Le Règlement général sur la protection des données (RGPD) prévoit de solides protections pour les données à caractère personnel des résidents de l’Union européenne (UE). Ces protections, du fait du principe d’extraterritorialité du RGPD, continuent de s’appliquer lorsque ces données sont transférées en dehors de l’Espace Économique Européen (EEE), soit des 27 pays de l’Union Européenne auxquels il fait ajouter l’Islande, le Lichtenstein, et la Norvège. En particulier, un tel transfert, pour être valable, doit se faire selon un des mécanismes prévus pour ce faire aux articles 44 à 50 du RGPD. Un de ces mécanismes est l’existence d’une décision d’adéquation de la Commission Européenne. Cet article présente le principe de la décision d’adéquation, et l’étendue de cette décision d’adéquation s’agissant des transferts de données européennes vers le Canada.
Qu’est-ce qu’une décision d’adéquation?
Mécanisme prévu à l’article 45 du RGPD, une décision d’adéquation est une décision adoptée par la Commission européenne qui établit qu’un pays tiers à l’EEE, ou une organisation internationale assure un niveau de protection adéquat des données à caractère personnel en cas de transfert. Dans le cadre de sa procédure d’examen, la Commission Européenne va notamment prendre en compte la législation interne du pays, les engagements internationaux par lesquels il est lié, le pouvoir de ses autorités de contrôle nationales d’accéder aux données personnelles, la protection accordée aux droits de l’homme dans le pays ou au sein de l’organisation internationale en question, etc. Si une décision d’adéquation est prononcée, le transfert des données personnelles des personnes concernées vers le pays ou l’organisation tiers pourra se faire sans exigences supplémentaires.
14 pays bénéficient à l’heure actuelle d’une telle décision d’adéquation. Le Canada est, depuis le 20 décembre 2001, l’un d’entre eux. Ces décisions d’adéquation font l’objet d’un réexamen tous les 4 ans. La décision concernant le Canada est en cours de réexamen.
La décision d’adéquation du Canada
Depuis 2001, La loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), loi fédérale régulant les traitements de données à caractère personnel par le secteur privé, est considérée par la Commission Européenne comme offrant un niveau de protection adéquat des données à caractère personnel. La décision d’adéquation de la CUE ne concerne néanmoins que les traitements couverts par la loi fédérale, et seulement les traitements effectués par les organisations du secteur privé. En conséquence, elle ne couvre pas les traitements effectués par le secteur public canadien.
De plus, elle ne couvre que les transferts de données à caractère personnel commerciales traitées dans le cadre d’une activité commerciale. A ce titre, elle exclut les transferts de données du personnel pour des finalités de gestion des ressources humaines.
Que faire si la décision d’adéquation du Canada ne s’applique pas à votre transfert ?
Si le transfert de données que vous envisagez d’effectuer à destination du Canada ne bénéficie pas de la décision d’adéquation, il vous faudra trouver un mécanisme de transfert alternatif, telles les clauses contractuelles types (CCT), pour encadrer légalement votre transfert. Les CCT sont des modèles de clauses contractuelles adoptés par la Commission Européenne, dont la toute dernière mise à jour remonte au 4 juin 2021.
On ajoutera, s’agissant d’un transfert en dehors de l’EEE, qu’un tel transfert devra également faire l’objet d’une analyse d’impact dès lors que le traitement des données européennes au Canada est susceptible d’engendrer des risques élevés pour les droits et libertés des personnes concernées. Bien que le RGPD ne précise pas les traitements entrant dans cette catégorie, certaines autorités nationales européennes de protection des données à caractère personnel ont donné certaines indications à ce sujet. La CNIL en particulier a publié une Liste des types d’opérations de traitement pour lesquelles une analyse d’impact relative à la protection des données est requise. Vous pouvez consulter notre article sur l’analyse d’impact du transfert des données personnelles ici (en anglais).
Cabinet d’avocat franco-canadien pratiquant aussi bien le droit français que le droit canadien, le cabinet S. Grynwajc dispose en outre d’une expertise particulière dans le secteur de la protection des données à caractère personnel. En conséquence, si vous souhaitez vous assurer que votre organisation se conforme aux obligations lui incombant s’agissant des transferts de vos données européennes vers le Canada, n’hésitez pas à nous contacter, nous serons ravis de vous accompagner !
—
Cet article a été rédigé avec la collaboration d’Irina Gueorguiev