- L’article 24 du RGPD établit une approche basée sur les risques qui détermine non seulement la responsabilité, mais aussi les obligations directes du responsable du traitement.
- L’obligation d’assurer des garanties appropriées en cas de transfert à l’étranger (art. 46) est soumise à l’approche basée sur les risques de l’art. 24.
- La décision de la CJCE dans Schrems II et les recommandations de l’EDSA sur les mesures complémentaires ne contredisent pas cette compréhension.
Lokke Moerel a publié sur le blog du Future of Privacy Forum (FPF) un Contribution à l’approche fondée sur les risques pour les transferts à l’étranger a été publié. Il fait suite à une contribution antérieure de Moerel, Les flux et reflux des transferts de données transatlantiques : c’est la géopolitique, stupides !.
L’analyse porte essentiellement sur la question de savoir si les exigences relatives au transfert de données personnelles à l’étranger doivent être placées dans l’article 5 (principes de traitement) ou dans l’article 24 du RGPD (obligations du responsable du traitement) – ceci parce que l’article 24 du RGPD suit expressément une approche basée sur les risques.
Dans son analyse historique et grammaticale, Moerel parvient aux conclusions suivantes :
- L’article 24 du RGPD, et donc l’approche basée sur les risques, ne détermine pas seulement la question de la responsabilité et donc de la charge de la preuve, mais constitue également un critère pour les obligations du responsable du traitement lui-même.
- Cela vaut également pour la communication à l’étranger, notamment parce que l’article 46 du RGPD prévoit une obligation pour le responsable du traitement (“dans la mesure où le responsable du traitement ou le sous-traitant a prévu des garanties appropriées”), qui est donc soumise à l’article 24 du RGPD.
- La Cour de justice des Communautés européennes l’a confirmé dans Schrems II n’a pas été réfutée, pas plus que les Recommandations de l’EDSA sur les mesures complémentaires.
- En revanche, l’article 5, paragraphe 2, du RGPD ne prévoit pas d’approche basée sur les risques. Cette disposition ne s’applique toutefois qu’aux principes de traitement de l’article 5, paragraphe 1, du RGPD.