RGPD : Clarifications sur la notion de transfert international de données

​Dans son projet de recommandations 05/2021 publié le 18 novembre 2021 sur l'articulation entre l'Article 3 du RGPD (champ d'application) et les dispositions du Chapitre V de ce même texte (règles en matière de transferts), le Comité européen de la protection des données (le « CEPD ») apporte des éclaircissements sur la notion de transfert international de données.

Le CEPD identifie trois critères cumulatifs permettant d'identifier un cas de transfert international :

- Un responsable de traitement ou un sous-traitant est assujetti au RGPD pour ce traitement ;
- Ce responsable de traitement ou ce sous-traitant assume un rôle « d'exportateur » et transmet les données à une autre entité assumant un rôle d'«importateur » (responsable de traitement distinct ou conjoint, ou sous-traitant) ;
- Cet importateur est situé dans un pays tiers, indépendamment du fait que celui-ci soit déjà assujetti ou non au RGPD dans le cadre dudit traitement.

Du reste, le CEPD reconnaît que les mécanismes actuels et notamment les derniers modèles de Clauses Contractuelles Types (« CCT ») publiés par la Commission européenne le 4 juin 2021, semblent peu adaptés aux situations dans lesquelles l'importateur des données respecte déjà les dispositions prévues par le RGPD. La piste de nouveaux modèles de CCT adaptées et potentiellement « allégées » apparaît dès lors envisageable pour le CEPD qui se déclare prêt à coopérer à leur élaboration.

Le projet de recommandations est soumis à consultation publique jusqu'au 31 janvier 2022.

Lien vers le projet de recommandations 05/2021 du CEPD