, celui qui correspond à la qualification des deux parties.

Module	Exportateur (UE)	Importateur (pays tiers)	Cas typique
Module 1	Responsable de traitement	Responsable de traitement	Transmission d’un fichier clients à une filiale autonome hors UE
Module 2	Responsable de traitement	Sous-traitant	Recours à un prestataire SaaS ou à un centre de support hors UE
Module 3	Sous-traitant	Sous-traitant ultérieur	Votre prestataire UE héberge chez un tiers hors UE
Module 4	Sous-traitant	Responsable de traitement	Vous traitez en UE pour le compte d’un donneur d’ordre hors UE

Le Module 2 représente, dans mon expérience, plus de huit dossiers sur dix. C’est aussi celui où l’on commet le plus d’erreurs de qualification : un prestataire d’analytics ou de marketing automation qui réutilise les données pour ses propres finalités n’est pas votre sous-traitant sur ce périmètre, mais un responsable de traitement — ce qui fait basculer la relation vers le Module 1, avec des obligations différentes. La qualification se détermine par les faits, pas par ce que le contrat affirme. Cette analyse doit être faite avant, pas après.

Deux points pratiques que l’on oublie systématiquement.

D’abord, rien n’interdit de combiner plusieurs modules dans un même contrat lorsque la relation couvre plusieurs flux de nature différente. Mieux vaut alors annexer deux jeux de CCT distincts, chacun avec son propre périmètre en annexe I.B, plutôt que produire un document hybride dont personne ne saura dire, trois ans plus tard, quelle clause s’applique à quel flux.

Ensuite, les modules 2 et 3 valent contrat de sous-traitance au sens de l’Art. 28(3) et (4). Le considérant 12 de la décision 2021/914 le confirme expressément. Si vos annexes sont correctement remplies, vous n’avez pas besoin d’un data processing agreement séparé qui viendrait dupliquer — voire contredire — les CCT. C’est une simplification réelle, et une source de contradictions contractuelles quand on l’ignore.

L’anatomie du document : ce qui se décide vraiment

Le corps des clauses comporte dix-huit articles répartis en quatre sections. La plupart s’appliquent mécaniquement. Cinq d’entre eux appellent en revanche une décision explicite de votre part, et c’est là que se joue la qualité du contrat.

Clause 7 — la clause d’amarrage

Optionnelle. Elle permet à une entité tierce d’adhérer ultérieurement aux clauses, en qualité d’exportateur ou d’importateur, avec l’accord des parties existantes. Dans un groupe qui ouvre régulièrement des filiales, c’est un gain de temps considérable : on signe une fois, on rattache ensuite. En relation bilatérale avec un fournisseur externe, elle est généralement superflue et peut même être un angle mort — vérifiez qui pourra rejoindre le contrat sans nouvelle signature de votre part.

Clause 9 — la sous-traitance ultérieure

Applicable aux modules 2 et 3. Deux options s’excluent.

L’option 1 impose une autorisation spécifique préalable pour chaque sous-traitant ultérieur. Elle offre le contrôle maximal, mais suppose une capacité réelle à instruire les demandes dans le délai que vous aurez fixé. Je la vois régulièrement retenue puis jamais mise en œuvre, ce qui est pire que de ne pas l’avoir choisie.

L’option 2 prévoit une autorisation générale écrite, assortie d’une information préalable des changements et d’un droit d’opposition. Le délai de préavis est laissé à la négociation : les grands fournisseurs proposent souvent trente jours, ce qui est court pour évaluer sérieusement un nouvel hébergeur et, le cas échéant, migrer. Négocier ce délai à soixante ou quatre-vingt-dix jours est un des rares points où un client de taille moyenne obtient encore satisfaction.

Dans les deux cas, l’importateur doit imposer au sous-traitant ultérieur les mêmes obligations que celles qui lui incombent, par contrat écrit, et il demeure pleinement responsable de son exécution.

Clause 11 — l’organe indépendant de règlement des litiges

Optionnelle, rarement retenue, et rarement à tort : elle ajoute une voie de recours extrajudiciaire pour la personne concernée. Son intérêt est surtout réputationnel pour les organisations exposées au grand public.

Clause 17 — le droit applicable

Pour les modules 1, 2 et 3, les clauses doivent être soumises au droit d’un État membre de l’Union permettant les droits de tiers bénéficiaires. Vous ne pouvez donc pas choisir le droit de l’État de Californie ou le droit anglais pour régir les CCT, même si le contrat commercial principal y est soumis. Cette dissociation surprend les directions juridiques et provoque des allers-retours ; annoncez-la dès le premier échange. Le droit français convient parfaitement.

Clause 18 — la juridiction compétente

Modules 1 à 3 : les tribunaux d’un État membre. Et, indépendamment de ce choix, la personne concernée conserve la faculté de saisir les juridictions de l’État membre de sa résidence habituelle. Ce n’est pas négociable.

Les annexes : là où se trouve le vrai travail

Un contrat de CCT dont les annexes sont remplies à la va-vite ne vaut pas grand-chose. C’est pourtant le cas le plus fréquent — j’ai vu des annexes II reprises mot pour mot d’un modèle trouvé en ligne, décrivant des mesures de sécurité que l’importateur ne mettait manifestement pas en œuvre.

Annexe I.A — Liste des parties. Identification complète, avec le rôle exact (exportateur / importateur, responsable / sous-traitant) et les coordonnées d’un contact opérationnel — pas l’adresse générique du siège. En cas de violation de données, c’est ce contact qui sera sollicité dans l’urgence.

Annexe I.B — Description du transfert. Catégories de personnes concernées, catégories de données, données sensibles éventuelles et restrictions applicables, fréquence du transfert (ponctuel ou continu), nature et finalité du traitement, durée de conservation, et — point systématiquement oublié — précisions sur les sous-traitants ultérieurs. Une annexe I.B rédigée en trois lignes vagues (« données clients, à des fins de prestation de services ») ne remplit pas l’obligation et prive l’annexe II de tout point d’ancrage. Cette section doit être cohérente avec votre registre des activités de traitement ; si les deux divergent, c’est l’un des deux qui est faux.

Annexe I.C — Autorité de contrôle compétente. Déterminée selon la clause 13. Pour un exportateur établi en France, c’est la CNIL. Pour un exportateur non établi dans l’Union mais soumis au RGPD par l’Art. 3(2), c’est l’autorité de l’État membre où est situé le représentant désigné au titre de l’Art. 27.

Annexe II — Mesures techniques et organisationnelles. L’annexe la plus exigeante. Elle doit décrire des mesures concrètes et vérifiables : chiffrement au repos et en transit avec indication des algorithmes, gestion des clés et localisation des porteurs de clés, pseudonymisation le cas échéant, contrôle d’accès et authentification, journalisation, sauvegardes, tests de restauration, gestion des incidents, certifications détenues. La formule « l’importateur met en œuvre des mesures conformes à l’état de l’art » n’est pas une mesure : c’est une absence de mesure. Sur le chiffrement des données, la question déterminante n’est d’ailleurs pas de savoir s’il existe, mais qui détient les clés — un chiffrement dont l’importateur détient seul les clés n’offre aucune protection contre une injonction adressée à cet importateur.

Annexe III — Liste des sous-traitants ultérieurs. Obligatoire pour les modules 2 et 3 avec l’option 1 de la clause 9. Nom, adresse, contact, description du traitement confié. À maintenir à jour : une annexe III figée depuis 2022 est un signal de non-conformité immédiatement lisible en contrôle.

L’analyse d’impact du transfert : l’obligation que tout le monde sous-traite à personne

La clause 14 est l’héritage direct de l’arrêt Schrems II (CJUE, 16 juillet 2020, C-311/18). Elle impose aux parties de garantir qu’elles n’ont aucune raison de croire que la législation ou les pratiques du pays de destination empêchent l’importateur de respecter ses obligations. Cette garantie doit reposer sur une évaluation documentée, et cette documentation doit être fournie à l’autorité de contrôle sur demande.

C’est l’analyse d’impact du transfert — transfer impact assessment, ou TIA. Elle porte sur six éléments listés à la clause 14(b) : les circonstances concrètes du transfert (chaîne de traitement, finalités, catégories et format des données, secteur, lieu de stockage), la législation du pays tiers pertinente au regard du transfert, les garanties procédurales qui l’entourent, l’expérience pratique de demandes d’accès reçues par l’importateur, les mesures techniques et organisationnelles complémentaires, et l’existence de recours effectifs pour les personnes.

Le référentiel d’analyse reste les recommandations 01/2020 du CEPD sur les mesures complémentaires (version 2.0, 18 juin 2021) et les recommandations 02/2020 sur les garanties essentielles européennes. La méthode s’articule en six étapes : cartographier les transferts, identifier l’outil de transfert, évaluer l’efficacité de cet outil au regard du droit local, adopter des mesures complémentaires si nécessaire, accomplir les formalités éventuelles, réévaluer périodiquement.

Deux erreurs reviennent constamment.

La première consiste à traiter le TIA comme un document générique valable pour l’ensemble des fournisseurs. Il est propre à chaque transfert : un flux de données de santé vers un prestataire soumis à la section 702 du FISA n’appelle pas la même conclusion qu’un flux de logs techniques pseudonymisés vers le même prestataire.

La seconde consiste à conclure systématiquement que le transfert est possible. Si l’évaluation démontre que les garanties ne peuvent pas être assurées, la clause 14(f) et la clause 16 imposent de suspendre le transfert et, le cas échéant, de résilier. C’est exactement ce que l’autorité irlandaise a reproché à Meta : non pas l’absence de clauses, mais la poursuite du transfert malgré une évaluation dont les conclusions imposaient l’arrêt. Un modèle de TIA structuré fait gagner un temps considérable sur ce point, à condition d’être instruit fournisseur par fournisseur.

La clause 15 complète le dispositif en imposant à l’importateur d’informer l’exportateur de toute demande d’accès émanant d’une autorité publique, de la contester lorsque c’est juridiquement possible, et de ne divulguer que le minimum. Sur l’articulation avec les injonctions extraterritoriales, voir notre analyse de l’Art. 48 du RGPD et du CLOUD Act.

Le trou dans la raquette : l’importateur déjà soumis au RGPD

Voici la difficulté qui occupe les praticiens depuis quatre ans, et qui n’est toujours pas résolue en août 2026.

Les CCT de 2021 sont conçues, aux termes mêmes de leur article 1er, pour un importateur dont le traitement n’est pas soumis au RGPD. Or de nombreux importateurs hors UE sont directement soumis au règlement par son Art. 3(2), parce qu’ils ciblent ou observent des personnes situées dans l’Union. Le CEPD a confirmé (lignes directrices 05/2021 sur l’articulation entre l’Art. 3 et le chapitre V) que le chapitre V s’applique néanmoins à ces transferts — mais que les CCT de 2021 ne conviennent pas structurellement, puisqu’elles feraient double emploi avec des obligations que l’importateur supporte déjà directement.

La Commission a reconnu ce vide et annoncé un jeu de CCT dédié à ce scénario, avec une consultation publique envisagée fin 2024 et une adoption visée pour 2025. Ce texte n’a pas été adopté à ce jour. En pratique, les organisations concernées composent avec trois options imparfaites : conclure malgré tout les CCT de 2021 en écartant contractuellement les stipulations redondantes (solution majoritaire, tolérée mais fragile), recourir à des clauses ad hoc soumises à autorisation de la CNIL, ou s’appuyer sur des règles d’entreprise contraignantes lorsque le transfert est intragroupe. Aucune n’est pleinement satisfaisante, et il est prudent de documenter le raisonnement retenu plutôt que de laisser la question sans trace.

Signalons enfin un cas voisin : le Royaume-Uni. Les CCT européennes n’y sont pas reconnues telles quelles pour les transferts au départ du territoire britannique. Il faut leur adjoindre l’UK International Data Transfer Addendum, ou utiliser l’IDTA. Un groupe qui exporte depuis la France et depuis Londres a donc deux jeux contractuels à tenir.

Erreurs fréquentes, et comment les repérer en dix minutes

Un contrôle rapide de vos contrats existants permet d’identifier l’essentiel du risque.

1. Le contrat vise une décision antérieure à 2021/914. Sans effet depuis le 27 décembre 2022. À reprendre en priorité absolue.
2. Plusieurs modules ont été laissés dans le document. Le réflexe consistant à « tout garder pour être sûr » produit un contrat contradictoire : le Module 1 et le Module 2 imposent des obligations incompatibles à la même partie.
3. Les annexes sont vides, génériques, ou renvoient à un document introuvable. C’est le défaut le plus courant et le plus facile à sanctionner, puisqu’il se constate sans expertise.
4. Aucun TIA n’a été réalisé, ou un TIA unique couvre trente fournisseurs. La clause 14 n’est alors pas respectée.
5. Le droit applicable retenu à la clause 17 n’est pas celui d’un État membre. Erreur classique lorsque les CCT sont annexées à un contrat cadre soumis à un droit étranger.
6. Les CCT ont été signées alors que la destination est adéquate. Inutile, et cela crée des obligations contractuelles que vous devrez ensuite exécuter — notamment le TIA.
7. L’annexe III n’a pas été mise à jour depuis la signature. Elle doit refléter la chaîne de sous-traitance réelle.
8. Le contrat superpose des CCT Module 2 et un DPA distinct. Deux textes, deux régimes de responsabilité, et une contradiction dès le premier incident.

Tenir cette cartographie à jour — quels flux, vers quels pays, sous quel module, avec quel TIA, révisé quand — est un travail de maintenance permanent qui déborde vite d’un tableur. C’est typiquement ce que Legiscope automatise en rattachant chaque transfert au traitement correspondant du registre.

Ce qu’il faut retenir

• Les seules clauses valides sont celles de la décision d’exécution (UE) 2021/914. Tout contrat visant les modèles de 2001, 2004 ou 2010 est dépourvu d’effet depuis le 27 décembre 2022.
• Vérifiez d’abord si des CCT sont nécessaires : une destination adéquate — dont le Brésil depuis février 2026 et les organisations américaines certifiées Data Privacy Framework — n’en requiert aucune.
• Retenez un seul module, déterminé par la qualification réelle des parties. Les modules 2 et 3 valent contrat de sous-traitance au sens de l’Art. 28(3) et (4) : un DPA séparé devient inutile et souvent contradictoire.
• Le texte ne se modifie pas (clause 2). Les décisions vous appartiennent sur cinq points : clause d’amarrage, régime de sous-traitance ultérieure, organe de recours, droit applicable — nécessairement celui d’un État membre — et juridiction.
• L’essentiel se joue dans les annexes et dans l’analyse d’impact du transfert. Des annexes précises et un TIA documenté par fournisseur constituent la différence entre une conformité réelle et un classeur de signatures.

FAQ

Faut-il transmettre les clauses contractuelles types à la CNIL ?

Non, tant que vous utilisez les modèles officiels sans les modifier : aucune formalité préalable n’est requise. La transmission à la CNIL, pour autorisation, ne s’impose que si vous altérez le texte des clauses — vous relevez alors du régime des clauses ad hoc de l’Art. 46(3)(a). Vous devez en revanche pouvoir produire les clauses et l’analyse d’impact du transfert à tout moment sur demande de l’autorité.

Les clauses contractuelles types suffisent-elles pour transférer des données aux États-Unis ?

Elles ne suffisent pas à elles seules. Depuis Schrems II, la clause 14 impose une analyse d’impact du transfert et, si celle-ci révèle un niveau de protection insuffisant, l’adoption de mesures complémentaires effectives — voire la suspension du transfert. En revanche, si l’importateur américain est certifié au titre du Data Privacy Framework, le transfert repose sur la décision d’adéquation du 10 juillet 2023 et les CCT deviennent inutiles pour ce flux.

Quel module choisir si mon prestataire est un éditeur SaaS hors UE ?

Le Module 2 (responsable de traitement vers sous-traitant) dans la très grande majorité des cas. Attention toutefois : si l’éditeur réutilise les données pour ses propres finalités — amélioration de ses modèles, statistiques commerciales, entraînement d’une IA — il agit sur ce périmètre comme responsable de traitement, ce qui appelle un Module 1 distinct. La qualification s’apprécie au regard des traitements réels, pas des mentions du contrat.

Que faire si mon importateur est lui-même soumis au RGPD ?

Les CCT de 2021 ne couvrent pas formellement cette hypothèse et le jeu de clauses annoncé par la Commission n’a pas été adopté à ce jour. La pratique majoritaire consiste à conclure les CCT existantes en écartant contractuellement les stipulations redondantes, avec les règles d’entreprise contraignantes comme alternative intragroupe. Documentez le raisonnement suivi : c’est la seule chose que vous puissiez opposer à un contrôle en l’absence de texte.

À quelle fréquence faut-il réviser une analyse d’impact du transfert ?

Le RGPD ne fixe pas de périodicité, mais la clause 14(e) impose une surveillance continue et une réévaluation dès qu’un élément change : évolution législative dans le pays de destination, nouvelle décision d’adéquation, modification de la chaîne de sous-traitance, changement de localisation d’hébergement, ou demande d’accès reçue par l’importateur. Une revue annuelle systématique, complétée par une revue événementielle, constitue une pratique défendable.

---

Vous devez cartographier vos transferts hors UE ? Recevez notre modèle d’analyse d’impact du transfert et la checklist de contrôle des clauses contractuelles types, avec les points de vigilance annexe par annexe. Télécharger la checklist transferts