Hors collection - Droit des données à caractère personnel - 1re - 410

410

DROIT

DES DONNÉES À CARACTÈRE PERSONNEL

désignera l'un de ses membres (appartenant ou ayant appartenu au Conseil d'État, à la Cour de cassation ou
à la Cour des comptes) pour mener les investigations et procéder aux modifications nécessaires. À l'issue
des vérifications, soit la CNIL informe la personne concernée du refus d'accéder à sa demande et de la possibilité qu'elle a de former un recours juridictionnel, soit de ce qu'il est fait droit à sa demande, car elle ne
heurte pas les finalités du traitement, la sûreté de l'État, la défense ou la sécurité publique.

E. Les transferts de données vers un pays tiers ou une organisation
internationale
891. Admission. Le transfert des données à caractère personnel vers un pays tiers ou une organisation
internationale151 - si le transfert de données vers une organisation internationale est envisagé par la
directive (UE) 2016/680, la loi du 6 janvier 1978 n'y fait pas référence, sans que cela remette en
cause cette possibilité152 - est soumis à quatre conditions cumulatives. Certaines conditions répliquent
le champ d'application de la directive (UE) 2016/680 aux transferts vers un pays tiers ou une organisation internationale tandis qu'une dernière condition a trait à la base juridique autorisant le transfert.
892. Réplication du champ d'application de la directive (UE) 2016/680. Au titre de ces conditions,
le transfert doit en premier lieu être nécessaire pour une finalité pénale, par exemple pour prévenir la
commission d'une infraction ou enquêter sur une infraction commise.
En second lieu, les données doivent être transmises à une autorité compétente.
En troisième lieu, si les données transférées proviennent d'un autre État membre, l'État d'origine doit
avoir autorisé le transfert vers un pays tiers ou une organisation internationale à moins que ce transfert
soit « nécessaire à la prévention d'une menace grave et immédiate pour la sécurité publique d'un autre
État ou pour la sauvegarde des intérêts essentiels de la France et sous réserve de l'information de l'État
d'origine des données »153. Toutes ces conditions restreignent les transferts de données traitées vers un
pays tiers. Le transfert n'est possible que s'il intervient en matière de police-justice.
En quatrième lieu, s'agissant de la base juridique du transfert, plusieurs possibilités sont ouvertes154. En
principe, le transfert doit intervenir sur le fondement d'une décision d'adéquation adoptée par la
Commission155. Aucune décision d'adéquation sur le fondement de la directive (UE) 2016/680 n'a
été adoptée en l'état du droit positif156. En son absence, le transfert peut intervenir sur la base d'un
instrument juridique contraignant fournissant des garanties appropriées concernant la protection des
données à caractère personnel comme une convention internationale ou un instrument ponctuel
imposant une obligation de confidentialité ou une limitation des finalités du traitement des données
transférées157. En l'absence d'une décision d'adéquation ou d'un instrument juridiquement contraignant, le transfert peut être effectué sur la base d'une analyse par le responsable du traitement des
circonstances du transfert et de l'existence de garanties appropriées158.

151.
152.
153.
154.
155.
156.

Dir. (UE) 2016/680, art. 35 et cons. 25 ; Interpol, par exemple.
L., 6 janv. 1978, art. 112, 2º.
L., 6 janv. 1978, art. 112, 1º, 2º et 3º ; dir. (UE) 2016/680, art. 35, § 1, a, b et c.
Dir. (UE) 2016/680, art. 35, § 1, d et e et art. 36 et 37.
Sur les critères d'appréciation : dir. (UE) 2016/680, cons. 67 et 68. V. supra, nº 338 et s.
Cf. « Adequacy decisions : How the EU determines if a non-EU country has an adequate level of data protection »,
Comm. UE, https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/adequacydecisions_en.
157. Dir. (UE) 2016/680, cons. 71.
158. La CNIL est informée des catégories de transfert relevant de ce fondement (L., 6 janv. 1978, art. 112, al. 3 et 4).
https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/adequacy
Hors collection - Droit des données à caractère personnel - 1re

Table des matières de la publication Hors collection - Droit des données à caractère personnel - 1re
