Manuel - Droit et protection des données à caractère personnel - 1re - 106

DROIT ET PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL
adéquat est assuré sur place. Un tel transfert, précise l'article, ne nécessite
pas d'autorisation spécifique.
L'évaluation du caractère adéquat du niveau de protection est une opération
particulièrement importante et sensible. À cet égard, la Commission
prend en considération un certain nombre d'éléments, la décision d'adéquation
n'étant prise que si trois critères sont réunis : d'abord, la législation ne
doit pas se limiter à la seule protection des données, la Commission tenant
compte également de l'État de droit ainsi que du respect des droits de
l'homme et des libertés fondamentales, entre autres223
; ensuite, ladite Commission
vérifiera l'existence d'autorités de contrôle, lesquelles doivent naturellement
être indépendantes et à même d'assurer le respect des règles en
matière de protection des données, tout en menant une action d'assistance
et de conseil224
internationaux225
; enfin, la Commission examine les engagements
pris par le pays tiers ou auxquels l'organisation internationale
est soumise, ainsi que toute participation à des systèmes de protection
des données à caractère personnel226
.
Après cette évaluation, la Commission peut décider, par voie d'actes d'exécution,
qu'un pays tiers227
niveau de protection adéquate au sens du RGPD228
ou une organisation internationale assure un
. Afin de prendre en considération
d'éventuelles évolutions pertinentes, il est prévu un mécanisme
d'examen périodique, au moins tous les 4 ans. L'acte d'exécution précise également
le champ d'application territorial et sectoriel, voire le cas échéant, la
ou les autorités de contrôle. Un suivi permanent est assuré229
et, si le niveau
de protection adéquat n'est plus assuré, la Commission pourra abroger, modifier
ou suspendre la décision d'adéquation par voie d'actes d'exécution sans
effet rétroactif230
. Dès lors, elle engage aussitôt des consultations avec les pays
. Enfin,
tiers ou l'organisation internationale afin de remédier à la situation231
la Commission publie au Journalofficielde l'Union européenne,et non pas sur
223. L'art. 45-2 a), RGPD, vise aussi, outre l'État de droit et les droits de l'homme, « la législation permanente,
tant générale que sectorielle, y compris en ce qui concerne la sécurité publique, la défense, la sécurité
nationale et le droit pénal ainsi que l'accès des autorités publiques aux données à caractère personnel,
de même quela miseen œuvre de ladite législation, les règles en matière de protection des données, les
règles professionnelles et les mesures de sécurité, y compris les règles relatives au transfert ultérieur de
données à caractère personnel vers un autre pays ou une autre organisation internationale (...), la jurisprudence
ainsi que les droits effectifs et opposables dont bénéficient les personnes concernées et les recours
administratifs et judiciaires que peuvent effectivement introduire les personnes concernées dont les données
à caractère personnel sont transférées ».
224. Art. 45-2 b), RGPD.
225. Ou d'autres obligations découlant de conventions ou d'instruments juridiquement contraignants,
voire de la participation de l'État à des systèmes multilatéraux ou régionaux concernant notamment la
protection des données à caractère personnel.
226. Art. 45-2 c), RGPD.
227. Mais aussi un territoire ou un ou plusieurs secteurs déterminés dans un pays tiers.
228. Art. 45-3, RGPD.
229. Art. 45-4, RGPD.
230. Art. 45-5, RGPD. L'art. 45-7 précise que la décision est sans préjudice des transferts de données vers les
pays tiers ou l'organisation internationale effectués en application des art. 46 et 47 : v. infra,nos
suivants.
231. Art. 45-6, RGPD.
106

Manuel - Droit et protection des données à caractère personnel - 1re

Table des matières de la publication Manuel - Droit et protection des données à caractère personnel - 1re