RGPD : quelles formalités pour les transferts hors UE ?

Le transfert de données en dehors de l’Union européenne est soumis à des règles strictes énoncées par le Règlement général sur la protection des données (RGPD). Voici ce que vous devez savoir sur les formalités à respecter pour ces transferts.

Garanties appropriées pour les transferts hors UE

Avec le RGPD, aucun transfert de données en dehors de l’Union européenne ne nécessite une autorisation préalable de la CNIL, à condition que l’une des garanties appropriées suivantes soit appliquée :

1. Niveau de protection équivalent : Le pays destinataire des données doit disposer d’un niveau de protection équivalent à celui de l’UE, reconnu par la Commission européenne.
2. Instruments juridiquement contraignants : Un instrument juridiquement contraignant et exécutoire entre les autorités ou organismes publics peut être utilisé.
3. Règles d’entreprise contraignantes (BCR) : Si le destinataire des données fait partie d’un groupe disposant de règles d’entreprise contraignantes approuvées par l’EDPB.
4. Clauses contractuelles types : Le contrat entre l’exportateur et le destinataire des données doit contenir les clauses contractuelles types de protection des données adoptées par la Commission européenne.
5. Codes de conduite ou certifications : Le destinataire des données peut appliquer un code de conduite approuvé par l’autorité européenne de protection des données compétente, ou une certification assortie d’un engagement contraignant.

Autorisation spécifique pour certains transferts

Cependant, certains transferts nécessitent une autorisation spécifique de la CNIL, même s’ils sont assortis des garanties appropriées. Il s’agit des transferts faisant l’objet des garanties suivantes :

1. Clauses contractuelles spécifiques : Lorsque des clauses contractuelles spécifiques entre les responsables de traitement ou les sous-traitants sont utilisées.
2. Arrangements administratifs : Pour les dispositions à intégrer dans des arrangements administratifs entre les autorités publiques, prévoyant des droits opposables et effectifs pour les personnes concernées.

Validité des autorisations préalables

Les autorisations accordées par un État membre ou une autorité de protection des données avant le 25 mai 2018 restent valides jusqu’à leur modification, remplacement ou abrogation.

En conclusion, les transferts de données hors UE sont soumis à des règles strictes et nécessitent souvent des garanties appropriées ainsi qu’éventuellement une autorisation spécifique de la CNIL. Il est crucial pour les organisations de respecter ces formalités afin d’assurer la protection des données personnelles conformément au RGPD.