Article 48 RGPD - Transferts ou divulgations non autorisés par le droit de l’Union
Considérants pertinents
Foire aux questions
Réponses brèves aux questions fréquentes sur cette disposition. Elles constituent une information générale et non un conseil juridique.
L’article 48 prévoit que toute décision d’une juridiction ou d’une autorité administrative d’un pays tiers exigeant d’un responsable du traitement ou d’un sous-traitant qu’il transfère ou divulgue des données à caractère personnel ne peut être reconnue ou rendue exécutoire de quelque manière que ce soit qu’à la condition qu’elle soit fondée sur un accord international, tel qu’un traité d’entraide judiciaire, en vigueur entre le pays tiers demandeur et l’Union ou un État membre. Une injonction étrangère est donc dépourvue d’effet juridique propre au sein de l’Union.
Non. La décision n’est reconnue ou rendue exécutoire que si elle est fondée sur un accord international en vigueur, de sorte qu’en l’absence d’un tel accord elle ne procure ni reconnaissance ni fondement de transfert. Le considérant 115 renforce cette approche en traitant de l’application extraterritoriale des lois de pays tiers qui exigeraient une divulgation sans une telle base.
Le texte cite un traité d’entraide judiciaire à titre d’exemple, avec la formule «tel qu’un», de sorte que la catégorie n’est pas fermée. Ce qui importe est qu’un accord international entre le pays tiers demandeur et l’Union ou un État membre soit en vigueur et que la décision soit fondée sur lui.
Non. Les mots finaux «sans préjudice d’autres motifs de transfert en vertu du présent chapitre» préservent la disponibilité des articles 45 à 49, de sorte qu’une divulgation répondant à une demande d’un pays tiers pourrait encore être examinée, par exemple, au regard des dérogations de l’article 49. L’article régit la reconnaissance et le caractère exécutoire de la décision étrangère, sans épuiser lui-même l’analyse de la licéité, qui exige aussi une base juridique au titre de l’article 6.
Oui. L’article vise les décisions exigeant «d’un responsable du traitement ou d’un sous-traitant» qu’il transfère ou divulgue des données à caractère personnel, de sorte qu’un sous-traitant directement destinataire d’une demande d’un pays tiers est couvert au même titre. Ce point compte en pratique pour les prestataires de services qui détiennent des données pour le compte de responsables du traitement de l’Union, puisque le sous-traitant ne peut considérer l’injonction étrangère comme exécutoire en l’absence de l’accord international requis.