Section 3 Communication de données personnelles à l’étranger

¹Les États, les territoires, les secteurs déterminés dans un État, et les organismes internationaux avec un niveau de protection adéquat sont mentionnés à l’annexe 1.

²Pour évaluer si un État, un territoire, un secteur déterminé dans un État, ou un organisme international garantit un niveau de protection adéquat, les critères suivants sont en particulier pris en compte:

a.

les engagements internationaux de l’État ou de l’organisme international, notamment en matière de protection des données;

b.

l’état de droit et le respect des droits de l’homme;

c.

la législation applicable, notamment en matière de protection des données, de même que sa mise en œuvre et la jurisprudence y relative;

d.

la garantie effective des droits des personnes concernées et des voies de droit;

e.

le fonctionnement effectif d’une ou de plusieurs autorités indépendantes chargées de la protection des données dans l’État concerné, ou auxquelles un organisme international est soumis, et disposant de pouvoirs et de compétences suffisants.

³Le PFPDT est consulté lors de chaque évaluation. Les appréciations effectuées par des organismes internationaux ou des autorités étrangères chargées de la protection des données peuvent être prises en compte.⁷

⁴L’adéquation du niveau de protection est réévaluée périodiquement.

⁵Les évaluations doivent être publiées.

⁶Lorsque l’évaluation visée à l’al. 4 ou que d’autres informations indiquent que le niveau de protection adéquat n’est plus garanti, l’annexe 1 est modifiée sans effet sur les communications de données déjà effectuées.

¹Les clauses de protection des données d’un contrat au sens de l’art. 16, al. 2, let. b, LPD et les garanties spécifiques au sens de l’art. 16, al. 2, let. c, LPD comprennent au moins les points suivants:

a.

l’application des principes de licéité, de bonne foi, de proportionnalité, de transparence, de finalité et d’exactitude;

b.

les catégories de données communiquées et de personnes concernées;

c.

le type et la finalité de la communication des données personnelles;

d.

le cas échéant, le nom des États ou des organismes internationaux auxquels sont destinées les données personnelles, et les conditions applicables à la communication;

e.

les conditions applicables à la conservation, à l’effacement et à la destruction des données personnelles;

f.

les destinataires ou les catégories de destinataires;

g.

les mesures visant à garantir la sécurité des données;

h.

l’obligation d’annoncer les violations de la sécurité des données;

i.

l’obligation pour le destinataire, lorsqu’il est responsable du traitement, d’informer les personnes concernées par le traitement des données;

j.

les droits de la personne concernée, en particulier:

1.

le droit d’accès et le droit à la remise ou à la transmission des données personnelles,

2.

le droit de s’opposer à la communication des données,

3.

le droit de demander la rectification, l’effacement ou la destruction des données,

4.

le droit de saisir en justice une autorité indépendante.

²Le responsable du traitement ou, dans le cas de clauses de protection des données d’un contrat, le sous-traitant prend les mesures adéquates pour s’assurer que le destinataire respecte ces clauses ou les garanties spécifiques.

³Une fois les clauses de protection des données d’un contrat ou les garanties spécifiques annoncées au PFPDT, le devoir d’information du responsable du traitement est réputé également rempli pour toutes les communications:

a.

qui se fondent sur les mêmes clauses ou garanties, pour autant que les catégories de destinataires, les finalités du traitement et les catégories de données communiquées soient similaires, ou

b.

qui sont effectuées au sein d’une même personne morale ou société ou entre des entreprises appartenant au même groupe.

¹Lorsque le responsable du traitement ou le sous-traitant communique des données personnelles à l’étranger au moyen de clauses types de protection des données au sens de l’art. 16, al. 2, let. d, LPD, il prend les mesures adéquates pour s’assurer que le destinataire les respecte.

²Le PFPDT publie une liste des clauses types de protection des données qu’il a approuvées, établies ou reconnues. Il communique le résultat de l’examen sur les clauses types qui lui sont soumises dans un délai de 90 jours.

¹Les règles d’entreprise contraignantes au sens de l’art. 16, al. 2, let. e, LPD s’appliquent à toutes les entreprises appartenant au même groupe.

²Elles portent au moins sur les points mentionnés à l’art. 9, al. 1, ainsi que sur les points suivants:

a.

la structure et les coordonnées du groupe d’entreprises et de chacune de ses entités;

b.

les mesures mises en place au sein des groupes d’entreprises pour garantir le respect des règles d’entreprise contraignantes.

³Le PFPDT communique le résultat de l’examen sur les règles d’entreprise contraignantes qui lui sont soumises dans un délai de 90 jours.

¹Des données personnelles peuvent être communiquées à l’étranger à condition qu’un code de conduite ou qu’une certification garantisse un niveau de protection approprié.

²Le code de conduite est préalablement soumis au PFPDT pour approbation.

³Le code de conduite ou la certification doit être assorti d’un engagement contraignant et exécutoire par lequel le responsable du traitement ou le sous-traitant dans l’État tiers garantit qu’il applique les mesures contenues dans ces instruments.