Article 46 - Transferts moyennant des garanties appropriées
1. En l'absence de décision en vertu de l'article 45, paragraphe 3, le responsable du traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers un pays tiers ou à une organisation internationale que s'il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives.2. Les garanties appropriées visées au paragraphe 1 peuvent être fournies, sans que cela ne nécessite une autorisation particulière d'une autorité de contrôle, par:
- a) un instrument juridiquement contraignant et exécutoire entre les autorités ou organismes publics;
- b) des règles d'entreprise contraignantes conformément à l'article 47;
- c) des clauses types de protection des données adoptées par la Commission en conformité avec la procédure d'examen visée à l'article 93, paragraphe 2;
- d) des clauses types de protection des données adoptées par une autorité de contrôle et approuvées par la Commission en conformité avec la procédure d'examen visée à l'article 93, paragraphe 2;
- e) un code de conduite approuvé conformément à l'article 40, assorti de l'engagement contraignant et exécutoire pris par le responsable du traitement ou le sous-traitant dans le pays tiers d'appliquer les garanties appropriées, y compris en ce qui concerne les droits des personnes concernées; ou
- f) un mécanisme de certification approuvé conformément à l'article 42, assorti de l'engagement contraignant et exécutoire pris par le responsable du traitement ou le sous-traitant dans le pays tiers d'appliquer les garanties appropriées, y compris en ce qui concerne les droits des personnes concernées.
- a) des clauses contractuelles entre le responsable du traitement ou le sous-traitant et le responsable du traitement, le sous-traitant ou le destinataire des données à caractère personnel dans le pays tiers ou l'organisation internationale; ou
- b) des dispositions à intégrer dans des arrangements administratifs entre les autorités publiques ou les organismes publics qui prévoient des droits opposables et effectifs pour les personnes concernées.
5. Les autorisations accordées par un État membre ou une autorité de contrôle sur le fondement de l'article 26, paragraphe 2, de la directive 95/46/CE demeurent valables jusqu'à leur modification, leur remplacement ou leur abrogation, si nécessaire, par ladite autorité de contrôle. Les décisions adoptées par la Commission sur le fondement de l'article 26, paragraphe 4, de la directive 95/46/CE demeurent en vigueur jusqu'à leur modification, leur remplacement ou leur abrogation, si nécessaire, par une décision de la Commission adoptée conformément au paragraphe 2 du présent article.
En savoir plus...
L'article 46 autorise le transfert de données à caractère personnel vers un pays tiers ou une organisation internationale en l'absence de décision d'adéquation et toujours « à condition que les personnes concernées disposent de droits exécutoires et de voies de recours effectives ». Cette disposition, ainsi que les autres contenues dans le chapitre V, contribue donc au transfert de données à caractère personnel dans une économie mondialisée tout en garantissant un niveau de protection comparable à celui offert par le droit européen. D'un point de vue pratique, les instruments régis par l'article 46 sont très importants, car la grande majorité des pays tiers ou des organisations internationales ne disposent pas de leur propre décision d'adéquation au titre de l'article 45. Par conséquent, en l'absence de tels instruments, le transfert de données serait exclu dans une grande partie de la planète.Le RGPD prévoit-il une amende en cas d'infraction à cet article ?
Considérants pertinents
108. En l'absence de décision d'adéquation, le responsable du traitement ou le sous-traitant devrait prendre des mesures pour compenser l'insuffisance de la protection des données dans le pays tiers par des garanties appropriées en faveur de la personne concernée. Ces garanties peuvent consister à recourir à des règles d'entreprise contraignantes, des clauses types de protection des données adoptées par la Commission, des clauses types de protection des données adoptées par une autorité de contrôle ou des clauses contractuelles autorisées par une autorité de contrôle. Ces garanties devraient assurer le respect des exigences en matière de protection des données et des droits des personnes concernées d'une manière appropriée au traitement au sein de l'Union, y compris l'existence de droits opposables de la personne concernée et de voies de droit effectives, ce qui comprend le droit d'engager un recours administratif ou juridictionnel effectif et d'introduire une action en réparation, dans l'Union ou dans un pays tiers. Ces garanties devraient porter, en particulier, sur le respect des principes généraux concernant le traitement des données à caractère personnel et des principes de protection des données dès la conception et de protection des données par défaut. Des transferts peuvent également être effectués par des autorités publiques ou des organismes publics avec des autorités publiques ou des organismes publics dans des pays tiers ou avec des organisations internationales exerçant des missions ou fonctions correspondantes, y compris sur la base de dispositions à intégrer dans des arrangements administratifs, telles qu'un protocole d'accord, prévoyant des droits opposables et effectifs pour les personnes concernées. L'autorisation de l'autorité de contrôle compétente devrait être obtenue lorsque ces garanties sont prévues dans des arrangements administratifs qui ne sont pas juridiquement contraignants.
[Clauses contractuelles types (CCT, ou SCC en anglais)]
109. La possibilité qu'ont les responsables du traitement et les sous-traitants de recourir à des clauses types de protection des données adoptées par la Commission ou par une autorité de contrôle ne devrait pas les empêcher d'inclure ces clauses dans un contrat plus large, tel qu'un contrat entre le sous-traitant et un autre sous-traitant, ni d'y ajouter d'autres clauses ou des garanties supplémentaires, à condition que celles-ci ne contredisent pas, directement ou indirectement, les clauses contractuelles types adoptées par la Commission ou par une autorité de contrôle et qu'elles ne portent pas atteinte aux libertés et droits fondamentaux des personnes concernées. Les responsables du traitement et les sous-traitants devraient être encouragés à fournir des garanties supplémentaires par l'intermédiaire d'engagements contractuels qui viendraient compléter les clauses types de protection.
Droit souple
Lignes directrices et recommandations
Guides pratiques
Références
Cet article cite...
Cet article est cité par...
Autres textes liés
En savoir plus...
Droit souple (sectoriel ou transversal)
Lignes directrices et recommandations
Référentiels
Guides pratiques
Jurisprudence
Cliquez sur une ligne pour obtenir tous les détails.
Note importante : cette base de données n'est pas achevée ; par ailleurs, le développement du "RGPD annoté" implique sa re-structuration complète: il est donc possible que la partie soit vide, ou que certains résultats soient peu pertinents ou soient manquants. Veuillez ne pas hésiter à me le signaler !
Actualités
Profitez de nos actualités en lien avec cet article !L’autorité finlandaise commence à enquêter sur le transfert de données de l’Université d’Helsinki vers une entreprise chinoise de biotechnologie
L’autorité finlandaise a annoncé aujourd’hui avoir demandé à l’Université d’Helsinki des informations sur la manière dont elle a mis en œuvre l’envoi des données liées aux échantillons de recherche d’origine humaine à une en [...]
La Commission irlandaise de protection des données soumet un projet de décision au titre de l’article 60 dans le cadre de l’enquête sur TikTok
La DPC a aujourd’hui annoncé avoir soumis un projet de décision dans une enquête sur TikTok Technology Limited (TikTok) aux autres autorités de contrôle concernées dans l’UE/EEE le vendredi 21 février 2025, dans le cadre de l’article 60 du RGPD. Cet [...]
L’APD ordonne à la commune d’Anvers de supprimer des données audio de son projet « bruit dans le quartier étudiant »
La Chambre Contentieuse de l’APD a adressé aujourd’hui une réprimande à la Ville d’Anvers pour son projet pilote de mesure intelligente des nuisances sonores dans son quartier étudiant, qui a eu lieu en 2022. Le but de ce projet pilote était de cartographier les nuisances sonores dans le quart [...]
AP : attention à l’utilisation du chatbot DeepSeek
Quelques jours après l’annonce du blocage de Deepseek par l’autorité italienne, c’est au tour de l’AP de se pencher sur le sujet. Dans un communiqué publié ce jour, l’autorité met en garde les utilisateurs de l’application DeepSeek et les encourage à faire preuve de prudence et de réserves avec ce nouveau chatbot. Les gens ont t [...]
Analyse d’impact des transferts des données (AITD) : la CNIL publie la version finale de son guide
Les exportateurs s’appuyant sur les outils de transferts comme les clauses contractuelles types ou les règles d’entreprise contraignantes (article 46.2 et 46.3 du RGPD) ont l’obligation d’évaluer le niveau de protection dans les pays tiers de destination et la nécessité de mettre en place des garanties supplémentair [...]
Intelligence artificielle : la Garante bloque DeepSeek
Après avoir annoncé une « demande d’information », l’autorité italienne a finalement ordonné le 30 janvier, soit 2 jours plus tard, en urgence et avec effet immédiat, la limitation du traitement des données des utilisateurs italiens par Hangzhou DeepSeek Artificial Intelligence et Beijing DeepSeek Artificial Intelligence, les sociétés chinoises qui fourn [...]
IA : l’autorité italienne demande des informations à DeepSeek. Risque potentiel pour les données de millions de personnes en Italie
L’autorité italienne a aujourd’hui annoncé avoir envoyé une demande d’informations à Hangzhou DeepSeek Artificial Intelligence et à Beijing DeepSeek Artificial Intelligence, les sociétés qui fournissent le service de chatbot DeepSeek.
L’autorité, compte [...]
La PIPC inflige à Kakao Pay et à Apple une amende d’un montant total de 8,752 milliards wons pour le transfert non autorisé de données personnelles à l’étranger
La PIPC a annoncé aujourd’hui infligé une amende administrative de 5,968 milliards de wons (soit près de 4 millions d’euros) à Kakao Pay Co., Ltd. et une amende de 2,450 milliards de wons et une contravention de 2,2 millions de wons (soi [...]
L’EDPB clarifie les règles relatives au partage de données avec les autorités de pays tiers et approuve la certification du sceau de protection des données.
Lors de sa dernière session plénière, le comité européen de la protection des données (CEPD) a publié des lignes directrices sur l’article 48 du RGPD (seulement disponibles en anglais pour le moment) concernant les transferts de données aux autorités de pays t [...]
<< Retourner au menu