RGPD – Pays tiers

Dans le cadre du commerce international et de la coopération, il est essentiel de pouvoir également transmettre des données à des pays tiers de nos jours. L’examen de la légitimité d’un tel transfert s’effectue en deux étapes.

Tout d’abord, le transfert de données lui-même doit être légal. Tout traitement de données personnelles est interdit mais soumis à la possibilité d’autorisation. En plus du consentement, l’Art. 6 du Règlement général sur la protection des données (RGPD) prévoit d’autres motifs d’autorisation, tels que l’accomplissement d’un contrat ou la protection des intérêts vitaux. Pour des données personnelles spéciales qui nécessitent un niveau de protection plus élevé, l’Art. 9 du RGPD fournit des exigences légales distinctes.

Si le transfert de données envisagé répond aux exigences générales, il faut vérifier dans un second temps si le transfert vers le pays tiers est autorisé. Il faut différencier entre les pays tiers sûrs et non sûrs. Les pays tiers sûrs sont ceux pour lesquels la Commission européenne a confirmé un niveau de protection des données adéquat sur la base d’une décision d’adéquation. Dans ces pays, les lois nationales offrent un niveau de protection des données personnelles comparable à celui du droit de l’UE. Les pays tiers qui assurent un niveau de protection adéquat sont : Andorre, Argentine, Canada (seulement les organisations commerciales), Îles Féroé, Guernesey, Israël, Île de Man, Jersey, Nouvelle-Zélande, Suisse, Uruguay, Japon, Royaume-Uni et Corée du Sud. Le transfert de données vers ces pays est expressément autorisé.

Depuis le 10 juillet 2023, il existe une décision d’adéquation pour le cadre de protection des données nommé EU-US Data Privacy Framework. Cela permet le transfert de données personnelles de l’UE vers des entreprises et des organisations américaines qui se sont inscrites au Data Privacy Framework par le biais de la certification. Les entreprises et organisations déjà certifiées peuvent être trouvées dans cette liste. Les transferts de données vers des entreprises et organisations américaines non certifiées ne peuvent plus être basés sur la décision d’exécution de la Commission (UE) 2016/1250 du 12 juillet 2016 conformément à la Directive 95/46/CE du Parlement européen et du Conseil sur l’adéquation du bouclier de protection des données UE-US (Privacy Shield). Car avec le jugement « Schrems II » du 16 juillet 2020 (affaire C-311/18), la CJUE a déclaré cette décision d’exécution invalide avec effet immédiat. Les transferts de données vers des entreprises et organisations américaines non certifiées nécessitent d’autres garanties, selon l’Art. 44 et suivants du RGPD, pour créer un niveau de protection des données approprié.

S’il n’existe pas de décision d’adéquation pour un pays, cela n’exclut pas nécessairement tout transfert de données vers ce pays. Au contraire, le responsable du traitement doit s’assurer d’une autre manière que les données personnelles seront suffisamment protégées par le destinataire. Cela peut être garanti en utilisant des clauses contractuelles types, pour les transferts de données au sein d’un groupe par le biais de « règles d’entreprise contraignantes, » par l’engagement à respecter des codes de conduite, déclarés généralement applicables par la Commission européenne, ou par la certification de la procédure de traitement des données.

En outre, il existe plusieurs exceptions qui légitiment le transfert de données vers un pays tiers, même si la protection des données personnelles ne peut être suffisamment assurée. Le plus souvent, le consentement de la personne concernée est pertinent ici. En même temps, il faut notamment noter les exigences pour qu’un tel consentement soit donné librement. D’autres exceptions, telles que la transmission pour remplir des contrats, des raisons importantes d’intérêt public et l’affirmation de droits légaux, sont généralement moins pertinentes en pratique.