Comment partager correctement les données internationales ?

Transférer des données d'un pays à un autre légalement

L’exploitation des données personnelles par les entreprises sur leurs clients ou clients potentiels est une autre tâche pour chaque entreprise.

Plus précisément, une utilisation appropriée des données est tout à fait logique dans les efforts de marketing de l'entreprise .

Il ne suffit plus de simplement vendre, d'élaborer un plan marketing ou d'établir des alliances stratégiques.

La collecte et l'analyse des données permettent aux entreprises d'analyser les profils psychologiques, les goûts, les habitudes et les comportements de leurs clients, et de prédire leurs actions futures.

Cette information est extrêmement précieuse pour les entreprises : c'est le pétrole. 

Le fait : le pétrole du XXIe siècle

Il existe une soif indéniable chez de nombreuses entreprises de données sur leurs clients et clients potentiels.

Pour autant, les gouvernements de certains pays, les organismes de réglementation et même les organisations internationales visent à garantir que le traitement de ces données par son responsable ( personne physique ou morale, autorité publique, service ou autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ) soit effectué de manière transparente et ne porte pas gravement atteinte aux intérêts de leurs citoyens.

En Europe, le principal porte-étendard de cette lutte est l’UE.

L’Union concentre notamment son attention sur ce que l’on appelle les transferts transfrontaliers de données.

Que vous soyez propriétaire d'une entreprise ou travailleur indépendant en Espagne, vous devez connaître les lois suivantes en matière de protection des données : 

• Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques concernant le traitement des données à caractère personnel et la libre circulation de ces données, qui abroge la directive 95/46/CE. 
• Loi organique 3/2018 du 5 décembre, sur la protection des données personnelles et la garantie des droits numériques. 
• Instruction 1/2006, du 8 novembre, de l'Agence espagnole de protection des données, sur le traitement des données à caractère personnel à des fins de vidéosurveillance, au moyen de systèmes de caméras ou de caméras vidéo. 

Chez RRYP Global, nous sommes conscients qu'il n'est pas facile de se conformer à ces obligations sur tous les marchés internationaux où une entreprise opère.

C'est pourquoi nous souhaitons vous accompagner et vous conseiller afin que votre entreprise soit conforme à la législation en vigueur. 

Comment la protection des données et leurs transferts transnationaux affectent-ils la commerces électroniques?

Les transactions en ligne que nous effectuons tout au long d’une journée dépassent parfois celles que nous effectuons en personne.

Lorsque nous effectuons ces transactions, nous fournissons à l'entreprise vendeuse de nombreuses informations personnelles, telles que nos coordonnées bancaires, notre adresse de domicile…

Ces entreprises de commerce électronique sont des sociétés, elles sont donc également tenues de se conformer à la réglementation européenne en matière de protection des données et de transferts transnationaux de données.

Par conséquent, ils doivent respecter leurs propres obligations si les données sont partagées avec un pays situé en dehors de l'EEE.

Ils utilisent souvent ces données pour proposer aux clients des produits susceptibles de les intéresser en fonction de leurs recherches et de leurs achats.

C’est pourquoi il est si important pour le commerce électronique de gérer les données de la manière la plus rentable possible. 

Que sont les transferts de données transfrontaliers ?

Il s'agit d'un flux de données personnelles de personnes physiques qui transite d'un pays de l'EEE (Espace économique européen, dont les membres sont l'UE, l'Islande, le Liechtenstein et la Norvège) vers un autre État situé en dehors de cet espace.

Ainsi, Un transfert transnational de données peut se produire dans trois situations:
– 1) Un responsable du traitement est établi dans l’EEE et l’autre responsable du traitement est établi en dehors de l’EEE ou fait partie d’une organisation internationale. 
– 2) Un responsable du traitement est établi dans l’EEE et le sous-traitant est établi en dehors de l’EEE. 
– 3) Un sous-traitant est établi dans l’EEE et l’autre sous-traitant est établi en dehors de l’EEE. 

Dans les trois cas, les données circulent en dehors de l’EEE, mais elles diffèrent selon la personne concernée et les fonctions que chacune exerce.

Le responsable du traitement des données est la personne physique ou morale, l’autorité publique, l’agence ou tout autre organisme qui , seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement.

En revanche, le sous-traitant est la personne physique ou morale, l’autorité publique, l’agence ou tout autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement.

Comment transférer correctement des données en dehors de l'EEE ?

Le RGPD établit des restrictions au transfert de données personnelles en dehors de l'Espace économique européen (EEE), dans le but de garantir que le niveau de protection accordé aux personnes reste équivalent à celui prévu par ce règlement.

Les transferts de données personnelles vers des pays situés en dehors de l’EEE ou vers des organisations internationales ne peuvent être effectués que dans le respect des conditions énoncées au chapitre V du RGPD.

Outre ces conditions spécifiques, tout transfert doit respecter le reste des dispositions générales du RGPD.

Cela implique, par exemple, de respecter les principes fondamentaux du traitement des données, de garantir une base juridique appropriée, de mettre en œuvre des mesures de sécurité appropriées et de garantir que seules les données strictement nécessaires sont transférées (principe de minimisation). Si le destinataire des données personnelles agit en qualité de sous-traitant, un contrat doit être signé, comme ce serait le cas avec un sous-traitant au sein de l'EEE.

Le RGPD prévoit deux principaux moyens de transférer des données personnelles vers des pays situés en dehors de l'EEE ou vers des organisations internationales.

L’une de ces possibilités est la décision d’adéquation , par laquelle la Commission européenne reconnaît que le pays bénéficiaire offre un niveau de protection adéquat.

À défaut, le transfert doit reposer sur des garanties adéquates , telles que des mécanismes juridiques assurant la protection des droits des parties intéressées.

En l’absence de décision d’adéquation ou de garanties adéquates, le RGPD prévoit certaines exceptions dans des situations spécifiques.

Décision d'adéquation

La Commission européenne peut décider si un pays hors de l'Espace économique européen (EEE) ou une organisation internationale possède un niveau de protection des données similaire à celui de l'UE.

Si elle le constate, elle émet une « décision d’adéquation », qui facilite le transfert des données vers ce pays sans exigences supplémentaires.

Pour prendre cette décision, la Commission analyse plusieurs aspects , tels que le respect de la loi, la protection des droits de l'homme, la possibilité pour les citoyens de faire valoir leurs droits, l'existence d'une autorité indépendante de protection des données et la signature par le pays d'accords internationaux sur la protection de la vie privée.

Si un pays obtient une décision d'adéquation, les entreprises établies dans l'EEE peuvent envoyer des données personnelles à des organisations situées dans ce pays sans avoir à mettre en œuvre de mesures de sécurité supplémentaires.

Cela signifie que les transferts de données seront traités de la même manière que ceux effectués au sein de l'EEE. Toutefois, l'entreprise transférant les données reste responsable du respect des règles générales du RGPD.

Ces décisions peuvent s’appliquer à un pays entier ou seulement à une région spécifique, et peuvent couvrir tous les transferts de données ou seulement certains d’entre eux selon le type de secteur ou d’activité.

Pays avec décision d'adéquation

Jusqu’à présent, la Commission européenne a adopté des décisions d’adéquation pour :

• Andorre,
• Argentine,
• Canada (organismes commerciaux),
• Îles Féroé,
• Guernesey,
• Israël,
• Île de Man,
• Japon,
• Jersey,
• Nouvelle Zélande,
• République de Corée,
• Suisse,
• Royaume-Uni,
• États Unis (organisations commerciales participant au cadre de confidentialité des données UE-États-Unis),
• Uruguay.

Des garanties adéquates

En l'absence de décision d'adéquation , les organisations peuvent néanmoins transférer des données personnelles vers d'autres pays si elles garantissent que l'entité destinataire assurera une protection adéquate des informations.

En outre, les personnes doivent pouvoir faire valoir leurs droits et disposer de mécanismes juridiques efficaces en cas de problème.

L’article 46 du RGPD énonce plusieurs options que les entreprises peuvent utiliser pour transférer en toute sécurité des données en dehors de l’EEE.

Les principaux outils à la disposition des organisations privées comprennent :

• Clauses contractuelles types (CCT) : Accords types approuvés par la Commission européenne qui garantissent la protection des données.
• Règles d'entreprise contraignantes (BCR) : Règles internes appliquées au sein de grandes entreprises ou de groupes multinationaux pour protéger les données personnelles.
• Codes de conduite : Normes convenues par un secteur spécifique pour se conformer au RGPD.
• Mécanismes de certification : Systèmes de vérification qui confirment qu’une organisation respecte les normes de protection des données.
• Clauses contractuelles personnalisées : Accords spécifiques entre entreprises qui incluent des mesures appropriées de protection des données.

Ces outils permettent d’effectuer des transferts de données en toute sécurité et dans le respect de la réglementation.

Exceptions

Outre les décisions d’adéquation et les outils de l’article 46 du RGPD , il existe une troisième option pour le transfert de données personnelles dans des circonstances spécifiques.

Dans certaines conditions, il est possible d’effectuer des transferts sur la base de l’une des exceptions prévues à l’article 49 du RGPD.

Elles ne peuvent pas être utilisées comme pratique courante pour justifier les transferts de données en dehors de l’EEE.

La règle générale demeure que les données ne peuvent être transférées que si le pays destinataire garantit un niveau de protection adéquat ou si des garanties appropriées ont été mises en œuvre.

Conformément à l’article 49 du RGPD, un transfert ou un ensemble de transferts peuvent être effectués s’ils remplissent l’une des conditions suivantes :

• Consentement explicite : La personne concernée a donné son consentement clair et éclairé au transfert.
• Exécution d'un contrat : Le transfert est nécessaire pour exécuter un contrat entre la personne et l’organisation ou pour prendre des mesures avant de conclure un contrat à la demande de la personne.
• Intérêt contractuel d'un tiers : Le transfert est nécessaire pour exécuter un contrat au profit de la personne entre le responsable du traitement et une autre partie.
• Intérêt public: Cela est nécessaire pour des raisons importantes d’intérêt public.
• Réclamations légales : Le transfert est essentiel pour établir, exercer ou défendre des droits légaux.
• Protection des intérêts vitaux : Il est nécessaire de protéger la vie ou la sécurité de la personne ou d’autrui, en particulier si la personne ne peut pas donner son consentement en raison d’une incapacité physique ou juridique.
• Information publique: Le transfert provient d’un registre public qui, en vertu du droit national ou de l’UE, est destiné à être consulté par le grand public ou par des personnes ayant un intérêt légitime à y accéder.

Exemple de sanction en cas de non-respect

Toutefois, en 2021, Amazon a été condamnée à payer 746 millions d'euros par la Commission nationale luxembourgeoise de protection des données (CNPD) pour non-respect de la législation européenne sur la protection des données.

Ils ont été accusés d'utiliser les données de leurs clients et partenaires pour fausser la concurrence et ainsi obtenir indûment un avantage concurrentiel sur le marché.

L'entreprise a fait appel de la sanction devant le Tribunal administratif de Luxembourg.

Par conséquent, si vous possédez une entreprise de commerce électronique, vous devez accorder une grande attention aux pratiques de votre entreprise dans ce domaine.

Conclusion sur le transfert légal de données d'un pays à un autre

Toute entreprise ou personne exerçant une activité professionnelle ou commerciale au sein de l'UE doit se conformer à la réglementation européenne en matière de protection des données.

Si vous avez une entreprise internationale, vous devez accorder une attention particulière aux transferts transfrontaliers de données personnelles, car le non-respect de la loi peut entraîner de lourdes sanctions pour votre entreprise. 

Les entreprises en ligne doivent accorder une attention particulière à cette réglementation en raison de la grande quantité de données sensibles qu'elles stockent sur leurs clients.

Questions fréquentes

RRYP Global , avocats spécialisés en droit international.