Transférer des données à caractère personnel à l'étranger
La mondialisation des échanges économiques a multiplié les flux de données à caractère personnel hors de nos frontières. Les entreprises sous-traitent régulièrement certaines de leurs activités (ex : le payroll, les call centers clientèle, etc ) auprès de sociétés basées dans des pays émergents. En Belgique, celui qui traite des données, "le responsable de traitement", doit veiller à protéger les intérêts de la personne concernée auprès du destinataire des données à l'étranger.
Quelles sont les procédures à respecter ?
Les données à caractère personnel peuvent circuler librement sur le
territoire de l'Espace économique européen. Celui-ci est formé des 27 Etats
membres de l'UE auxquels s'ajoutent l'Islande, La Norvège, et le Liechtenstein.
La Commission européenne reconnaît en outre un niveau de protection équivalent
aux Etats comme le Canada, l'Argentine, la principauté d'Andorre, Jersey, la
Suisse, Israël, l'ile de Man, les iles Féroé, Guernesey.
En dehors de cet espace, les transferts de données doivent présenter des garanties supplémentaires.
Les responsables de traitement disposent de moyens variés pour répondre à ces obligations. La loi belge vise notamment le consentement de la personne concernée au transfert et la nécessité réelle du transfert à la réalisation du traitement.
La Commission européenne a également rédigé et mis à disposition des clauses
contractuelles types à l'attention des responsables de traitement européens pour
les transferts de données hors UE. Il existe 2 sets de clauses visant les
transferts entre responsables de traitement et un set pour les transferts entre
responsable de traitement et sous-traitant.
L'adhésion et la signature des principes "Safe Harbor" par le destinataire
américain des données confère également au transfert le niveau de protection
adéquat.
Enfin, l'établissement de règles d'entreprise contraignantes (BCR, pour " binding corporate rules"), ou d'un contrat visant le transfert de données hors UE, nécessitent en Belgique une ratification par un arrêté royal après avis de la Commission vie privée.
Vous trouverez plus de précisions sur les transferts de données à la rubrique "En pratique"- "Flux Transfrontières".
