À quelles conditions peut-on transférer des données personnelles à l'étranger ?
Des données personnelles peuvent être communiquées à l’étranger si le Conseil fédéral a constaté que l’État concerné, ou un organisme international, assure un niveau de protection adéquat. À défaut, le transfert reste possible si un niveau de protection approprié est garanti par l’un des instruments prévus par la loi, notamment un traité international, certaines clauses contractuelles, des garanties spécifiques, des clauses type ou des règles d’entreprise contraignantes, selon les conditions indiquées.
La règle de base est la suivante: des données personnelles peuvent être communiquées à l’étranger lorsque le Conseil fédéral a constaté que l’État concerné dispose d’une législation assurant un niveau de protection adéquat, ou lorsqu’un organisme international garantit un niveau de protection adéquat. Avant un transfert, il faut donc vérifier si une telle constatation existe pour la destination visée ou pour l’organisme international concerné. Si cette condition est remplie, la communication à l’étranger est admise sur cette base.[1]
- En l’absence d’une décision du Conseil fédéral constatant un niveau de protection adéquat, la communication à l’étranger reste possible si un niveau de protection approprié est garanti par un traité international.
- Elle reste aussi possible sur la base de clauses de protection des données d’un contrat entre le responsable du traitement ou le sous-traitant et son cocontractant, à condition que ces clauses aient été préalablement communiquées au PFPDT.
- Peuvent également servir de base des garanties spécifiques élaborées par l’organe fédéral compétent et préalablement communiquées au PFPDT.
- Des clauses type de protection des données peuvent aussi être utilisées si elles ont été préalablement approuvées, établies ou reconnues par le PFPDT.
- Enfin, des règles d’entreprise contraignantes peuvent garantir un niveau de protection approprié si elles ont été préalablement approuvées par le PFPDT ou par une autorité chargée de la protection des données relevant d’un État qui assure un niveau de protection adéquat.
- Il faut donc identifier l’instrument juridique effectivement utilisé pour le transfert et vérifier, selon le cas, l’exigence de communication préalable au PFPDT, d’approbation préalable, ou le lien avec un État assurant un niveau de protection adéquat.
La loi prévoit encore que le Conseil fédéral peut prévoir d’autres garanties appropriées au sens de l’al. 2. Si un transfert est envisagé sans décision d’adéquation, il convient donc de contrôler non seulement l’existence d’un des instruments expressément énumérés, mais aussi si d’autres garanties appropriées ont été prévues par le Conseil fédéral dans le cadre de cette disposition.[1]
Cette réponse résume le texte légal cité tel que publié sur Fedlex. Il faut vérifier la disposition actuellement en vigueur ainsi que toute modification ultérieure avant d’agir sur cette base.[1]