Transfert de données vers l'étranger.
La présente norme simplifiée couvre les transferts de données mentionnées à l'article 3 et collectées pour les finalités énumérées à l'article 2, lorsqu'une des conditions suivantes est réunie :
- les transferts s'effectuent à destination d'un pays reconnu par la Commission européenne comme assurant un niveau de protection adéquat en raison de sa législation interne ou de ses engagements internationaux, souscrits notamment à l'issue de négociations avec la Commission européenne, en vue de la protection de la vie privée et des libertés et droits fondamentaux des personnes ;
- ils sont encadrés par les clauses contractuelles types de la Commission européenne ou par des règles internes d'entreprise (« Binding Corporate Rules », ou BCR) ou des clauses contractuelles ad hoc dont la CNIL a préalablement reconnu qu'elles garantissent un niveau de protection suffisant de la vie privée et des droits fondamentaux des personnes ;
- ils correspondent à l'une des exceptions prévues à l'article 69 de la loi du 6 janvier 1978 modifiée, dont le champ d'application est limité à des cas de transferts ponctuels et exceptionnels. Ainsi les transferts répétitifs, massifs ou structurels de données personnelles ne sont pas couverts par la présente norme et ils doivent faire l'objet de formalités préalables auprès de la CNIL dans les conditions prévues par ladite loi.
Seules peuvent être transférées les données pertinentes au regard de la finalité poursuivie par le transfert.