I. Possibilités de transfert de données conformément à l’article 46 du RGPD :
1. Conformément à l’article 46 paragraphe 2, lettre (a) du RGPD, le transfert de données peut être effectué au moyen d’un instrument juridiquement contraignant et exécutoire (traités internationaux, contrats de droit public ou accords administratifs directement applicables, etc.). Celui-ci doit décrire en détail :
– les principes fondamentaux de protection des données : limitation des finalités, exactitude des données et minimisation des données, limitation de la durée de conservation, sécurité et confidentialité des données ; les droits des personnes concernées, y compris les engagements spécifiques pris par les pays d’assurer de tels droits : droit de transparence, d’accès, de rectification, de suppression, de limitation du traitement et d’opposition, de prise de décision individuelle automatisée et de protection juridictionnelle ; limitations des droits des personnes concernées, qui doivent être conformes à l’article 23 du RGPD ;
– les cas de transfert ultérieur des données par l’autorité publique destinataire ou l’organisation internationale destinataire vers des destinataires non liés par l’accord ;
– le transfert de données sensibles au sens de l’article 9, paragraphe 1 du RGPD (le cas échéant) ;
– les mécanismes de protection des droits des personnes physiques ;
– les mécanismes de contrôle ;
– les possibilités de consulter l’autorité de contrôle compétente.
2. Conformément à l’article 46, paragraphe 2, lettre (e) du RGPD, les responsables du traitement/les sous-traitants peuvent transférer des données vers un pays tiers s’il existe un code de conduite approuvé conformément à l’article 40 et l’article 41 du RGPD.
3. Conformément à l’article 46, paragraphe 2, lettre (f) du RGPD, les responsables du traitement/les sous-traitants peuvent transférer des données vers un pays tiers s’il existe un mécanisme de certification approuvé conformément aux articles 42 et 43 du RGPD.
4. Conformément à l’article 46, paragraphe 3, lettre (a) du RGPD, les responsables du traitement/les sous-traitants peuvent transférer des données vers des pays tiers dans le cadre des garanties appropriées prévues dans les clauses contractuelles entre le responsable du traitement/le sous-traitant et le responsable du traitement, le sous-traitant ou le destinataire des données dans le pays tiers ou l’organisation internationale et l’objectif des clauses établies devrait être d’atteindre un niveau de protection des données personnelles des personnes physiques équivalent ou supérieur à celui introduit par les clauses contractuelles types approuvées par le Commission européenne conformément à l’article 46 (2) (c) du RGPD.
5. Conformément à l’article 46, paragraphe 3, lettre (b) du RGPD, le transfert peut avoir lieu par le biais de dispositions à intégrer dans des arrangements administratifs (des arrangements administratifs tels que les mémorandums d’entente). Elles doivent inclure les mêmes informations que celles requises pour l’élaboration des instruments à caractère contraignant conformément à l’article 46, paragraphe 2, lettre (а) du RGPD.
II. Possibilités de transfert de données personnelles vers des pays tiers conformément à l’article 49 du RGPD.
1. Les exigences générales suivantes doivent être prises en compte lors de l’utilisation des possibilités d’application des dérogations dans des cas particuliers : — l’existence d’un motif légal et le respect de l’ensemble des dispositions pertinentes du RGPD, y compris du chapitre V ; — des garanties attestant que les droits fondamentaux des personnes physiques ne seront pas violés ; — une évaluation préliminaire des possibilités de transfert des données dans le cadre d’un des mécanismes prévus aux articles 45 et 46 du RGPD ; — une évaluation de l’existence de motifs importants d’intérêt public, susceptibles de limiter le transfert de catégories spécifiques de données vers un pays tiers ou à une organisation internationale (article 49, paragraphe 5); — fréquence des transferts de données : peuvent avoir lieu plus d’une fois, mais pas régulièrement,
2. Conformément à l’article 49, paragraphe 1, lettre (а) du RGPD, le consentement doit répondre aux exigences de l’article 4, point 11 et de l’article 7 du RGPD, ce qui signifie qu’il doit être explicite, spécifique et éclairé.
3. Conformément à l’article 49, paragraphe 1, lettre (b) du RGPD, en cas de transfert nécessaire à l’exécution d’un contrat entre la personne concernée et le responsable du traitement ou à la mise en œuvre de mesures précontractuelles prises à la demande de la personne concernée, il faut apprécier le besoin d’un transfert des données et la spécificité des cas.
4. Conformité à l’article 49, paragraphe 1, lettre (c) du RGPD, en cas de transfert de données nécessaire à la conclusion ou à l’exécution d’un contrat conclu dans l’intérêt de la personne concernée entre le responsable du traitement et une autre personne physique ou morale, il faut également prendre en compte la nécessité du transfert et la spécificité des cas.
5. Conformément à l’article 49, paragraphe 1, lettre (d) du RGPD, le transfert est nécessaire pour des motifs importants d’intérêt public : la dérogation ne s’applique que lorsqu’il peut être également déduit du droit de l’UE ou du droit de l’Etat membre auquel le responsable du traitement est soumis, que de tels transferts de données sont autorisées à des fins importantes d’intérêt public.
6. Conformément à l’article 49, paragraphe 1, lettre (e) du RGPD, le transfert est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice. La dérogation ne peut être évoquée pour justifier le transfert de données personnelles sur la seule base de la possibilité de voir, à l’avenir, des poursuites judiciaires engagées ou des procédures officielles, car il est nécessaire qu’il existe un lien étroit entre un transfert de données et une procédure spécifique liée à la situation particulière. Le transfert de l’ensemble des données pertinentes en réponse à une demande ou en vue du lancement d’une procédure judiciaire ne serait conforme ni à cette dérogation, ni au RGPD. Il convient d’évaluer avec soin si la fourniture de données anonymisées ou pseudonymisées ne serait pas suffisante dans le cas concerné.
7. Conformément à l’article 49, paragraphe 1, lettre (f) du RGPD, le transfert est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’autres personnes, lorsque la personne concernée se trouve dans l’incapacité physique, mentale ou juridique de donner son consentement ; les données sont transférées lorsque des soins médicaux d’urgence sont requis et lorsqu’un tel transfert est jugé directement nécessaire pour fournir les soins médicaux nécessaires, y compris en cas de catastrophes naturelles.
8. Dans le cas d’un transfert à partir d’un registre public, article 49, paragraphe 1, lettre (g) et article 49, paragraphe 2 du RGPD, le registre en question doit être destiné à fournir des informations au public, en tenant compte que :
– les transferts au départ d’un de ces registres ne peuvent avoir lieu que si et dans la mesure où les conditions prévues pour la consultation dans le droit de l’Union ou le droit de l’État membre sont remplies dans le cas d’espèce ; le transfert ne peut pas porter sur la totalité des données à caractère personnel ni sur la totalité des catégories de données à caractère personnel contenues dans le registre (article 49, paragraphe 2) ;
– les exportateurs de données doivent toujours tenir compte des intérêts et des droits des personnes physiques ;
– l’utilisation ultérieure de données personnelles à partir de tels registres, comme il est indiqué ci-dessus, ne peut avoir lieu que conformément à la loi applicable sur la protection des données.
9. En présence d’intérêts légitimes impérieux, article 49, paragraphe 1, deuxième alinéa 2, en l’absence d’autres conditions de transfert et conformément au libellé de la dérogation, le transfert doit être nécessaire aux fins des intérêts légitimes impérieux poursuivis par le responsable du traitement, sur lesquels ne prévalent pas les intérêts ou les droits et libertés de la personne concernée, cette disposition ne devant pas être appliqué qu’à l’égard de transferts de données qui ne revêtent pas de caractère répétitif et qui ne touchent qu’un nombre limité de personnes concernées, sous réserve de l’obligation de le notifier à l’autorité de contrôle et d’informer la personne concernée du transfert et des intérêts légitimes impérieux poursuivis.
Documents de travail du CoEPD relatifs à l’application de l’article 46 et l’article 49 :
