Puis-je traiter des données en dehors de l’UE dans le cadre du RGPD ?

Le RGPD autorise le transfert de données à caractère personnel vers des pays non membres de l’UE (appelés “pays tiers”) afin de garantir le commerce et la coopération au niveau international.

Vous pouvez transférer des données vers des pays qui garantissent un niveau de protection adéquat : Andorre, Argentine, Canada (uniquement les organisations commerciales), Îles Féroé, Guernesey, Israël, Île de Man, Jersey, Nouvelle-Zélande, Suisse, Uruguay, Japon, Royaume-Uni, Corée du Sud et États-Unis (si le destinataire appartient au Data Privacy Framework). Dans ces pays, les réglementations légales nationales prévoient un niveau de protection des données à caractère personnel comparable à celui du droit de l’UE.

Pour transférer des données vers un pays tiers qui n’assure pas un niveau de protection adéquat, il n’y a donc pas de décision d’adéquation de la Commission européenne, vous devez vous assurer que les données personnelles seront protégées par le destinataire.

Ceci peut être assuré par ex. par l’utilisation de clauses contractuelles types, pour les transferts de données au sein d’un groupe de sociétés par le biais de règles d’entreprise dites contraignantes, ou par l’engagement de respecter des codes de conduite qui ont été déclarés par la Commission européenne comme étant d’application générale.

Il existe plusieurs exceptions qui autorisent le transfert de données vers un pays tiers, même si la protection des données personnelles ne peut être suffisamment assurée. Le plus souvent, le consentement de la personne concernée est requis.