Source: https://gdpr-expert.com/article.html?mid=1&id=45
Timestamp: 2020-04-02 19:39:56+00:00

Document:
GDPR.expert, l'outil d'analyse du nouveau règlement européen, développé par le cabinet d'avocats Ulys Article 45 : Transferts fondés sur une décision d'adéquation - GDPR.expert
Transferts fondés sur une décision d'adéquation
Afficher les articles et mots clés liés à l’article 45 du Règlement keyboard_arrow_down Cacher les articles et mots clés liés à l’article 45 keyboard_arrow_up
Mots clés liés à l'article 45
les règles en matière de protection des données
règles relatives au transfert ultérieur de données
respect des droits de l'homme et des libertés fondamentales
Afficher les considérants du Règlement liés à l'article 45 keyboard_arrow_down Cacher les considérants du Règlement liés à l'article 45 keyboard_arrow_up
(102) Le présent règlement s'entend sans préjudice des accords internationaux conclus entre l'Union et les pays tiers en vue de réglementer le transfert des données à caractère personnel, y compris les garanties appropriées au bénéfice des personnes concernées. Les États membres peuvent conclure des accords internationaux impliquant le transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales dans la mesure où ces accords n'affectent pas le présent règlement ou toute autre disposition du droit de l'Union et prévoient un niveau approprié de protection des droits fondamentaux des personnes concernées.
(103) La Commission peut décider, avec effet dans l'ensemble de l'Union, qu'un pays tiers, un territoire ou un secteur déterminé dans un pays tiers, ou une organisation internationale offre un niveau adéquat de protection des données, assurant ainsi une sécurité juridique et une uniformité dans l'ensemble l'Union en ce qui concerne le pays tiers ou l'organisation internationale qui est réputé(e) offrir un tel niveau de protection. Dans ce cas, les transferts de données à caractère personnel vers ce pays tiers ou cette organisation internationale peuvent avoir lieu sans qu'il soit nécessaire d'obtenir une autre autorisation. La Commission peut également décider, après en avoir informé le pays tiers ou l'organisation internationale et lui avoir fourni une justification complète, de révoquer une telle décision.
(104) Eu égard aux valeurs fondamentales sur lesquelles est fondée l'Union, en particulier la protection des droits de l'homme, la Commission devrait, dans son évaluation d'un pays tiers, d'un territoire ou d'un secteur déterminé dans un pays tiers, prendre en considération la manière dont un pays tiers déterminé respecte l'état de droit, garantit l'accès à la justice et observe les règles et normes internationales dans le domaine des droits de l'homme, ainsi que sa législation générale et sectorielle, y compris la législation sur la sécurité publique, la défense et la sécurité nationale ainsi que l'ordre public et le droit pénal. Lors de l'adoption, à l'égard d'un territoire ou d'un secteur déterminé dans un pays tiers, d'une décision d'adéquation, il y a lieu de tenir compte de critères clairs et objectifs, telles que les activités de traitement spécifiques et le champ d'application des normes juridiques applicables et de la législation en vigueur dans le pays tiers. Le pays tiers devrait offrir des garanties pour assurer un niveau adéquat de protection essentiellement équivalent à celui qui est garanti dans l'Union, en particulier quand les données à caractère personnel sont traitées dans un ou plusieurs secteurs spécifiques. Plus particulièrement, le pays tiers devrait assurer un contrôle indépendant effectif de la protection des données et prévoir des mécanismes de coopération avec les autorités de protection des données des États membres, et les personnes concernées devraient se voir octroyer des droits effectifs et opposables ainsi que des possibilités effectives de recours administratif et juridictionnel.
(106) La Commission devrait surveiller le fonctionnement des décisions relatives au niveau de protection offert par un pays tiers, un territoire ou un secteur déterminé dans un pays tiers, ou par une organisation internationale, et surveiller le fonctionnement des décisions adoptées sur la base de l'article 25, paragraphe 6, ou de l'article 26, paragraphe 4, de la directive 95/46/CE. Dans ses décisions d'adéquation, la Commission devrait prévoir un mécanisme d'examen périodique de leur fonctionnement. Cet examen périodique devrait être effectué en consultation avec le pays tiers ou l'organisation internationale en question et tenir compte de l'ensemble des évolutions présentant un intérêt dans le pays tiers ou au sein de l'organisation internationale. Aux fins de la surveillance et de la réalisation des examens périodiques, la Commission devrait prendre en considération les observations et les conclusions du Parlement européen et du Conseil, ainsi que d’autres organes et sources pertinents. La Commission devrait évaluer le fonctionnement desdites décisions dans un délai raisonnable et communiquer toute conclusion pertinente au comité au sens du règlement (UE) n° 182/2011 du Parlement européen et du Conseil1 établi en vertu du présent règlement, au Parlement européen et au Conseil.
(107) La Commission peut constater qu'un pays tiers, un territoire ou un secteur déterminé dans un pays tiers, ou une organisation internationale n'assure plus un niveau adéquat de protection des données. En conséquence, le transfert de données à caractère personnel vers ce pays tiers ou à cette organisation internationale devrait être interdit, à moins que les exigences du présent règlement relatives aux transferts faisant l'objet de garanties appropriées, y compris des règles d'entreprise contraignantes et des dérogations pour des situations particulières, soient respectées. Dans ce cas, il y aurait lieu de prévoir des consultations entre la Commission et le pays tiers ou l'organisation internationale en question. La Commission devrait informer en temps utile le pays tiers ou l'organisation internationale des motifs de sa conclusion et engager des consultations avec ceux-ci en vue de remédier à la situation.
(116) Lorsque des données à caractère personnel franchissent les frontières extérieures de l'Union, cela peut accroître le risque que les personnes physiques ne puissent exercer leurs droits liés à la protection des données, notamment pour se protéger de l'utilisation ou de la divulgation illicite de ces informations. De même, les autorités de contrôle peuvent être confrontées à l'impossibilité d'examiner des réclamations ou de mener des enquêtes sur les activités exercées en dehors de leurs frontières. Leurs efforts pour collaborer dans le contexte transfrontalier peuvent également être freinés par les pouvoirs insuffisants dont elles disposent en matière de prévention ou de recours, par l'hétérogénéité des régimes juridiques et par des obstacles pratiques tels que le manque de ressources. En conséquence, il est nécessaire de favoriser une coopération plus étroite entre les autorités de contrôle de la protection des données, pour les aider à échanger des informations et mener des enquêtes avec leurs homologues internationaux. Aux fins d'élaborer des mécanismes de coopération internationale destinés à faciliter et à mettre en place une assistance mutuelle internationale pour faire appliquer la législation relative à la protection des données à caractère personnel, la Commission et les autorités de contrôle devraient échanger des informations et coopérer dans le cadre d'activités liées à l'exercice de leurs compétences avec les autorités compétentes dans les pays tiers, sur une base réciproque et conformément au présent règlement.
Afficher les considérants de la Directive 95/46 liés à l'article 45 keyboard_arrow_down Cacher les considérants de la Directive 95/46 liés à l'article 45 keyboard_arrow_up
Le principe d’adéquation est maintenu par le Règlement en son article 45, mais il est néanmoins amendé : c’est dorénavant à la seule Commission de constater que le pays tiers, un territoire ou, un ou plusieurs secteurs déterminés dans ce pays tiers, ou l'organisation internationale en question assurent un niveau de protection adéquat.
Outre ceux déjà contenus dans la Directive, l’article 45, § 2. du Règlement énonce de manière non exhaustive certains critères d’appréciation du niveau d’adéquation : la primauté du droit, le respect des droits de l'homme et des libertés fondamentales, la législation pertinente, tant générale que sectorielle (relevant par exemple de la sécurité publique ou nationale, de la défense, du droit pénal etc.), les règles en matière de protection des données et les mesures de sécurité, y compris les règles relatives au transfert ultérieur de données à caractère personnel vers un autre pays tiers ou à une organisation internationale, qui sont respectées dans le pays tiers en question ou par l'organisation internationale en question, etc. (a)).
Conformément à la jurisprudence de l’Union, le Règlement introduit également comme critère l’existence et le fonctionnement effectif d’une autorité de contrôle indépendante disposant notamment de pouvoirs de sanction, d’assistance et de conseils à l’attention des personnes concernées dans l’exercice de leurs droits. (b).
L’adéquation du pays de destination implique également d’examiner les engagements internationaux relatifs à la protection des données à caractère personnel pris par le pays tiers ou l’organisation internationale concernée, ainsi que sa participation à des systèmes multilatéraux ou régionaux en matière de protection de données personnelles (c).
Initialement, la nouvelle procédure mise en place prévoyait de consulter le comité européen de la protection des données sur l'évaluation du caractère adéquat du niveau de protection assuré par un pays tiers ou une organisation internationale. Cette disposition a toutefois été supprimée de la version finale du Règlement.
La Commission européenne est ainsi seule compétente pour constater, par voie de décision prise conformément à l’article 93, § 2, le caractère adéquat du niveau de protection d’un pays tiers, mais aussi d’une organisation internationale, d’un territoire ou d’un ou différents secteurs d’un pays tiers (§1 et §3).
La décision d’adéquation de la Commission doit indiquer son champ d’application territorial et sectoriel, l’autorité de contrôle compétente (le cas échéant), et déterminer une procédure de révision périodique, à tout le moins tous les 4 ans, tenant compte des développements pertinents dans le pays tiers, l’organisation internationale, ou le territoire concerné. Il incombe également à la Commission d’évaluer sur cette base les décisions adoptées sur base de cette disposition ou de l'article 25, paragraphe 4, de la Directive.
La Commission peut également abroger, modifier ou suspendre une décision d’adéquation antérieure si le pays tiers, le territoire ou l’organisation internationale n’assure plus un niveau de protection adéquat, mais sans rétroactivité, conformément à la procédure de comité visée à l’article 93 §2 du Règlement. En cas d’extrême urgence, la décision abrogeant, modifiant ou suspendant une décision peut toutefois être prise conformément à l’article 93, §3 selon une procédure accélérée (§ 5). Notons que la Commission ne peut plus -comme le prévoyait la Directive (art. 25 §4)- constater qu’un Pays tiers n’assure pas un niveau de protection adéquat en dehors d’une décision positive antérieure.
En cas de décision d’inadéquation, la Commission engage des consultations avec le pays concerné afin de remédier à cette situation ( § 6).
En l’absence de décision contraire, les décisions d’adéquation de la Commission prises sous le couvert de la Directive restent valables jusqu'à leur modification, leur remplacement ou leur abrogation par une décision de la Commission adoptée conformément au paragraphe 3.
Comme nous le verrons ci-après, les articles 46 à 49 permettent, sous certaines conditions, de transférer des données vers un pays tiers en l’absence de décision d’adéquation (Cfr. commentaires des articles 46 à 49), notamment lorsque le responsable du traitement ou le sous-traitant offre des garanties appropriées pour pallier l'insuffisance du niveau de protection du pays de destination des données personnelles.
Le paragraphe 7 de l’article 45 précise qu’une décision d’inadéquation au sens du paragraphe 5 ne porte pas atteinte aux transferts effectués conformément aux articles 46 à 49 vers le pays tiers en cause, ou le territoire ou secteur déterminé dans ce pays tiers, ou l'organisation internationale en question.
Il appartient à la Commission de publier une liste des pays tiers, territoires, secteurs et des organisations internationales qui ont fait l’objet d’une décision constatant qu’un niveau adéquat de protection est ou n’est plus assuré.
En matière de transfert de données à caractère personnel, l’article 25 de la Directive posait le principe d’adéquation suivant lequel un transfert de données à caractère personnel vers un pays en dehors de l’Union européenne ne peut avoir lieu que si le pays destinataire des données assure un niveau de protection adéquat.
L’appréciation du niveau de protection du pays destinataire des données portait sur un ensemble de facteurs, contenus à l’article 25 de la Directive à titre indicatif. L’évaluation supposait donc de prendre en compte toutes les circonstances relatives au transfert, par exemple la nature des données, la finalité et la durée du traitement. On notera que, selon la CJUE, l’indépendance de l’autorité de contrôle du pays tiers devait également être garantie (CJUE, 9 mars 2010, C-518/7).
À cet égard, il convient de souligner le rôle majeur joué par le Groupe Article 29 dans l’appréciation de la notion de protection adéquate à travers les différents documents de travail réalisés (Cfr. notamment WP4, WP7, WP 12, WP 74, WP 114).
La Directive mettait aussi en place des mécanismes d’appréciation de l’adéquation tant au niveau communautaire qu’au niveau national. Au niveau communautaire, les paragraphes 4 et 6 de la Directive investissaient la Commission du pouvoir de déterminer les pays tiers qui assurent ou non un niveau de protection des données à caractère personnel, conformément à la procédure prévue à l’article 31, § 2. Selon cette procédure, un représentant de la Commission soumettait des projets de mesure à prendre pour avis à un comité de représentants des États membres, présidé par un représentant de la Commission. Il appartenait ensuite à la Commission d’arrêter des mesures directement applicables qui soient conformes à l’avis du Comité. Si tel n’était pas le cas, la Commission pouvait différer l’application de ces mesures et la décision finale appartenait au conseil statuant à majorité qualifiée (cfr. article 31 § 2 de la Directive).
Les États membres devaient se conformer à la décision de la Commission : en cas de décision d’adéquation (art. 25, § 6), ces derniers devaient prendre les mesures nécessaires et en cas de décision d’inadéquation, ils devaient empêcher les transferts vers les pays tiers en cause (art. 25, § 4). La Commission était ensuite chargée d’entamer des négociations avec le pays en cause afin de remédier à cette situation (article 25, § 5).
On rappelle que la décision de la Commission du 26 juillet 2000 adoptant le «Safe Harbor Act » sensé encadrer les transferts entre l’UE et les États-Unis et comprenant une série de principes relatifs à la protection des données personnelles a été invalidée par la Cour de justice de l’Union européenne (CJUE, arrêt du 6 octobre 2015, C-362/14). La Cour a notamment considéré que le régime de la « sphère de sécurité », en ce qu’il autorise des ingérences par les autorités américaines dans les droits fondamentaux des personnes, non encadrées par des règles limitant ces ingérences, est contraire à la Charte des droits fondamentaux de l’Union.
La loi du 8 décembre 1992 ne déroge pas à la Directive en ce qu’elle impose de tenir compte de la nature des données, de la finalité et de la durée du ou des traitements envisagés, des pays d'origine et de destination finale, des règles de droit, générales et sectorielles, en vigueur dans le pays en cause, ainsi que des règles professionnelles et des mesures de sécurité qui y sont respectées (cfr. art. 21, § 1er). Le second paragraphe autorise le Roi à déterminer les pays dont le niveau de protection doit être considéré comme insuffisant.
Les difficultés sont ici moins juridiques qu’elles n’étaient politiques.
Il est sans doute judicieux de ne plus laisser aux États le soin de décider de l’adéquation d’un niveau de protection adéquat d’un pays tiers. La compétence exclusive reconnue à la Commission assurera une plus grande sécurité juridique. Par contre, en l’absence de décision, il semble que l’interdiction de transfert prévale, sauf application des articles 46 et s.
Remarquons également que ce faisant, le responsable ou le sous-traitant ne peuvent plus apprécier non plus cette adéquation. En l’absence de décision, ils se retrouvent automatiquement à devoir couvrir le transfert hors UE par un des règles prévues aux articles 46 et s.
arrow_back Article précédent • Article 45 • Article suivant arrow_forward
arrow_back Article précédent • Article 45 Article suivant arrow_forward
C-362/14 (6 octobre 2015)
a) l'état de droit, le respect des droits de l'homme et des libertés fondamentales, la législation pertinente, tant générale que sectorielle, y compris en ce qui concerne la sécurité publique, la défense, la sécurité nationale et le droit pénal ainsi que l'accès des autorités publiques aux données à caractère personnel, de même que la mise en oeuvre de ladite législation, les règles en matière de protection des données, les règles professionnelles et les mesures de sécurité, y compris les règles relatives au transfert ultérieur de données à caractère personnel vers un autre pays tiers ou à une autre organisation internationale qui sont respectées dans le pays tiers ou par l'organisation internationale en question, la jurisprudence, ainsi que les droits effectifs et opposables dont bénéficient les personnes concernées et les recours administratifs et judiciaires que peuvent effectivement introduire les personnes concernées dont les données à caractère personnel sont transférées;
b) l'existence et le fonctionnement effectif d'une ou de plusieurs autorités de contrôle indépendantes dans le pays tiers, ou auxquelles une organisation internationale est soumise, chargées d'assurer le respect des règles en matière de protection des données et de les faire appliquer, y compris par des pouvoirs appropriés d'application desdites règles, d'assister et de conseiller les personnes concernées dans l'exercice de leurs droits et de coopérer avec les autorités de contrôle des États membres; et
c) les engagements internationaux pris par le pays tiers ou l'organisation internationale en question, ou d'autres obligations découlant de conventions ou d'instruments juridiquement contraignants ainsi que de sa participation à des systèmes multilatéraux ou régionaux, en particulier en ce qui concerne la protection des données à caractère personnel.
3. La Commission, après avoir évalué le caractère adéquat du niveau de protection, peut décider, par voie d'acte d'exécution, qu'un pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans un pays tiers, ou une organisation internationale, assure un niveau de protection adéquat au sens du paragraphe 2 du présent article. L'acte d'exécution prévoit un mécanisme d'examen périodique, au moins tous les quatre ans, qui prend en compte toutes les évolutions pertinentes dans le pays tiers ou au sein de l'organisation internationale. L'acte d'exécution précise son champ d'application territorial et sectoriel et, le cas échéant, nomme la ou des autorités de contrôle visées au paragraphe 2, point b) du présent article. L'acte d'exécution est adopté en conformité avec la procédure d'examen visée à l'article 93, paragraphe 2.
5. Lorsque les informations disponibles révèlent, en particulier à l'issue de l'examen visé au paragraphe 3 du présent article, qu'un pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans un pays tiers, ou une organisation internationale n'assure plus un niveau de protection adéquat au sens du paragraphe 2 du présent article, la Commission si nécessaire, abroge, modifie ou suspend la décision visée au paragraphe 3 du présent article par voie d’actes d’exécution sans effet rétroactif. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 93, paragraphe 2.
1. Un transfert peut avoir lieu lorsque la Commission a constaté par voie de décision que le pays tiers, un territoire ou un secteur de traitement de données dans ce pays tiers, ou l'organisation internationale en question assure un niveau de protection adéquat. Un tel transfert ne nécessite pas d'autre autorisation.
2. Lorsqu'elle apprécie le caractère adéquat du niveau de protection, la Commission prend en considération les éléments suivants:
a) la primauté du droit, la législation pertinente en vigueur, tant générale que sectorielle, notamment en ce qui concerne la sécurité publique, la défense, la sécurité nationale et le droit pénal, les règles professionnelles et les mesures de sécurité qui sont respectées dans le pays en question ou par l'organisation internationale en question, ainsi que l'existence de droits effectifs et opposables, y compris un droit de recours administratif et judiciaire effectif des personnes concernées, notamment celles ayant leur résidence sur le territoire de l'Union et dont les données à caractère personnel sont transférées;
b) l’existence et le fonctionnement effectif d’une ou de plusieurs autorités de contrôle indépendantes dans le pays tiers ou l'organisation internationale en question, chargées d’assurer le respect des règles en matière de protection des données, d’assister et de conseiller les personnes concernées dans l'exercice de leurs droits et de coopérer avec les autorités de contrôle de l'Union et des États membres,
et c) les engagements internationaux souscrits par le pays tiers ou l'organisation internationale en question.
3. La Commission peut constater par voie de décision qu’un pays tiers, ou un territoire ou un secteur de traitement de données dans le pays tiers en question, ou une organisation internationale, assure un niveau de protection adéquat au sens du paragraphe 2. Les actes d'exécution correspondants sont adoptés conformément à la procédure d'examen prévue à l'article 87, paragraphe 2.
4. L'acte d'exécution précise son champ d'application géographique et sectoriel et, le cas échéant, cite le nom de l'autorité de contrôle mentionnée au paragraphe 2, point b).
5. La Commission peut constater par voie de décision qu'un pays tiers, ou un territoire ou un secteur de traitement de données dans ce pays tiers, ou une organisation internationale n'assure pas un niveau de protection adéquat au sens du paragraphe 2, notamment dans les cas où la législation pertinente, tant générale que sectorielle, en vigueur dans le pays tiers ou l'organisation internationale en question, ne garantit pas des droits effectifs et opposables, y compris un droit de recours administratif et judiciaire effectif des personnes concernées, notamment celles ayant leur résidence sur le territoire de l'Union et dont les données à caractère personnel sont transférées. Les actes d'exécution correspondants sont adoptés conformément à la procédure d'examen prévue à l'article 87, paragraphe 2, ou, en cas d’extrême urgence pour des personnes physiques en ce qui concerne leur droit à la protection de leurs données à caractère personnel, conformément à la procédure prévue à l'article 87, paragraphe 3.
6. Lorsque la Commission adopte une décision en vertu du paragraphe 5, tout transfert de données à caractère personnel vers le pays tiers, ou un territoire ou un secteur de traitement de données dans ce pays tiers, ou à l'organisation internationale en question est interdit, sans préjudice des articles 42 à 44. La Commission engage, au moment opportun, des consultations avec le pays tiers ou l'organisation internationale en vue de remédier à la situation résultant de la décision adoptée en vertu du paragraphe 5.
7. La Commission publie au Journal officiel de l'Union européenne une liste des pays tiers, des territoires et secteurs de traitement de données dans un pays tiers et des organisations internationales pour lesquels elle a constaté par voie de décision qu'un niveau de protection adéquat était ou n'était pas assuré.
8. Les décisions adoptées par la Commission en vertu de l'article 25, paragraphe 6, ou de l'article 26, paragraphe 4, de la directive 95/46/CE demeurent en vigueur jusqu'à leur modification, leur remplacement ou leur abrogation par la Commission.
1. Un transfert de données à caractère personnel à (...) un pays tiers ou à une organisation internationale peut avoir lieu lorsque la Commission a constaté par voie de décision que le pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers, ou l'organisation internationale en question assure un niveau de protection adéquat. Un tel transfert ne nécessite pas d'autorisation spécifique.
2. Lorsqu'elle apprécie le caractère adéquat du niveau de protection, la Commission tient compte notamment des éléments suivants:
a) la primauté du droit, le respect des droits de l'homme et des libertés fondamentales, la législation pertinente (…), tant générale que sectorielle, les règles en matière de protection des données et les mesures de sécurité, y compris les règles relatives au transfert ultérieur de données à caractère personnel vers un autre pays tiers ou à une organisation internationale, qui sont respectées dans le pays tiers en question ou par l'organisation internationale en question, ainsi que l'existence de droits des personnes concernées effectifs et opposables, et un droit de recours administratif et judiciaire effectif des personnes concernées dont les données à caractère personnel sont transférées (…);
b) l'existence et le fonctionnement effectif d'une ou de plusieurs autorités de contrôle indépendantes dans le pays tiers, ou auxquelles une organisation internationale est soumise, chargées d'assurer le respect des règles en matière de protection des données et de les faire appliquer, notamment par des pouvoirs de sanction appropriés, d'assister et de conseiller les personnes concernées dans l'exercice de leurs droits et de coopérer avec les autorités de contrôle de l'Union et des États membres;
c) les engagements internationaux relatifs à la protection des données à caractère personnel pris par le pays tiers ou l'organisation internationale concerné, ou d'autres obligations (...) lui incombant en raison de sa participation à des systèmes multilatéraux ou régionaux, en particulier en ce qui concerne la protection des données à caractère personnel.
2 bis. Le comité européen de la protection des données rend à la Commission un avis en ce qui concerne l'évaluation du caractère adéquat du niveau de protection assuré par un pays tiers ou une organisation internationale, y compris concernant l'évaluation visant à déterminer si un pays tiers, le territoire, l'organisation internationale ou un secteur déterminé n'assure plus un niveau adéquat de protection.
3. La Commission, après avoir évalué le caractère adéquat du niveau de protection, peut constater par voie de décision qu'un pays tiers, ou un territoire ou un ou plusieurs secteurs déterminés dans le pays tiers en question, ou une organisation internationale, assure un niveau de protection adéquat au sens du paragraphe 2. (…). L'acte d'exécution précise son champ d'application territorial et sectoriel et, le cas échéant, cite le nom de la ou des autorités de contrôle (indépendantes) mentionnées au paragraphe 2, point b). L'acte d'exécution est adopté conformément à la procédure d'examen visée à l'article 87, paragraphe 2.
3 bis. Les décisions adoptées par la Commission en vertu de l'article 25, paragraphe 6, (...) de la directive 95/46/CE demeurent en vigueur jusqu'à leur modification, leur remplacement ou leur abrogation par une décision de la Commission adoptée conformément aux dispositions du paragraphe 3 ou 5.
4 bis. La Commission contrôle le bon fonctionnement des décisions adoptées en vertu du paragraphe 3 et des décisions adoptées sur la base de l'article 26, paragraphe 6, ou de l'article 25, paragraphe 4, de la directive 95/46/CE.
5. La Commission peut constater par voie de décision qu'un pays tiers, ou un territoire ou un secteur déterminé dans ce pays tiers, ou une organisation internationale n'assure plus un niveau de protection adéquat au sens du paragraphe 2, et peut, si nécessaire, abroger, modifier ou suspendre cette décision sans effet rétroactif. Les actes d'exécution correspondants sont adoptés conformément à la procédure d'examen prévue à l'article 87, paragraphe 2, ou, en cas d'extrême urgence (…), conformément à la procédure prévue à l'article 87, paragraphe 3. (…)
5 bis. La Commission engage des consultations avec le pays tiers ou l'organisation internationale en vue de remédier à la situation donnant lieu à la décision adoptée en vertu du paragraphe 5.
6. Une décision en vertu du paragraphe 5, est sans préjudice des transferts de données à caractère personnel vers le pays tiers, ou le territoire ou secteur déterminé dans ce pays tiers, ou à l'organisation internationale en question, mis en œuvre au titre des articles 42 à 44 (...).
7. La Commission publie au Journal officiel de l'Union européenne une liste des pays tiers, des territoires et secteurs déterminés dans un pays tiers et des organisations internationales à l'égard desquels des décisions ont été prises au titre des paragraphes 3, 3 bis et 5.
§ 1. Le transfert de données à caractère personnel faisant l'objet d'un traitement après leur transfert vers un pays non membre de la Communauté européenne, ne peut avoir lieu que si le pays en question assure un niveau de protection adéquat et moyennant le respect des autres dispositions de la présente loi et de ses arrêtés d'exécution.
Le caractère adéquat du niveau de protection s'apprécie au regard de toutes les circonstances relatives à un transfert de données ou à une catégorie de transferts de données; il est notamment tenu compte de la nature des données, de la finalité et de la durée du ou des traitements envisagés, des pays d'origine et de destination finale, des règles de droit, générales et sectorielles, en vigueur dans le pays en cause, ainsi que des règles professionnelles et des mesures de sécurité qui y sont respectées.
§ 2. Après avis de la Commission de la protection de la vie privée et conformément à l'article 25 de la directive 95/46/CE du Parlement européen et du Conseil concernant la protection des personnes physiques quant au traitement de données à caractère personnel et à la libre circulation de ces données, le Roi détermine pour quelles catégories de traitements de données à caractère personnel et dans quelles circonstances la transmission de données à caractère personnel vers des pays non-membres de la Communauté européenne n'est pas autorisée.

References: l'article 45
 l'article 45
 l'article 45
 l'article 25
 l'article 26
 l'article 45
 l'article 45
 § 2
 § 2
 §3
 l'article 25
 §2
 §3
 §4
 § 6
 § 2
 § 2
 § 6
 § 4
 § 5
 art. 21
 § 1
 l'article 93
 l'article 93
 l'article 87
 l'article 87
 l'article 87
 l'article 25
 l'article 26
 l'article 87
 l'article 25
 l'article 26
 l'article 25
 l'article 87
 l'article 87

§ 1

§ 2
 l'article 25