8ème thème : Le transfert à létranger de données à caractère personnel

Le transfert à létranger de données à caractère personnel Condition Nécessité dune protection suffisante dans le pays détablissement du destinataire Exceptions Un transfert vers un pays tiers nassurant pas un niveau de protection adéquat peut être effectué : - si autorisé par la CNIL sur la base dun contrat ou de règles internes - à condition que la personne est consenti à ce transfert - si le transfert est nécessaire : - à la sauvegarde de la vie de cette personne - à la sauvegarde de lintérêt public - au respect dobligations permettant dassurer la constatation, lexercice ou la défense dun droit en justice - à la consultation dun registre public - à lexécution dun contrat entre le responsable du traitement et la personne concernée - à la conclusion ou à lexécution dun contrat entre le responsable du traitement et un tiers, dans lintérêt de la personne concernée

Le transfert à létranger de données à caractère personnel Quest-ce quun transfert de données à caractère personnel à létranger? = toute communication, copie ou déplacement de données par lintermédiaire dun réseau, ou toute communication, copie ou déplacement de ces données dun support à un autre, quel que soit le type de ce support, dans la mesure où ces données ont vocation à faire lobjet dun traitement dans le pays destinataire. Exemples positifs : - Centralisation intra-groupe de la base de données de gestion des commandes et de la comptabilité clients -Transfert vers un prestataire aux fins de saisie informatique de dossiers manuels Exemples négatifs : - La personne a elle-même communiqué ses données à lentité établie à létranger - Voir décision Lindqvist

Le transfert à létranger de données à caractère personnel Le fait que les données soient transférées vers un pays hors UE ne doit pas diminuer la protection des personnes dont les données sont collectées : - respect des formalités préalables auprès de la CNIL - le transfert doit avoir une finalité déterminée, explicite et légitime - les données transférées ne doivent pas être traitées ultérieurement de manière incompatible avec cette finalité - les données transférées doivent être adéquates, pertinentes et non excessives au regard de la finalité pour laquelle elles sont transférées - obligation dinformer la personne dont les données sont transférées

Le transfert à létranger de données à caractère personnel Quest-ce quun pays assurant un niveau de protection adéquat? Pas de définition Pays de lUE non concernés Cas des pays de lEEE (Espace Économique Européen) : Islande; Liechtenstein et Norvège. Reconnaissance de protection par la Commission européenne : - Argentine - Canada - Guernesey - LIle de Man - La Suisse - Le cas du Safe Harbor Pour les autres pays : clauses contractuelles ou règles internes

Le transfert à létranger de données à caractère personnel Le Safe Harbor = démarche volontaire dentreprises US qui certifient offrir une protection adéquate Elles disent adhérer à une série de principes tels que : - information des personnes - possibilité pour la personne de sopposer à un transfert à des tiers ou à une utilisation des données pour une finalité différente - consentement explicite pour les données sensibles - droit daccès - sécurité - etc.