Les responsables du traitement qui souhaitent transférer des données à caractère personnel en dehors de l'EEE doivent d'abord s'assurer que le pays de destination offre un niveau de protection adéquat.
Une «décision d’adéquation» est l’un des outils prévus par le RGPD permettant les transferts de données à caractère personnel de l’EEE vers des pays tiers (article 45 du RGPD). Plus précisément, la Commission européenne a le pouvoir d’adopter une décision d’adéquation établissant qu’un pays, un territoire, un ou plusieurs secteurs déterminés dans ce pays tiers, ou une organisation internationale offre un niveau adéquat de protection des données à caractère personnel. Lorsqu'une telle décision a été adoptée, le transfert peut être effectué de la même manière que s'il avait été effectué à l'intérieur de l'EEE.[1] La Commission européenne a publié des décisions d’adéquation pour les pays suivants :
- Andorre,
- Argentine,
- Canada (pour les transferts aux destinataires assujettis à la loi canadienne sur la protection des renseignements personnels et les documents électroniques),
- Îles Féroé,
- Israël,
- Japon,
- Jersey,
- Suisse ,
- États-Unis d’Amérique (uniquement pour les entreprises certifiées au titre du cadre de protection des données UE-États-Unis: voir section suivante) et
- Uruguay.
Les exportateurs de données devraient vérifier que leurs activités ou les catégories de données qu’ils traitent entrent dans le champ d’application de la décision d’adéquation qui constitue la base du transfert.
[1] Article 45 du RGPD.