Les règles d'entreprise contraignantes (BCR)

Que sont les règles d'entreprise contraignantes (BCR) ? Pourquoi mettre en place de tels mécanismes ? Le projet est-il suffisamment mature pour être soumis à la CNIL ? Quelles sont les actions à mener avant de mettre en place des BCR ? Comment se déroule la procédure d'approbation ?

Ce qu’il faut savoir sur les règles d'entreprise contraignantes (BCR)

Les règles d’entreprise contraignantes (ou Binding Corporate Rules en anglais) désignent une politique de protection des données intra-groupe en matière de transferts de données personnelles hors de l'Union européenne.

Pourquoi mettre en place des BCR ?

Les règles d’entreprises contraignantes s’adressent aux organismes qui sont implantés dans plusieurs pays de l’Union européenne et qui transfèrent de façon régulière des données hors de l’Union européenne.

Tester le niveau de maturité d'un projet de BCR

La CNIL publie un questionnaire d’autoévaluation permettant aux groupes souhaitant mettre en place des BCR, de vérifier le niveau de maturité du projet par rapport aux exigences des référentiels BCR adoptés par le comité européen de la protection…

Tester un projet de BCR

Évaluer le niveau de conformité d’un groupe détenteur de BCR

Afin d’accompagner les groupes détenteurs de BCR à vérifier leur mise en œuvre, la CNIL met à leur disposition deux questionnaires à adapter et à déployer.

Voir les modèles de questionnaires

Comment préparer un dossier de BCR ?

Le groupe doit identifier les domaines qui seront couverts par les BCR et expliciter comment il envisage de mettre en œuvre ces différentes règles et procédures dans son propre environnement.

Quand et comment soumettre son projet de BCR aux autorités de protection des données ?

La nouvelle procédure d’approbation des BCR issue du RGPD prévoit désormais la saisine du Comité européen à la protection des données (CEPD).

Listes des groupes détenteurs de Règles d'entreprise contraignantes (BCR) approuvées par la CNIL

L'approbation des BCR résulte d'une démarche d'accompagnement effectuée par la CNIL. Les groupes concernés s'engagent à mettre en œuvre les obligations issues des BCR.

Voir les BCR approuvées