Le CEPD apporte des précisions sur la notion de transfert international de données

Le 18 novembre 2021, le CEPD a soumis à consultation un projet de lignes directrices sur l’articulation entre l’article 3 (champ d’application territorial) et le chapitre V du RGPD (transferts de données hors Union européenne). Dans ce document, le Comité explicite la notion de « transfert de données transfrontalier » de façon à aider les responsables de traitement et sous-traitants à déterminer les cas dans lesquels ils sont soumis aux règles du chapitre V du RGPD relatif aux « transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales ».

Le problème posé

L’article 3 du RGPD fixe le champ d’application territorial du RGPD. Deux critères principaux s’en dégagent :

- premièrement, le RGPD s’applique quand l’établissement du responsable du traitement est situé dans l’Union ;

- deuxièmement, il s’applique lorsque le traitement porte sur des données personnelles de personnes situées dans l’Union européenne, quand bien même le responsable du traitement serait situé hors de l’Union. On a pu parler à cet égard de l’« effet extraterritorial » du RGPD.

En parallèle, le chapitre V organise les...