Décisions de la Commission européenne
tateur de données, pendant la durée des services de traitement des données, de traiter les données conformément à ses instructions, au droit applicable à la protection
des données et aux obligations contenues dans les clauses. Le transfert de données à
caractère personnel vers des sous-traitants établis en dehors de la Communauté n’enlève rien au fait que les activités de traitement doivent être régies en tout état de cause
par le droit applicable à la protection des données.
(15) Les clauses contractuelles types doivent être exécutoires non seulement
par les organisations parties au contrat mais également par les personnes concernées, en particulier lorsque ces dernières subissent un dommage en raison d’une rupture du contrat.
(16) La personne concernée doit avoir le droit d’exercer un recours et,
lorsque cela s’avère approprié, d’obtenir réparation de l’exportateur de données qui
est le responsable du traitement des données à caractère personnel transférées. À
titre exceptionnel, la personne concernée doit aussi avoir le droit d’exercer un recours et, lorsque cela s’avère approprié, d’obtenir réparation de l’importateur de
données pour manquement par l’importateur de données à l’une ou à l’autre de ses
obligations visées à la clause 3, deuxième alinéa, dans les cas où l’exportateur de
données amatériellement disparu ou a cessé d’exister en droit ou est devenu insolvable.
(17) Si un litige entre la personne concernée qui invoque la clause du tiers
bénéficiaire et l’importateur de données n’est pas résolu à l’amiable, l’importateur
de données doit convenir de proposer à la personne concernée de choisir entre la
médiation, l’arbitrage et la procédure judiciaire. La personne concernée aura réellement le choix dans la mesure où elle pourra disposer de systèmes de médiation et
d’arbitrage fiables et reconnus. La médiation par les autorités de contrôle de la protection des données de l’État membre dans lequel est établi l’exportateur de données
doit être une option lorsqu’elles fournissent un tel service.
(18) Le contrat doit être régi par le droit de l’État membre dans lequel l’exportateur de données est établi et qui permet à un tiers bénéficiaire de faire exécuter
un contrat. Les personnes concernées devront pouvoir être représentées par des associations ou d’autres organismes si elles le souhaitent et si le droit national l’autorise.
(19) Le groupe de protection des personnes à l’égard du traitement des données à caractère personnel institué en vertu de l’article 29 de la directive 95/46/CE
a émis un avis sur le niveau de protection prévu par les clauses contractuelles types
annexées à la présente décision. Cet avis a été pris en considération dans la préparation de la présente décision 1.
(20) Les mesures prévues dans la présente décision sont conformes à l’avis
du comité institué en vertu de l’article 31 de la directive 95/46/CE ;
A arrêté la présente décision :
Article premier
Les clauses contractuelles types figurant en annexe sont considérées comme
offrant des garanties suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes, ainsi qu’à l’égard de l’exercice des
droits correspondants comme l’exige l’article 26, paragraphe 2, de la directive
95/46/CE.
1 Avis no 7/2001 adopté par le groupe de travail le 13.9 2001 (DG MARKT...................), disponible sur
le site Internet « Europa » de la Commission européenne.
334
e
CNIL 22 rapport d'activité 2001