3.5. Dérogations pour des situations particulières

Les dérogations visées à l’article 49 du règlement général sur la protection des données sont des exemptions au principe général selon lequel des données à caractère personnel ne peuvent être transférées vers des pays tiers que si un niveau de protection adéquat est offert dans le pays tiers ou si des garanties appropriées ont été apportées et si les personnes concernées bénéficient de droits opposables et effectifs afin de continuer à bénéficier de leurs droits fondamentaux et garanties.

Ces dérogations ne peuvent donc être utilisées que dans des situations particulières : les responsables de traitement doivent s’efforcer de mettre en place des garanties appropriées et ne doivent recourir à ces exceptions qu’en l’absence de telles garanties. L’article 49 du RGPD fait l’objet d’une interprétation stricte par les autorités de protection des données, afin que l’exception ne devienne pas la règle.

Parmi ces dérogations pour des situations particulières, on retrouve :

  • le consentement explicite de la personne concernée au transfert envisagé, après avoir été informée des risques que ce transfert pouvait comporter pour elle en raison de l'absence de décision d'adéquation et de garanties appropriées;
  • la nécessité du transfert pour l'exécution d'un contrat entre la personne concernée et le responsable du traitement ou à la mise en œuvre de mesures précontractuelles prises à la demande de la personne concernée;
  • la nécessité du transfert pour la conclusion ou à l'exécution d'un contrat conclu dans l'intérêt de la personne concernée entre le responsable du traitement et une autre personne physique ou morale;
  • la nécessité du transfert pour des motifs importants d'intérêt public;
  • la nécessité du transfert pour la constatation, à l'exercice ou à la défense de droits en justice;
  • la nécessité du transfert pour la sauvegarde des intérêts vitaux de la personne concernée ou d'autres personnes, lorsque la personne concernée se trouve dans l'incapacité physique ou juridique de donner son consentement;
  • le fait que le transfert ait lieu au départ d'un registre qui, conformément au droit de l'Union ou au droit national, est destiné à fournir des informations au public et est ouvert à la consultation du public en général ou de toute personne justifiant d'un intérêt légitime, mais uniquement dans la mesure où les conditions prévues pour la consultation dans le droit national ou le droit de l'État membre sont remplies dans le cas d'espèce.

Une dérogation de « dernier ressort » consiste à transférer des données à caractère personnel si c’est nécessaire aux fins des intérêts légitimes impérieux poursuivis par l’exportateur de données. Cependant, cette dérogation n’est applicable que si :

  • aucune des dérogations pour des situations particulières visées ci-dessus n'est applicable,
  • ce transfert ne revêt pas de caractère répétitif,
  • ce transfert ne touche qu'un nombre limité de personnes concernées,
  • ce transfert est nécessaire aux fins des intérêts légitimes impérieux poursuivis par le responsable du traitement sur lesquels ne prévalent pas les intérêts ou les droits et libertés de la personne concernée,
  • le responsable du traitement a évalué toutes les circonstances entourant le transfert de données et a offert, sur la base de cette évaluation, des garanties appropriées en ce qui concerne la protection des données à caractère personnel,
  • le responsable du traitement a informé l'autorité de contrôle (par exemple la CNPD) du transfert, et
  • le responsable du traitement a informé la personne concernée du transfert et des intérêts légitimes impérieux qu'il poursuit.

Dernière mise à jour