L’article 49 du RGPD énumère de manière exhaustive un certain nombre de dérogations. Il s’agit de dérogations au principe général selon lequel les données à caractère personnel ne peuvent être transférées vers des pays tiers que si un niveau de protection adéquat est prévu dans le pays tiers ou si des garanties appropriées ont été apportées, tel que décrit dans les sections précédentes.
Ces dérogations ne doivent donc être utilisées que dans les situations spécifiques énumérées ci-dessous. Ce n’est que s’il n’est pas possible de se fonder sur une décision d’adéquation ou une des garanties appropriées visées à l’article 46 du RGPD, que les responsables du traitement ou les sous-traitants pourraient faire usage de l’une des dérogations prévues par l’article 49 du RGPD. Lorsqu’ils s’appuient sur ces dérogations, les responsables du traitement devraient être en mesure de démontrer pourquoi il n’a pas été possible de s’appuyer sur des garanties appropriées, comme l’exige le principe de « responsabilité ».
Sur la base des dérogations, les données à caractère personnel peuvent être transférées vers un pays tiers lorsque :
- la personne concernée a explicitement consenti au transfert proposé, après avoir été informée des risques éventuels de tels transferts pour la personne concernée en raison de l’absence de décision d’adéquation et de garanties appropriées;
- le transfert est nécessaire à l'exécution d'un contrat entre la personne concernée et le responsable du traitement ou à la mise en œuvre de mesures précontractuelles prises à la demande de la personne concernée;
- le transfert est nécessaire à la conclusion ou à l'exécution d'un contrat conclu dans l'intérêt de la personne concernée entre le responsable du traitement et une autre personne physique ou morale;
- le transfert est nécessaire pour des raisons importantes d'intérêt public;
- le transfert est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice;
- le transfert est nécessaire pour protéger les intérêts vitaux de la personne concernée ou d'autres personnes, lorsque la personne concernée est physiquement ou juridiquement incapable de donner son consentement; ou
- le transfert est effectué à partir d’un registre qui, conformément au droit de l’Union ou au droit d’un État membre, est destiné à informer le public et qui est ouvert à la consultation du public en général ou de toute personne pouvant démontrer un intérêt légitime, mais uniquement dans la mesure où les conditions prévues par le droit de l’Union ou le droit d’un État membre pour la consultation sont remplies dans le cas d’espèce.
En tant que dérogation de « dernier recours », les données à caractère personnel peuvent être transférées si cela est nécessaire aux fins des intérêts légitimes impérieux poursuivis par l'exportateur de données. Toutefois, cette dérogation ne s’applique que dans un certain nombre de conditions cumulatives expressément énumérées :
- aucune des dérogations susmentionnées n'est applicable,
- le transfert n'est pas répétitif,
- le transfert ne concerne qu'un nombre limité de personnes concernées,
- le transfert est nécessaire aux fins d'intérêts légitimes impérieux poursuivis par le responsable du traitement qui ne prévalent pas sur les intérêts ou les droits et libertés de la personne concernée,
- le responsable du traitement a évalué toutes les circonstances entourant le transfert de données et a, sur la base de cette évaluation, fourni des garanties appropriées en ce qui concerne la protection des données à caractère personnel,
- le responsable du traitement a informé l’autorité de contrôle (par exemple la CNPD) du transfert, et
- le responsable du traitement a informé la personne concernée du transfert et des intérêts légitimes impérieux poursuivis, en plus de fournir les informations visées aux articles 13 et 14 du RGPD.