Le Comité européen de la protection des données (CEPD) a adopté, en date du 3 décembre 2024, un Projet de consultation des Guidelines 02/2024 on Article 48 GDPR a été publiée. Les commentaires peuvent être envoyés jusqu’au 27 janvier 2025.
L’article 48 du RGPD permet une Transfert de données sur ordre d’une juridiction ou d’une autorité d’un État tiers que sur la base d’un Convention d’entraide judiciaire ou d’une autre convention :
- Il s’agit de toutes les demandes officielles (“Official request”) ; la désignation n’a pas d’importance, pas plus que, expressément, le fait qu’une non-observation soit menacée d’une quelconque forme de sanction.
- Il s’agit par exemple de demandes émanant des autorités chargées de l’application de la loi, des autorités fiscales, des autorités de surveillance ou des autorités d’immatriculation.
Les lignes directrices de l’EDSA à ce sujet se limitent à la transmission par Privé et seulement ceux qui ont été classés selon Art. 3, al. 1 tombent sous le coup du RGPD – les entreprises en Suisse qui ne tombent sous le coup du RGPD qu’en raison d’une orientation de l’offre ou d’une observation du comportement selon l’art. 3, al. 2, ne sont donc pas adressées (mais il n’est pas clair dans quelle mesure la situation juridique devrait être différente pour l’art. 3, al. 2).
En cas de transfert vers un pays tiers, c’est le droit national qui s’applique. Test en deux étapesLa transmission doit, premièrement, être conforme aux autres dispositions du RGPD et, deuxièmement, aux dispositions des articles 44 et suivants du RGPD.
Dans la première étape, la transmission en exécution d’un jugement ou d’une ordonnance correspondante exige une Base juridiqueL’arrêt ou l’ordonnance n’en sont pas (car le RGPD ne reconnaît généralement que le droit de l’EEE ou des États membres comme base juridique). Entrent toutefois en ligne de compte
- l’accomplissement d’une Obligation légale au sens de l’article 6, paragraphe 1, point c), du RGPD, dans la mesure où il existe une convention d’entraide judiciaire ou un autre accord applicable dans l’État membre concerné et exigeant la communication ;
- l’accomplissement d’une mission publique au sens de la let. e, lorsque l’accord n’exige pas la communication mais l’autorise – un point de vue peut-être un peu tiré par les cheveux ;
- intérêts légitimes entrent également en ligne de compte (let. f), pour autant que la pesée des intérêts soit en faveur de la communication. On peut toutefois s’attendre à ce que l’EDSA se montre sévère à cet égard :
26. […] un opérateur privé, agissant en tant que contrôleur, ne peut pas se fonder sur l’article 6(1)(f) pour la collecte et le traitement des données à caractère personnel. le stockage de données personnelles de manière préventive afin de pouvoir partager de telles informations, sur demande, avec les autorités d’application de la loi afin de prévenir, de détecter et de poursuivre des infractions pénales, lorsque de telles activités de traitement sont sans rapport avec ses propres activités (économiques et commerciales) réelles. En outre, le CEPD a, en ce qui concerne une situation spécifique, précédemment estimé que les intérêts ou les droits et libertés fondamentaux du sujet des données dans ces circonstances particulières seraient primer l’intérêt du contrôleur à se conformer à la demande d’une autorité d’application de la loi d’un pays tiers afin d’éviter des sanctions pour non-conformité.
En revanche, l’exécution d’un contrat (article 6, paragraphe 1, point b), du RGPD) et, uniquement dans des cas exceptionnels, la protection d’intérêts vitaux (article 6, paragraphe 1, point d), du RGPD) n’entrent guère en ligne de compte.
Deuxièmement, les conditions des articles 44 et suivants doivent être respectées. RGPD, et l’article 48 ne constitue pas un motif d’autorisation. En revanche, l’article 46, paragraphe 2, point a), du RGPD, un “document juridiquement contraignant et exécutoire entre les autorités ou les organismes publics”, par exemple un “accord de coopération”, peut entrer en ligne de compte. Accord au sens de l’article 48 du RGPD, tout en respectant les garanties minimales déterminées par l’EDSA. En leur absence, l’accord peut fournir la base juridique visée à l’article 6, mais l’AESD estime qu’une autre base est nécessaire aux fins des articles 44 et suivants.
L’EDSA illustre la procédure comme suit :
