Cette troisième et dernière partie s’attache à aborder la question des transferts de données personnelles à un·e correspondant·e établi·e hors des frontières de l’EEE, et dans un pays autre que ceux considérés comme sûrs par la Commission européenne (voyez la partie 2 de notre série de Fils sur ce sujet). Cet article trouvera également son utilité si d’aventure votre correspondant·e travaille aux Etats-Unis, dans une entreprise non reprise sur la fameuse liste du Département américain du Commerce. Pour plus de facilité, nous poursuivront cet article en utilisant le vocable de « pays tiers ».
Eu égard à la complexité de la question, il nous a semblé opportun de diviser cette dernière partie en deux Fils distincts : un premier pour les exceptions, un second pour le régime général.
Nous commencerons par revenir sur les exceptions pour deux raisons : (i) le régime général applicable aux transferts de données et sa mise en œuvre sont l’un des aspects les plus complexes de tout le règlement ; et (ii) pour ce qui concerne les échanges entre professionnel·les du droit, il y a fort à parier que les exceptions trouveront à s’appliquer à la plupart des cas.
Rappel : le principe de base
A toute fin utile, rappelons que le principe qui préside à la logique du RGPD s’agissant des transferts de données personnelles à l’international est celui-ci : quel que soit le parcours des données, elles doivent toujours être soumises soit : (i) à la protection du RGPD dans les cas où celui-ci est applicable (selon les critères d’applicabilité de l’article 3 du Règlement), soit (ii) à la protection de normes essentiellement équivalentes en vigueur dans le pays ou est établi·e votre correspondant·e.
La règle
En règle, tous les transferts de données personnelles vers des pays n’offrant pas de régime juridique essentiellement équivalent au RGPD doivent être encadrés par un outil de transfert. Les Clauses Contractuelles Standards pour les transferts émises par la Commission européenne sont l’outil de transfert le plus courant. Nous les évoquerons dans le Fil suivant.
Les exceptions
Plusieurs exceptions à cette règle existent. Elles doivent toutes être interprétées strictement. Un outil de transfert tel que ceux décrits dans le RGPD ne sera pas requis si une de ces exceptions s’applique.
1. La personne concernée a donné son consentement explicite, après avoir été informée des risques que le transfert représentait. L’usage de ce critère implique que l’avocat·e devra documenter l’existence d’un consentement explicite, ainsi que la correcte information de la personne ;
2. Le transfert est nécessaire pour l’exécution d’un contrat entre la personne concernée et l’avocat·e, ou pour implémenter des mesures précontractuelles prises à sa demande . En pratique, cette exception trouvera à s’appliquer relativement souvent s’agissant des relations entre l’avocat·e et son ou sa client·e.
3. Le transfert est nécessaire pour l’exécution d’un contrat conclu dans l’intérêt de la personne concernée par l’avocat·e et une autre personne physique ou morale ;
4. le transfert est nécessaire pour des motifs importants d'intérêt public admis en droit belge ou européen ;
5. Le transfert est nécessaire à la constatation, à la défense de droits en justice ;
6. le transfert est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'autres personnes, lorsque la personne concernée se trouve dans l'incapacité physique ou juridique de donner son consentement ;
7. le transfert a lieu au départ d'un registre qui est légalement destiné à fournir des informations au public et est ouvert à la consultation du public ou de toute personne justifiant d'un intérêt légitime. Dans ce cas, votre correspondant·e doit formuler lui-même ou elle-même la demande d’accès qui se fera par votre intermédiaire et justifier d’un intérêt légitime.
Si aucune des exceptions ci-dessus ne s’applique, un régime spécial aux conditions cumulatives très strictes peut être invoqué en dernier recours. Ces conditions sont détaillées à l’article 49 (1) al. 2 du RGPD.
S’agissant des transferts, l’avocat·e a avant tout le devoir de s’informer de la législation en vigueur dans le pays où les données personnelles sont envoyées et des mesures de sécurité mises en place par son ou sa correspondant·e.
À cet égard, une recherche sur internet avec les termes « data protection world » vous permettra de trouver une série d’analyses disponibles souvent gratuitement pour le pays de votre correspondant·e.
Enfin, le transfert, que l’on considère comme un traitement de données, devra être consigné dans le registre de traitement, dans le respect du secret professionnel bien entendu.
Dans le dernier Fil de cette série, nous aborderons comme annoncé le régime général et sa mise en œuvre, en revenant en particulier sur les principaux outils de transferts que pourront rencontrer les avocat·es
