1. En l’absence de décision en vertu de l’article 45, paragraphe 3, le responsable du traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers un pays tiers ou à une organisation internationale que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives.
Article 46 RGPD - Transferts moyennant des garanties appropriées
2. Les garanties appropriées visées au paragraphe 1 peuvent être fournies, sans que cela ne nécessite une autorisation particulière d’une autorité de contrôle, par:
a) un instrument juridiquement contraignant et exécutoire entre les autorités ou organismes publics;
b) des règles d’entreprise contraignantes conformément à l’article 47;
c) des clauses types de protection des données adoptées par la Commission en conformité avec la procédure d’examen visée à l’article 93, paragraphe 2;
d) des clauses types de protection des données adoptées par une autorité de contrôle et approuvées par la Commission en conformité avec la procédure d’examen visée à l’article 93, paragraphe 2;
e) un code de conduite approuvé conformément à l’article 40, assorti de l’engagement contraignant et exécutoire pris par le responsable du traitement ou le sous-traitant dans le pays tiers d’appliquer les garanties appropriées, y compris en ce qui concerne les droits des personnes concernées; ou
f) un mécanisme de certification approuvé conformément à l’article 42, assorti de l’engagement contraignant et exécutoire pris par le responsable du traitement ou le sous-traitant dans le pays tiers d’appliquer les garanties appropriées, y compris en ce qui concerne les droits des personnes concernées.
3. Sous réserve de l’autorisation de l’autorité de contrôle compétente, les garanties appropriées visées au paragraphe 1 peuvent aussi être fournies, notamment, par:
a) des clauses contractuelles entre le responsable du traitement ou le sous-traitant et le responsable du traitement, le sous-traitant ou le destinataire des données à caractère personnel dans le pays tiers ou l’organisation internationale; ou
b) des dispositions à intégrer dans des arrangements administratifs entre les autorités publiques ou les organismes publics qui prévoient des droits opposables et effectifs pour les personnes concernées.
4. L’autorité de contrôle applique le mécanisme de contrôle de la cohérence visé à l’article 63 dans les cas visés au paragraphe 3 du présent article.
5. Les autorisations accordées par un État membre ou une autorité de contrôle sur le fondement de l’article 26, paragraphe 2, de la directive 95/46/CE demeurent valables jusqu’à leur modification, leur remplacement ou leur abrogation, si nécessaire, par ladite autorité de contrôle. Les décisions adoptées par la Commission sur le fondement de l’article 26, paragraphe 4, de la directive 95/46/CE demeurent en vigueur jusqu’à leur modification, leur remplacement ou leur abrogation, si nécessaire, par une décision de la Commission adoptée conformément au paragraphe 2 du présent article.
Considérants pertinents
Foire aux questions
Réponses brèves aux questions fréquentes sur cette disposition. Elles constituent une information générale et non un conseil juridique.
En l’absence de décision en vertu de l’article 45, paragraphe 3, l’article 46, paragraphe 1, ne permet au responsable du traitement ou au sous-traitant de transférer des données à caractère personnel vers un pays tiers ou à une organisation internationale que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives. Les deux conditions doivent être réunies, car l’instrument de garantie ne suffit pas à lui seul si les personnes concernées ne peuvent faire valoir leurs droits.
Le paragraphe 2 énumère un instrument juridiquement contraignant et exécutoire entre les autorités ou organismes publics, des règles d’entreprise contraignantes conformément à l’article 47, des clauses types de protection des données adoptées par la Commission, des clauses types de protection des données adoptées par une autorité de contrôle et approuvées par la Commission, un code de conduite approuvé conformément à l’article 40, et un mécanisme de certification approuvé conformément à l’article 42. Pour les codes et les certifications, l’importateur dans le pays tiers doit en outre prendre l’engagement contraignant et exécutoire d’appliquer les garanties appropriées, y compris en ce qui concerne les droits des personnes concernées.
Oui, mais uniquement avec autorisation. En vertu du paragraphe 3, point a), des clauses contractuelles entre l’exportateur et le responsable du traitement, le sous-traitant ou le destinataire dans le pays tiers peuvent fournir des garanties appropriées sous réserve de l’autorisation de l’autorité de contrôle compétente, et le paragraphe 4 impose à l’autorité d’appliquer le mécanisme de contrôle de la cohérence visé à l’article 63 dans ces cas. Cela distingue les clauses ad hoc des clauses types visées au paragraphe 2, points c) et d), qui ne nécessitent aucune autorisation particulière.
Elles peuvent s’appuyer sur un instrument juridiquement contraignant et exécutoire au titre du paragraphe 2, point a), sans autorisation particulière, ou, au titre du paragraphe 3, point b), sur des dispositions à intégrer dans des arrangements administratifs qui prévoient des droits opposables et effectifs pour les personnes concernées, sous réserve de l’autorisation de l’autorité de contrôle compétente. La distinction repose sur le caractère juridiquement contraignant de l’instrument, les arrangements administratifs non contraignants imposant la voie de l’autorisation et le mécanisme de contrôle de la cohérence.
Oui. Le paragraphe 5 maintient valables les autorisations accordées par un État membre ou une autorité de contrôle sur le fondement de l’article 26, paragraphe 2, de la directive 95/46/CE jusqu’à leur modification, leur remplacement ou leur abrogation, si nécessaire, par ladite autorité de contrôle, et les décisions de la Commission fondées sur l’article 26, paragraphe 4, de la directive demeurent en vigueur jusqu’à leur modification, leur remplacement ou leur abrogation, si nécessaire, par une décision de la Commission adoptée conformément au paragraphe 2.