Transferts fondés sur des garanties appropriées (RGPD)

Définition

Les transferts fondés sur des garanties appropriées, encadrés par l'article 46 du RGPD, désignent les mécanismes permettant de transférer légalement des données à caractère personnel vers un pays tiers ne bénéficiant pas d'une décision d'adéquation de la Commission européenne, en l'absence de laquelle le transfert reste en principe interdit sauf à recourir à l'un de ces outils. Le règlement énumère plusieurs instruments possibles : les clauses contractuelles types adoptées par la Commission européenne, les règles d'entreprise contraignantes approuvées par l'autorité de contrôle compétente pour les transferts intragroupe, les codes de conduite ou les mécanismes de certification assortis d'engagements contraignants et exécutoires de l'importateur, ou encore des clauses contractuelles ad hoc négociées et approuvées par l'autorité de contrôle. Le recours à l'un de ces outils ne suffit toutefois pas, à lui seul, à garantir la licéité du transfert, la jurisprudence Schrems II ayant précisé que le responsable de traitement doit évaluer concrètement si le niveau de protection offert dans le pays de destination reste substantiellement équivalent à celui de l'Union, et le cas échéant compléter le dispositif par des mesures supplémentaires. Le choix de l'outil approprié dépend notamment de la nature de la relation entre exportateur et importateur, intragroupe ou entre entités indépendantes, et du volume ou de la récurrence des transferts envisagés.