Cabinet d’avocats franco-belge, moderne et humain,
au service de la création et de l’innovation

9 pôles d’activités dédiés au
droit de la création et de l’innovation

Nos activités scientifiques & académiques

Faisons connaissance !

Un procès en vue ?
Lisez le guide destiné à mieux vous préparer

Le portail du droit des technologies, depuis 1997
Powered by

Un site pour tout savoir sur le RGPD
Powered by

arrow_back Retour à tous les articles

Article 49
Dérogations pour des situations particulières

Textes
officiels
Guidelines Jurisprudence Analyse du
droit européen
Afficher les considérants du Règlement liés à l'article 49 keyboard_arrow_down Cacher les considérants du Règlement liés à l'article 49 keyboard_arrow_up

(111) Il y a lieu de prévoir la possibilité de transferts dans certains cas où la personne concernée a donné son consentement explicite, lorsque le transfert est occasionnel et nécessaire dans le cadre d'un contrat ou d'une action en justice, qu'il s'agisse d'une procédure judiciaire, administrative ou extrajudiciaire, y compris de procédures devant des organismes de régulation. Il convient également de prévoir la possibilité de transferts lorsque des motifs importants d'intérêt public établis par le droit de l'Union ou le droit d'un État membre l'exigent, ou lorsque le transfert intervient au départ d'un registre établi par la loi et destiné à être consulté par le public ou par des personnes ayant un intérêt légitime. Dans ce dernier cas, ce transfert ne devrait pas porter sur la totalité des données à caractère personnel ni sur des catégories entières de données contenues dans le registre et, lorsque celui-ci est destiné à être consulté par des personnes ayant un intérêt légitime, le transfert ne devrait être effectué qu'à la demande de ces personnes ou lorsqu'elles doivent en être les destinataires, compte dûment tenu des intérêts et des droits fondamentaux de la personne concernée.

(112) Ces dérogations devraient s'appliquer en particulier aux transferts de données requis et nécessaires pour des motifs importants d'intérêt public, par exemple en cas d'échange international de données entre autorités de la concurrence, administrations fiscales ou douanières, entre autorités de surveillance financière, entre services chargés des questions de sécurité sociale ou relatives à la santé publique, par exemple aux fins de la recherche des contacts des personnes atteintes de maladies contagieuses ou en vue de réduire et/ou d'éliminer le dopage dans le sport. Le transfert de données à caractère personnel devrait également être considéré comme licite lorsqu'il est nécessaire pour protéger un intérêt essentiel pour la sauvegarde des intérêts vitaux, y compris l'intégrité physique ou la vie, de la personne concernée ou d'une autre personne, si la personne concernée se trouve dans l'incapacité de donner son consentement. En l'absence d’une décision d'adéquation, le droit de l'Union ou le droit d'un État membre peut, pour des motifs importants d'intérêt public, fixer expressément des limites au transfert de catégories particulières de données vers un pays tiers ou à une organisation internationale. Les États membres devraient notifier ces dispositions à la Commission. Tout transfert vers une organisation humanitaire internationale de données à caractère personnel d'une personne concernée qui se trouve dans l'incapacité physique ou juridique de donner son consentement, en vue d'accomplir une mission relevant des conventions de Genève ou de respecter le droit humanitaire international applicable dans les conflits armés, pourrait être considéré comme nécessaire pour des motifs importants d'intérêt public ou parce que ce transfert est dans l'intérêt vital de la personne concernée.

(113) Les transferts qui peuvent être qualifiés de non répétitifs et qui ne touchent qu'un nombre limité de personnes concernées pourraient également être autorisés aux fins des intérêts légitimes impérieux poursuivis par le responsable du traitement, lorsque ces intérêts prévalent sur les intérêts ou les libertés et droits fondamentaux de la personne concernée et lorsque le responsable du traitement a évalué toutes les circonstances entourant le transfert de données. Le responsable du traitement devrait accorder une attention particulière à la nature des données à caractère personnel, à la finalité et à la durée de la ou des opérations de traitement envisagées ainsi qu'à la situation dans le pays d'origine, le pays tiers et le pays de destination finale, et devrait prévoir des garanties appropriées pour protéger les libertés et droits fondamentaux des personnes physiques à l'égard du traitement de leurs données à caractère personnel. De tels transferts ne devraient être possibles que dans les cas résiduels dans lesquels aucun des autres motifs de transfert ne sont applicables. À des fins de recherche scientifique ou historique ou à des fins statistiques, il y a lieu de prendre en considération les attentes légitimes de la société en matière de progrès des connaissances. Le responsable du traitement devrait informer l'autorité de contrôle et la personne concernée du transfert.

Afficher les considérants de la Directive 95/46 liés à l'article 49 keyboard_arrow_down Cacher les considérants de la Directive 95/46 liés à l'article 49 keyboard_arrow_up

(58) considérant que des exceptions à cette interdiction doivent pouvoir être prévues dans certaines circonstances lorsque la personne concernée a donné son consentement, lorsque le transfert est nécessaire dans le contexte d'un contrat ou d'une action en justice, lorsque la sauvegarde d'un intérêt public important l'exige, par exemple en cas d'échanges internationaux de données entre les administrations fiscales ou douanières ou entre les services compétents en matière de sécurité sociale, ou lorsque le transfert est effectué à partir d'un registre établi par la loi et destiné à être consulté par le public ou par des personnes ayant un intérêt légitime; que, dans ce cas, un tel transfert ne devrait pas porter sur la totalité des données ni sur des catégories de données contenues dans ce registre; que, lorsqu'un registre est destiné à être consulté par des personnes qui ont un intérêt légitime, le transfert ne devrait pouvoir être effectué qu'à la demande de ces personnes ou lorsqu'elles en sont les destinataires;

Guidelines

Ici viendront les guidelines

Sommaire

Union Européenne

Union Européenne

Comité européen de la protection des données (EDPB)

Lignes directrices relatives aux dérogations prévues à l’article 49 du règlement (UE) 2016/679 - 2/2018 (25 mai 2018)

Le présent document vise à fournir des orientations concernant l’application de l’article 49 du règlement général sur la protection des données (ci-après le «RGPD»), qui traite des dérogations dans le contexte des transferts de données à caractère personnel vers des pays tiers.

Le document s’appuie sur les précédents travaux réalisés par le groupe de travail des autorités de protection des données de l’Union établi au titre de l’article 29 de la directive sur la protection des données (ci-après le «groupe de travail “Article 29”»), qui ont été repris par le comité européen de la protection des données (« CEPD ») en ce qui concerne les questions centrales soulevées par l’application des dérogations dans le contexte des transferts de données à caractère personnel vers des pays tiers. Le présent document sera revu et, si nécessaire, mis à jour, sur la base de l’expérience pratique acquise dans le cadre de l’application du RGPD.

Au moment d’appliquer l’article 49, il convient de garder à l’esprit que, conformément à l’article 44, l’exportateur de données qui transfère des données à caractère personnel vers des pays tiers ou à des organisations internationales doit aussi respecter les conditions définies dans les autres dispositions du RGPD. Chaque activité de traitement doit respecter les dispositions applicables en matière de protection des données, en particulier les articles 5 et 6. Un test en deux étapes doit donc être appliqué: d’abord, une base juridique doit s’appliquer au traitement des données proprement dit, avec toutes les dispositions pertinentes du RGPD; et, ensuite, les dispositions du chapitre V doivent être respectées.

Conformément à l’article 49, paragraphe 1, en l’absence de décision d’adéquation ou de garanties appropriées, un transfert ou un ensemble de transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale ne peut avoir lieu qu’à certaines conditions. Dans le même temps, l’article 44 exige que toutes les dispositions du chapitre V soient appliquées de manière à ce que le niveau de protection des personnes physiques garanti par le RGPD ne soit pas compromis. Cela signifie aussi que le recours aux dérogations prévues à l’article 49 ne devrait jamais créer une situation dans laquelle pourrait se produire une violation des droits fondamentaux3 .

Le groupe de travail «Article 29», prédécesseur du CEPD, recommande depuis longtemps d’adopter 4 à l’égard des transferts, une approche par étapes fondée sur les meilleures pratiques et consistant à examiner d’abord si le pays tiers garantit un niveau de protection adéquat et à s’assurer que les données exportées y seront sauvegardées. Si le niveau de protection n’est pas adéquat eu égard à toutes les circonstances, l’exportateur de données devrait envisager de fournir des garanties adéquates. Les exportateurs de données devraient donc d’abord s’efforcer de trouver des possibilités de procéder au transfert à l’aide d’un des mécanismes prévus aux articles 45 et 46 du RGPD, et ne recourir aux dérogations prévues à l’article 49, paragraphe 1, qu’en l’absence de tels mécanismes.

Les dérogations visées à l’article 49 sont donc des exemptions du principe général selon lequel des données à caractère personnel ne peuvent être transférées vers des pays tiers que si un niveau de protection adéquat est offert dans le pays tiers ou si des garanties appropriées ont été apportées et si les personnes concernées bénéficient de droits opposables et effectifs afin de continuer à bénéficier de leurs droits fondamentaux et garanties . De ce fait et conformément aux principes de droit inhérents à l’ordre juridique européen6 , les dérogations doivent être interprétées de manière restrictive afin que l’exception ne devienne pas la règle . L’intitulé de l’article 49, qui indique que les dérogations doivent être utilisées pour les situations particulières («Dérogations pour des situations particulières»), va aussi dans ce sens.

Lorsqu’ils envisagent de transférer des données à caractère personnel vers des pays tiers ou à des organisations internationales, les exportateurs de données devraient donc privilégier les solutions qui offrent aux personnes concernées la garantie qu’elles continueront de bénéficier des droits fondamentaux et des garanties auxquels elles ont droit concernant le traitement de leurs données une fois que celles-ci ont été transférées. Comme les dérogations n’offrent pas de protection adéquate ou de garanties appropriées pour les données à caractère personnel transférées et comme les transferts basés sur une dérogation ne sont soumis à aucune autorisation préalable de la part des autorités de contrôle, le transfert de données à caractère personnel vers des pays tiers sur la base de dérogations entraîne des risques accrus pour les droits et les libertés des personnes concernées.

Les exportateurs de données doivent aussi savoir qu’en l’absence de décision d’adéquation, le droit de l’Union ou le droit d’un État membre peut, pour des motifs importants d’intérêt public, fixer expressément des limites au transfert de catégories spécifiques de données à caractère personnel vers un pays tiers ou à une organisation internationale (article 49, paragraphe 5).

Lien

Retour au sommaire

Le GDPR

Les dérogations prévues par la Directive ont été maintenues et développées à l’article 49 du Règlement. On retrouve, sous réserve de quelques adaptations, les dérogations déjà visées par la Directive telles que :

- le consentement explicite de la personne concernée au transfert (a). S’agissant de la dérogation fondée sur le consentement, la disposition commentée oblige le responsable à recueillir le consentement « explicite » de la personne concernée au transfert envisagé, après l’avoir informé des risques inhérents au transfert pour elle en raison de l'absence d'une décision relative au caractère adéquat du niveau de protection et de garanties appropriées ;

- lorsque le transfert est nécessaire à l’exécution d’un contrat entre la personne concernée et le responsable ou à l’exécution de mesures précontractuelles prises à la demande de la personne concernée (b) ;

- lorsque le transfert est nécessaire à l’exécution ou l conclusion d’un contrat, dans l'intérêt de la personne concernée, entre le responsable du traitement et une autre personne physique ou morale (c) ;

- lorsque le transfert est nécessaire pour des motifs importants d’intérêt public (d). Le considérant 112 fournit plusieurs exemples de transfert de données qui sont nécessaires pour des motifs importants d’intérêt général : en cas d'échange international de données entre autorités de la concurrence, administrations fiscales ou douanières, entre autorités de surveillance financière, entre services chargés des questions de sécurité sociale ou relatives à la santé publique. À cet égard, l’article 49 § 4 précise que l’intérêt général justifiant le transfert doit être reconnu par le droit de l’Union ou par la législation nationale de l'État membre dont relève le responsable du traitement ;

- lorsque le transfert est nécessaire pour la constatation, l’exercice ou la défense d’un droit en justice (e) ;

- lorsque le transfert est nécessaire à la sauvegarde de l’intérêt vital de la personne ou d’autres personnes dans le cas où la personne concernée se trouve dans l'incapacité physique ou juridique de donner son consentement (f). La dérogation tenant aux intérêts vitaux de la personne concernée, vise désormais aussi la sauvegarde de l’intérêt vital d’autres personnes.

- lorsque le transfert intervient au départ dans registre public c’est-à-dire destiné à fournir de l’information au public et qui est ouvert à la consultation soit du public en général, soit d’une personne qui peut démontrer y avoir un intérêt légitime. Les conditions pour sa consultation doivent alors être remplies selon le droit de l’Union ou le droit d’un État membre (g). Le paragraphe 2 restreint les données qui peuvent faire l’objet d’un transfert dans ce cas. Pareil transfert ne peut alors ni porter sur la totalité des données à caractère personnel, ni sur des catégories entières de données à caractère personnel contenues dans le registre. Enfin, lorsque le registre est destiné à être consulté par des personnes qui ont un intérêt légitime, le transfert n'est effectué qu'à la demande de ces personnes ou lorsqu'elles en sont les destinataires ;

L’innovation majeure de l’article 49 est l’introduction d’une nouvelle dérogation fondée sur la nécessité du transfert aux fins des intérêts légitimes impérieux poursuivis par le responsable du traitement ou du sous-traitant ; le recours à cette exception est néanmoins strictement encadré.

Pour invoquer cette dérogation, le transfert

- ne peut se fonder ni sur les articles 45 (niveau adéquat de protection) ou 46 (garanties suffisantes), en ce compris sur des règles d’entreprise contraignantes (article 47), ni sur les autres dérogations visées aux articles 49, § 1, a) à f).

- doit rester occasionnel et ne porter que sur un nombre limité de données, ce qui suppose de prendre en considération le volume de données à caractère personnel et le nombre de personnes concernées, et d'examiner si le transfert s'effectue sur une base occasionnelle ou régulière.

- doit être nécessaire à la poursuite d’intérêts légitimes « incontestables » du responsable, qui ne sont pas supplantés par les intérêts, droits et libertés de la personne concernée ;

- le responsable ou le sous-traitant doivent évaluer toutes les circonstances entourant le transfert ou la catégorie de transferts de données et qu’il a offert sur la base de cette évaluation, des garanties appropriées. Cela implique que le responsable prenne considération la nature des données, la finalité et  la durée du ou des traitements envisagés, ainsi que la situation dans le pays d'origine, dans le pays tiers et dans le pays de destination finale et offrir des garanties appropriées pour protéger les droits fondamentaux et les libertés fondamentales des personnes physiques. La version finale du Règlement ajoute que le responsable ou le sous-traitant doivent documenter l’évaluation susmentionnée, et les garanties prises en conséquence (6).

- le responsable doit non seulement informer l’autorité de contrôle dudit transfert, mais il doit en outre fournir une information supplémentaire aux personnes concernées quant aux intérêts légitimes impérieux qui justifient le transfert de leurs données, en sus des informations visées aux articles 13 et 14.

On notera que les dérogations fondées sur le consentement de la personne concernée, sur la nécessité contractuelle (c’est-à-dire les exceptions visées aux articles 49 (1) b) et c), ainsi que sur les intérêts légitimes impérieux du responsable, ne sont pas applicables aux activités des autorités publiques dans l'exercice de leurs prérogatives de puissance publique (§ 3).

Enfin, selon le paragraphe 5, en l'absence de décision d'adéquation, le droit de l'Union ou la législation nationale peut, pour des motifs importants d'intérêt général, fixer expressément des limites au transfert de catégories spécifiques de données vers un pays tiers ou à une organisation internationale.

La Directive

L’article 26 de la Directive formulait six exceptions à l’interdiction de transférer des données vers un pays tiers n’assurant pas un niveau de protection adéquat. Elles visaient des cas limités présentant de risques normalement atténués pour la personne concernée, tenant compte de la primauté de l’intérêt public ou de celui de la personne concernée sur la protection des données. Selon le Groupe Article 29, il fallait recourir en dernier lieu à ces dérogations, lorsqu’aucune autre disposition ne permettait d’autoriser le transfert (G29, document de travail du 24 juillet 1998, Transferts de données personnelles vers des pays tiers: Application des articles 25 et 26 de la directive relative à la protection des données, WP 12).

Ces dérogations portaient sur les cas suivants : lorsque la personne concernée avait donné son contentement indubitable au transfert ; lorsque le transfert était nécessaire dans le contexte d’un contrat ou d'une action en justice ; lorsque la sauvegarde d'un intérêt public important l'exigeait ou pour la constatation, l’exercice ou la défense d’un droit en justice, par exemple en cas d'échanges internationaux de données entre les administrations fiscales ou douanières ou entre les services compétents en matière de sécurité sociale ; lorsque le transfert était nécessaire à la sauvegarde de l’intérêt vital de la personne concernée ou lorsque le transfert était effectué à partir d'un registre établi par la loi et destiné à être consulté par le public ou par des personnes justifiant d’un intérêt légitime.

Ces exceptions faisaient l’objet d’une interprétation stricte, comme le préconisait le Groupe Article 29 dans son document de travail n° 114 relatif à une interprétation commune des dispositions de l'article 26, paragraphe 1, de la Directive 95/46/CE du 24 octobre 1995 adopté le 25 novembre 2005, dès lors qu’après leur transfert, celles-ci ne bénéficient d’aucune protection.

Belgique

Le Législateur belge a reproduit fidèlement l’article 26 de la Directive à l’article 22 de la loi du 8 décembre 1992 (consentement indubitable ; nécessité contractuelle ; sauvegarde d’un intérêt public important ou pour la constatation, l’exercice ou la défense d’un droit en justice ; l’intérêt vital de la personne ; concernée ; transfert effectué à partir d’un registre public).

France

Le législateur français a reproduit l’article 26 de la Directive à l’article 69 de la loi Informatique et Libertés en y introduisant cependant plusieurs nuances, traduisant une volonté d’accroitre le niveau d’exigence des exceptions. À titre d’exemple, la dérogation fondée sur la sauvegarde de l’intérêt vital de la personne concernée a été traduite en droit français comme «  la sauvegarde de la vie de cette personne ».

Difficultés probables

L’article 49 reprend les exceptions classiques, déjà mises en œuvre par la Directive. La disposition, en ce qu’elle admet une exception à l’interdiction de transfert sur la base des seuls intérêts légitimes incontestables du responsable de traitement, vise aussi à faciliter l’admission de transferts exceptionnels vers des pays tiers ne présentant pas de niveau de protection adéquat, tout en garantissant les droits des personnes concernées. Elle pourrait s’avérer particulièrement utile dans le cas où le transfert se fait à destination d’un sous-traitant hors UE. L’information supplémentaire aux personnes concernées risque cependant d’être impraticable dans certains cas de figure et d’en réduire sensiblement l’utilité pratique.

Règlement
1e 2e

Art. 49

1. En l'absence de décision d'adéquation en vertu de l'article 45, paragraphe 3, ou de garanties appropriées en vertu de l'article 46, y compris des règles d'entreprise contraignantes, un transfert ou un ensemble de transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale ne peut avoir lieu qu'à l'une des conditions suivantes:

a) la personne concernée a donné son consentement explicite au transfert envisagé, après avoir été informée des risques que ce transfert pouvait comporter pour elle en raison de l'absence de décision d'adéquation et de garanties appropriées;

b) le transfert est nécessaire à l'exécution d'un contrat entre la personne concernée et le responsable du traitement ou à la mise en oeuvre de mesures précontractuelles prises à la demande de la personne concernée;

c) le transfert est nécessaire à la conclusion ou à l'exécution d'un contrat conclu dans l'intérêt de la personne concernée entre le responsable du traitement et une autre personne physique ou morale;

d) le transfert est nécessaire pour des motifs importants d'intérêt public;

e) le transfert est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice;

f) le transfert est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'autres personnes, lorsque la personne concernée se trouve dans l'incapacité physique ou juridique de donner son consentement;

g) le transfert a lieu au départ d'un registre qui, conformément au droit de l'Union ou au droit d'un État membre, est destiné à fournir des 'informations au public et est ouvert à la consultation du public en général ou de toute personne justifiant d'un intérêt légitime, mais uniquement dans la mesure où les conditions prévues pour la consultation dans le droit de l'Union ou le droit de l'État membre sont remplies dans le cas d'espèce.

Lorsqu'un transfert ne peut pas être fondé sur une disposition de l'article 45 ou 46, y compris les dispositions relatives aux règles d'entreprise contraignantes, et qu'aucune des dérogations pour des situations particulières prévues aux points a) à g) du présent paragraphe n'est applicable, un transfert vers un pays tiers ou à une organisation internationale ne peut avoir lieu que si ce transfert ne revêt pas de caractère répétitif, ne touche qu'un nombre limité de personnes concernées, est nécessaire aux fins des intérêts légitimes impérieux poursuivis par le responsable du traitement sur lesquels ne prévalent pas les intérêts ou les droits et libertés de la personne concernée, et si le responsable du traitement a évalué toutes les circonstances entourant le transfert de données et a offert, sur la base de cette évaluation, des garanties appropriées en ce qui concerne la protection des données à caractère personnel. Le responsable du traitement informe l'autorité de contrôle du transfert. Outre qu'il fournit les informations visées aux articles 13 et 14, le responsable du traitement informe la personne concernée du transfert et des intérêts légitimes impérieux qu'il poursuit.

2. Un transfert effectué en vertu du paragraphe 1, point g), ne porte pas sur la totalité des données à caractère personnel ni sur des catégories entières de données à caractère personnel contenues dans le registre. Lorsque le registre est destiné à être consulté par des personnes justifiant d’un intérêt légitime, le transfert n'est effectué qu'à la demande de ces personnes ou lorsqu'elles en sont les destinataires.

3. Les points a), b), et c) du premier alinéa et le deuxième alinéa du paragraphe 1 ne sont pas applicables aux activités des autorités publiques dans l'exercice de leurs prérogatives de puissance publique.

4. L'intérêt public visé au paragraphe 1, point d), est reconnu par le droit de l'Union ou le droit de l'État membre auquel le responsable du traitement est soumis.

5. En l'absence de décision d'adéquation, le droit de l'Union ou le droit d'un État membre peut, pour des motifs importants d'intérêt public, fixer expressément des limites au transfert de catégories spécifiques de données à caractère personnel vers un pays tiers ou à une organisation internationale. Les États membres notifient de telles dispositions à la Commission.

6. Le responsable du traitement ou le sous-traitant documente, dans les registres visés à l'article 30, l'évaluation ainsi que les garanties appropriées visées au paragraphe 1, deuxième alinéa, du présent article.

Proposition 1 close

1. En l’absence d’une décision relative au caractère adéquat du niveau de protection conformément à l’article 41 ou de garanties appropriées conformément à l’article 42, un transfert ou un ensemble de transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale ne peuvent être effectués qu'à condition que:

a) la personne concernée ait consenti au transfert envisagé, après avoir été informée des risques du transfert en raison de l’absence d’une décision relative au caractère adéquat du niveau de protection et de garanties appropriées;

ou b) le transfert soit nécessaire à l'exécution d'un contrat entre la personne concernée et le responsable du traitement ou à l'exécution de mesures précontractuelles prises à la demande de la personne concernée;

ou c) le transfert soit nécessaire à la conclusion ou à l'exécution d'un contrat conclu, dans l'intérêt de la personne concernée, entre le responsable du traitement et une autre personne physique ou morale;

ou d) le transfert soit nécessaire pour des motifs importants d'intérêt général;

ou e) le transfert soit nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice;

ou f) le transfert soit nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne dans le cas où la personne concernée se trouve dans l'incapacité physique ou juridique de donner son consentement;

ou g) le transfert intervienne au départ d'un registre public qui, en vertu de dispositions du droit de l'Union ou des États membres, est destiné à l'information du public et est ouvert à la consultation du public ou de toute personne justifiant d'un intérêt légitime, dans la mesure où les conditions prévues dans le droit de l'Union ou des États membres pour la consultation sont remplies dans le cas particulier;

ou h) le transfert soit nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou le sous-traitant, qu'il ne puisse pas être qualifié de fréquent ou de massif et que le responsable du traitement ou le sous-traitant ait évalué toutes les circonstances relatives à un transfert ou à une catégorie de transferts de données et offert, sur la base de cette évaluation, des garanties appropriées au regard de la protection des données à caractère personnel, s'il y a lieu.

2. Un transfert effectué en vertu du paragraphe 1, point g), ne porte pas sur la totalité des données à caractère personnel ni sur des catégories entières de données à caractère personnel contenues dans le registre. Lorsque le registre est destiné à être consulté par des personnes qui ont un intérêt légitime, le transfert n'est effectué qu'à la demande de ces personnes ou lorsqu'elles en sont les destinataires.

3. Lorsque le traitement s'effectue en vertu du paragraphe 1, point h), le responsable du traitement ou le sous-traitant prend particulièrement en considération la nature des données, la finalité et la durée du ou des traitements envisagés, ainsi que la situation dans le pays d'origine, le pays tiers et le pays de destination finale, et offre des garanties appropriées au regard de la protection des données à caractère personnel, s'il y a lieu.

4. Les points b), c) et h) du paragraphe 1 ne sont pas applicables aux activités des autorités publiques dans l'exercice de leurs prérogatives de puissance publique.

5. L'intérêt général visé au paragraphe 1, point d), doit être reconnu par le droit de l'Union ou le droit de l'État membre dont relève le responsable du traitement.

 6. Le responsable du traitement ou le sous-traitant atteste la matérialité, dans la documentation visée à l'article 28, de l'évaluation et des garanties appropriées offertes visées au paragraphe 1, point h), et informe l'autorité de contrôle du transfert.

7. La Commission est habilitée à adopter des actes délégués en conformité avec l’article 86, aux fins de préciser davantage les «motifs importants d'intérêt général» au sens du paragraphe 1, point d), ainsi que les critères et exigences applicables aux garanties appropriées prévues au paragraphe 1, point h).

Proposition 2 close

1. En l'absence d'une décision relative au caractère adéquat du niveau de protection conformément à l'article 41, paragraphe 3, ou de garanties appropriées conformément à l'article 42, y compris des règles d'entreprise contraignantes (...), un transfert ou une catégorie de transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale ne peuvent être effectués qu'à condition que:

a) la personne concernée ait explicitement consenti au transfert envisagé, après avoir été informée que ce transfert pouvait comporter des risques pour elle en raison de l'absence d'une décision relative au caractère adéquat du niveau de protection et de garanties appropriées;

b) le transfert soit nécessaire à l'exécution d'un contrat entre la personne concernée et le responsable du traitement ou à l'exécution de mesures précontractuelles prises à la demande de la personne concernée;

c) le transfert soit nécessaire à la conclusion ou à l'exécution d'un contrat conclu, dans l'intérêt de la personne concernée, entre le responsable du traitement et une autre personne physique ou morale;

d) le transfert soit nécessaire pour des motifs importants d'intérêt public;

e) le transfert soit nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice;

ou f) le transfert soit nécessaire à la sauvegarde de l'intérêt vital de la personne concernée ou d'autres personnes dans le cas où la personne concernée se trouve dans l'incapacité physique ou juridique de donner son consentement;

g) le transfert intervienne au départ d'un registre public qui, en vertu de dispositions du droit de l'Union ou des États membres, est destiné à l'information du public et est ouvert à la consultation du public ou de toute personne justifiant d'un intérêt légitime, mais uniquement dans la mesure où les conditions prévues dans le droit de l'Union ou des États membres pour la consultation sont remplies dans le cas particulier;

h) le transfert, qui n'est pas à grande échelle ou fréquent, soit nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement et sur lesquels ne prévalent pas les intérêts ou droits et libertés de la personne concernée et que le responsable du traitement (...) ait évalué toutes les circonstances relatives à un transfert ou à une catégorie de transferts de données et offert (...) sur la base de cette évaluation, des garanties appropriées au regard de la protection des données à caractère personnel.

2. Un transfert effectué en vertu du paragraphe 1, point g), ne porte pas sur la totalité des données à caractère personnel ni sur des catégories entières de données à caractère personnel contenues dans le registre. Lorsque le registre est destiné à être consulté par des personnes qui ont un intérêt légitime, le transfert n'est effectué qu'à la demande de ces personnes ou lorsqu'elles en sont les destinataires.

3. (…)

4. Les points a), b), c) et h) du paragraphe 1 ne sont pas applicables aux activités des autorités publiques dans l'exercice de leurs prérogatives de puissance publique.

5. L'intérêt général visé au paragraphe 1, point d), doit être reconnu par le droit de l'Union ou la législation nationale de l'État membre dont relève le responsable du traitement. (…)

5 bis. En l'absence de décision relative au caractère adéquat du niveau de protection, le droit de l'Union ou la législation nationale de l'État membre peut, pour des motifs importants d'intérêt général, fixer expressément des limites au transfert de catégories spécifiques de données à caractère personnel vers un pays tiers ou une organisation internationale. Les États membres notifient ces dispositions à la Commission. 6. Le responsable du traitement ou le sous-traitant atteste la matérialité, dans les registres visés à l'article 28 (…), de l'évaluation et des garanties appropriées (…) offertes visées au paragraphe 1, point h.

6 bis. (…)

7. (…)

Directive close

Art. 26

1. Par dérogation à l'article 25 et sous réserve de dispositions contraires de leur droit national régissant des cas particuliers, les États membres prévoient qu'un transfert de données à caractère personnel vers un pays tiers n'assurant pas un niveau de protection adéquat au sens de l'article 25 paragraphe 2 peut être effectué, à condition que:

a) la personne concernée ait indubitablement donné son consentement au transfert envisagé

ou

b) le transfert soit nécessaire à l'exécution d'un contrat entre la personne concernée et le responsable du traitement ou à l'exécution de mesures précontractuelles prises à la demande de la personne concernée

ou

c) le transfert soit nécessaire à la conclusion ou à l'exécution d'un contrat conclu ou à conclure, dans l'intérêt de la personne concernée, entre le responsable du traitement et un tiers

ou d) le transfert soit nécessaire ou rendu juridiquement obligatoire pour la sauvegarde d'un intérêt public important, ou pour la constatation, l'exercice ou la défense d'un droit en justice

ou

e) le transfert soit nécessaire à la sauvegarde de l'intérêt vital de la personne concernée

ou

f) le transfert intervienne au départ d'un registre public qui, en vertu de dispositions législatives ou réglementaires, est destiné à l'information du public et est ouvert à la consultation du public ou de toute personne justifiant d'un intérêt légitime, dans la mesure où les conditions légales pour la consultation sont remplies dans le cas particulier.

2. Sans préjudice du paragraphe 1, un État membre peut autoriser un transfert, ou un ensemble de transferts, de données à caractère personnel vers un pays tiers n'assurant pas un niveau de protection adéquat au sens de l'article 25 paragraphe 2, lorsque le responsable du traitement offre des garanties suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes, ainsi qu'à l'égard de l'exercice des droits correspondants; ces garanties peuvent notamment résulter de clauses contractuelles appropriées.

3. L'État membre informe la Commission et les autres États membres des autorisations qu'il accorde en application du paragraphe 2.

En cas d'opposition exprimée par un autre État membre ou par la Commission et dûment justifiée au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes, la Commission arrête les mesures appropriées, conformément à la procédure prévue à l'article 31 paragraphe 2

Les États membres prennent les mesures nécessaires pour se conformer à la décision de la Commission.

4. Lorsque la Commission décide, conformément à la procédure prévue à l'article 31 paragraphe 2, que certaines clauses contractuelles types présentent les garanties suffisantes visées au paragraphe 2, les États membres prennent les mesures nécessaires pour se conformer à la décision de la Commission.

France

Art. 69

Créé par la loi n°2004-801 du 6 août 2004

Toutefois, le responsable d’un traitement peut transférer des données à caractère personnel vers un État ne répondant pas aux conditions prévues à l’article 68 si la personne à laquelle se rapportent les données a consenti expressément à leur transfert ou si le transfert est nécessaire à l’une des conditions suivantes :

 A la sauvegarde de la vie de cette personne ;

 A la sauvegarde de l’intérêt public ;

3° Au respect d’obligations permettant d’assurer la constatation, l’exercice ou la défense d’un droit en justice ;

4° A la consultation, dans des conditions régulières, d’un registre public qui, en vertu de dispositions législatives ou réglementaires, est destiné à l’information du public et est ouvert à la consultation de celui-ci ou de toute personne justifiant d’un intérêt légitime ;
 
5° 
A l’exécution d’un contrat entre le responsable du traitement et l’intéressé, ou de mesures précontractuelles prises à la demande de celui-ci ;
 
6° 
A la conclusion ou à l’exécution d’un contrat conclu ou à conclure, dans l’intérêt de la personne concernée, entre le responsable du traitement et un tiers.

Il peut également être fait exception à l’interdiction prévue à l’article 68, par décision de la Commission nationale de l’informatique et des libertés ou, s’il s’agit d’un traitement mentionné au I ou au II de l’article 26, par décret en Conseil d’État pris après avis motivé et publié de la commission, lorsque le traitement garantit un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes, notamment en raison des clauses contractuelles ou règles internes dont il fait l’objet.

La Commission nationale de l’informatique et des libertés porte à la connaissance de la Commission des Communautés européennes et des autorités de contrôle des autres États membres de la Communauté européenne les décisions d’autorisation de transfert de données à caractère personnel qu’elle prend au titre de l’alinéa précédent.

Ancienne loi
en France
close

Art. 69

Toutefois, le responsable d'un traitement peut transférer des données à caractère personnel vers un Etat ne répondant pas aux conditions prévues à l'article 68 si la personne à laquelle se rapportent les données a consenti expressément à leur transfert ou si le transfert est nécessaire à l'une des conditions suivantes :

1° A la sauvegarde de la vie de cette personne ;

2° A la sauvegarde de l'intérêt public ;

3° Au respect d'obligations permettant d'assurer la constatation, l'exercice ou la défense d'un droit en justice ;

4° A la consultation, dans des conditions régulières, d'un registre public qui, en vertu de dispositions législatives ou réglementaires, est destiné à l'information du public et est ouvert à la consultation de celui-ci ou de toute personne justifiant d'un intérêt légitime ;

5° A l'exécution d'un contrat entre le responsable du traitement et l'intéressé, ou de mesures précontractuelles prises à la demande de celui-ci ;

6° A la conclusion ou à l'exécution d'un contrat conclu ou à conclure, dans l'intérêt de la personne concernée, entre le responsable du traitement et un tiers.

(…).

Belgique

Aucune disposition spécifique

Ancienne loi
en Belgique
close

Art. 22

§ 1. Par dérogation à l'article 21, un transfert ou une catégorie de transferts de données à caractère personnel vers un pays non membre de la Communauté européenne et n'assurant pas un niveau de protection adéquat, peut être effectué dans un des cas suivants :

  1° la personne concernée a indubitablement donné son consentement au transfert envisagé;

  2° le transfert est nécessaire à l'exécution d'un contrat entre la personne concernée et le responsable du traitement ou des mesures préalables à la conclusion de ce contrat, prises à la demande de la personne concernée;

  3° le transfert est nécessaire à la conclusion ou à l'exécution d'un contrat conclu ou à conclure, dans l'intérêt de la personne concernée, entre le responsable du traitement et un tiers;

  4° le transfert est nécessaire ou rendu juridiquement obligatoire pour la sauvegarde d'un intérêt public important, ou pour la constatation, l'exercice ou la défense d'un droit en justice;

  5° le transfert est nécessaire à la sauvegarde de l'intérêt vital de la personne concernée;

  6° le transfert intervient au départ d'un registre public qui, en vertu de dispositions législatives ou réglementaires, est destiné à l'information du public et est ouvert à la consultation du public ou de toute personne justifiant d'un intérêt légitime, dans la mesure où les conditions légales pour la consultation sont remplies dans le cas particulier.

Ulys logo

Cabinet d’avocats moderne et humain,
au service de la création et de l’innovation

En savoir plus
Droit & Technologies logo white

Depuis 1997, le Portail du Droit des Technologies
Retrouvez-y les derniers actualités et des dossiers exclusifs.

En savoir plus
close

En poursuivant votre navigation sur notre site, vous acceptez l’utilisation de cookies afin de nous permettre d’améliorer votre expérience utilisateur. En savoir plus

OK