Article 49 RGPD - Dérogations pour des situations particulières

1. En l’absence de décision d’adéquation en vertu de l’article 45, paragraphe 3, ou de garanties appropriées en vertu de l’article 46, y compris des règles d’entreprise contraignantes, un transfert ou un ensemble de transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale ne peut avoir lieu qu’à l’une des conditions suivantes:
a) la personne concernée a donné son consentement explicite au transfert envisagé, après avoir été informée des risques que ce transfert pouvait comporter pour elle en raison de l’absence de décision d’adéquation et de garanties appropriées;
b) le transfert est nécessaire à l’exécution d’un contrat entre la personne concernée et le responsable du traitement ou à la mise en œuvre de mesures précontractuelles prises à la demande de la personne concernée;
c) le transfert est nécessaire à la conclusion ou à l’exécution d’un contrat conclu dans l’intérêt de la personne concernée entre le responsable du traitement et une autre personne physique ou morale;
d) le transfert est nécessaire pour des motifs importants d’intérêt public;
e) le transfert est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice;
f) le transfert est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’autres personnes, lorsque la personne concernée se trouve dans l’incapacité physique ou juridique de donner son consentement;
g) le transfert a lieu au départ d’un registre qui, conformément au droit de l’Union ou au droit d’un État membre, est destiné à fournir des 'informations au public et est ouvert à la consultation du public en général ou de toute personne justifiant d’un intérêt légitime, mais uniquement dans la mesure où les conditions prévues pour la consultation dans le droit de l’Union ou le droit de l’État membre sont remplies dans le cas d’espèce.
Lorsqu’un transfert ne peut pas être fondé sur une disposition de l’article 45 ou 46, y compris les dispositions relatives aux règles d’entreprise contraignantes, et qu’aucune des dérogations pour des situations particulières visées au premier alinéa du présent paragraphe n’est applicable, un transfert vers un pays tiers ou à une organisation internationale ne peut avoir lieu que si ce transfert ne revêt pas de caractère répétitif, ne touche qu’un nombre limité de personnes concernées, est nécessaire aux fins des intérêts légitimes impérieux poursuivis par le responsable du traitement sur lesquels ne prévalent pas les intérêts ou les droits et libertés de la personne concernée, et si le responsable du traitement a évalué toutes les circonstances entourant le transfert de données et a offert, sur la base de cette évaluation, des garanties appropriées en ce qui concerne la protection des données à caractère personnel. Le responsable du traitement informe l’autorité de contrôle du transfert. Outre qu’il fournit les informations visées aux articles 13 et 14, le responsable du traitement informe la personne concernée du transfert et des intérêts légitimes impérieux qu’il poursuit.
2. Un transfert effectué en vertu du paragraphe 1, premier alinéa, point g), ne porte pas sur la totalité des données à caractère personnel ni sur des catégories entières de données à caractère personnel contenues dans le registre. Lorsque le registre est destiné à être consulté par des personnes justifiant d’un intérêt légitime, le transfert n’est effectué qu’à la demande de ces personnes ou lorsqu’elles en sont les destinataires.
3. Les points a), b), et c) du premier alinéa du paragraphe 1 et le deuxième alinéa du paragraphe 1 ne sont pas applicables aux activités des autorités publiques dans l’exercice de leurs prérogatives de puissance publique.
4. L’intérêt public visé au paragraphe 1, premier alinéa, point d), est reconnu par le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement est soumis.
5. En l’absence de décision d’adéquation, le droit de l’Union ou le droit d’un État membre peut, pour des motifs importants d’intérêt public, fixer expressément des limites au transfert de catégories spécifiques de données à caractère personnel vers un pays tiers ou à une organisation internationale. Les États membres notifient de telles dispositions à la Commission.
6. Le responsable du traitement ou le sous-traitant documente, dans les registres visés à l’article 30, l’évaluation ainsi que les garanties appropriées visées au paragraphe 1, deuxième alinéa, du présent article.

Considérants pertinents

Foire aux questions

Réponses brèves aux questions fréquentes sur cette disposition. Elles constituent une information générale et non un conseil juridique.

Uniquement en l’absence de décision d’adéquation en vertu de l’article 45, paragraphe 3, et de garanties appropriées en vertu de l’article 46, y compris des règles d’entreprise contraignantes. Les dérogations constituent donc un troisième niveau et non une solution que le responsable du traitement pourrait choisir librement, et chacune d’entre elles est liée à une situation particulière énumérée au premier alinéa de l’article 49, paragraphe 1.

La personne concernée doit donner son consentement explicite au transfert envisagé après avoir été informée des risques que ce transfert peut comporter pour elle précisément en raison de l’absence de décision d’adéquation et de garanties appropriées. Cet élément d’information va au-delà des conditions générales du consentement prévues à l’article 4, point 11, et à l’article 7, et le consentement demeure retirable en vertu de l’article 7, paragraphe 3, ce qui rend ce fondement instable pour des flux continus.

L’article 49, paragraphe 1, deuxième alinéa, ne le permet qu’en dernier recours, lorsque ni l’article 45 ni l’article 46 ni aucune dérogation énumérée n’est applicable. Le transfert ne doit pas revêtir de caractère répétitif, ne doit toucher qu’un nombre limité de personnes concernées et doit être nécessaire aux fins des intérêts légitimes impérieux sur lesquels ne prévalent pas les intérêts ou les droits et libertés de la personne concernée, et le responsable du traitement doit avoir évalué toutes les circonstances entourant le transfert et offert, sur la base de cette évaluation, des garanties appropriées. Il doit également informer l’autorité de contrôle du transfert, informer la personne concernée du transfert et des intérêts poursuivis en plus des informations visées aux articles 13 et 14, et documenter l’évaluation et les garanties dans les registres visés à l’article 30, comme l’exige le paragraphe 6.

Non. Le paragraphe 3 exclut les points a), b) et c) du premier alinéa du paragraphe 1, ainsi que la clause relative aux intérêts légitimes impérieux du deuxième alinéa, pour les activités des autorités publiques dans l’exercice de leurs prérogatives de puissance publique. Une autorité publique peut néanmoins invoquer, par exemple, des motifs importants d’intérêt public au titre du point d), mais le paragraphe 4 exige que cet intérêt public soit reconnu par le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement est soumis.

Le paragraphe 2 interdit de transférer la totalité des données à caractère personnel ou des catégories entières de données contenues dans le registre. Lorsque le registre est destiné à être consulté par des personnes justifiant d’un intérêt légitime, le transfert n’est effectué qu’à la demande de ces personnes ou lorsqu’elles en sont les destinataires, et le point g) exige lui-même que les conditions prévues pour la consultation dans le droit de l’Union ou le droit de l’État membre soient remplies dans le cas d’espèce.