Les données indirectement identifiantes des personnes concernées par la recherche et les données directement ou indirectement identifiantes des professionnels intervenant dans la recherche peuvent faire l'objet d'un transfert hors de l'Union européenne lorsque le transfert est strictement nécessaire à la mise en œuvre de la recherche ou à l'exploitation de ses résultats et dans les conditions prévues au Chapitre V du RGPD.
Le transfert peut être effectué dans le cadre de l'engagement de conformité à la présente méthodologie de référence lorsque l'une des conditions suivantes est réunie :
- le transfert s'effectue à destination d'un pays ou une organisation internationale reconnus par la Commission européenne comme assurant un niveau de protection adéquat, conformément à l'article 45 du RGPD (décision d'adéquation) ;
- le transfert s'effectue moyennant des garanties appropriées, listées à l'article 46, paragraphe 2 du RGPD (notamment : clauses contractuelles types approuvées par la commission européenne, règles d'entreprise contraignantes, code de conduite, mécanisme de certification) ;
- en l'absence d'une décision d'adéquation ou de garanties appropriées, le transfert peut être fondé sur l'une des exceptions prévues à l'article 49 du RGPD lorsqu'un tel transfert n'est pas répétitif, massif ou structuré.
Le responsable de traitement doit avoir préalablement informé les personnes concernées du transfert de leurs données à caractère personnel vers des pays tiers à l'Union européenne, de l'existence ou de l'absence d'une décision d'adéquation ou de garantie appropriée et enfin des moyens d'en obtenir une copie conformément à l'article 13, paragraphe 1, point f du règlement général sur la protection des données.