Infractions au Code pénal, au Code de commerce ou au Code de l'environnement, Procédure pénale

Droit pénal des affaires

Aux termes de l’article 226-22-1 du Code pénal, le fait de procéder ou de faire procéder à un transfert de données à caractère personnel faisant l'objet ou destinées à faire l'objet d'un traitement vers un Etat n'appartenant pas à l'Union européenne ou à une organisation internationale en violation du chapitre V du RGPD, ou des articles 112 à 114 de la loi Informatique et Libertés est puni de cinq …

Transfert de données hors UE

Aux termes de l’article 226-22-1 du Code pénal, le fait de procéder ou de faire procéder à un transfert de données à caractère personnel faisant l'objet ou destinées à faire l'objet d'un traitement vers un Etat n'appartenant pas à l'Union européenne ou à une organisation internationale en violation du chapitre V du RGPD, ou des articles 112 à 114 de la loi Informatique et Libertés est puni de cinq ans d'emprisonnement et de 300 000 euros d'amende.

L'article 45 du RGPD dispose qu’un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale peut avoir lieu lorsque la Commission a constaté par voie de décision que le pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers, ou l'organisation internationale en question assure un niveau de protection adéquat. Un tel transfert ne nécessite pas d'autorisation spécifique. La Commission a dressé une liste de ces pays . Dans une décision du 26 juillet 2000 , la Commission a considéré comme adéquats les transferts à des organisations américaines parties au régime de la “ sphère de sécurité ”. Toutefois, cette décision d’adéquation a été invalidée par la Cour de justice , empêchant par là-même les transferts vers les États-Unis. Le 2 février 2016, la Commission et les États-Unis ont doté d'un nouveau cadre les transferts transatlantiques de données. Le “ bouclier de protection des données UE-États-Unis ”, qui remplace le régime de la sphère de sécurité et tient compte des exigences énoncées par la Cour a conduit à l’adoption par la Commission d’une nouvelle décision d’adéquation, le 12 juillet 2016, pour les transferts aux organisations européennes qui adhèrent à ce nouveau dispositif.

L'article 46 du RGPD précise que le responsable du traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers un pays tiers ou à une organisation internationale que s'il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives. Par ailleurs, l’article 48 du RGPD dispose que toute décision d'une juridiction ou d'une autorité administrative d'un pays tiers exigeant d'un responsable du traitement ou d'un sous-traitant qu'il transfère ou divulgue des données à caractère personnel ne peut être reconnue ou rendue exécutoire de quelque manière que ce soit qu'à la condition qu'elle soit fondée sur un accord international, tel qu'un traité d'entraide judiciaire, en vigueur entre le pays tiers demandeur et l'Union ou un État membre, sans préjudice d'autres motifs de transfert en vertu du présent chapitre.

Enfin, l'article 49 du RGPD prévoit des dérogations aux articles 45 et 46, lorsque des conditions limitativement énumérées sont remplies telles que le consentement explicite donné par la personne concernée au transfert envisagé, après avoir été informée des risques que ce transfert pouvait comporter pour elle en raison de l'absence de décision d'adéquation et de garanties appropriées, lorsque le transfert est nécessaire à la conclusion ou à l'exécution d'un contrat conclu dans l'intérêt de la personne concernée entre le responsable du traitement et une autre personne physique ou morale ou encore lorsque le transfert est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice.

Tels que l'Argentine, le Canada (uniquement en matière commerciale), les îles Féroé, Guernesey, Israël, l'île de Man, le Japon, Jersey, la Nouvelle-Zélande, la République de Corée, la Suisse, le Royaume-Uni, l'Uruguay ou encore Andorre.

Décision 2000/520/CE de la Commission européenne du 26 juillet 2000.

CJUE, 6 octobre 2015, Schrems, aff. C-362/14.

Droit pénal des affaires

53. Transfert de données hors UE

Demandez un accès gratuit
au contenu exclusif Livv – juristes d’entreprise

Les notions juridiques connexes

53. Transfert de données hors UE

Demandez un accès gratuit au contenu exclusif Livv – juristes d’entreprise

Les notions juridiques connexes

Demandez un accès gratuit
au contenu exclusif Livv – juristes d’entreprise