Article 44. Transferts moyennant des garanties appropriées

Article 44. Transferts moyennant des garanties appropriées

1. En l'absence de détermination d'un niveau de protection adéquat par la publication au Journal officiel de l'Union européenne, ou par la soumission effective aux dispositions de la Convention 108+ du Conseil de l'Europe, le responsable ou le sous-traitant du traitement de données à caractère personnel ne peut les transférer vers un pays tiers ou une organisation internationale que s'il existe des garanties appropriées et si les personnes concernées disposent de droits opposables et d'actions légales effectives.

2. Les garanties appropriées ainsi que les droits opposables et les actions légales effectives des personnes concernées doivent être évalués par l'APDA en tenant compte, en particulier, de l'état de droit, du respect des droits de l'homme et des libertés fondamentales ; de la législation pertinente, tant générale que sectorielle, y compris en ce qui concerne la sécurité publique, la défense, la sécurité nationale et le droit pénal ; de l'accès des autorités publiques aux données à caractère personnel, ainsi que de la mise en œuvre de cette législation ; des règles en matière de protection des données, des règles professionnelles et des mesures de sécurité, y compris les règles relatives au transfert ultérieur de données à caractère personnel vers un autre pays tiers ou une autre organisation internationale qui sont respectées dans ce pays ou cette organisation internationale ; de la jurisprudence, ainsi que de la reconnaissance aux personnes concernées dont les données à caractère personnel sont transférées de droits effectifs et opposables et de recours administratifs et d'actions judiciaires qui soient effectifs. Sont également pris en considération les engagements internationaux pris par le pays tiers ou par l'organisation internationale en question, ou d'autres obligations découlant d'accords ou d'instruments juridiquement contraignants, notamment en ce qui concerne la protection des données à caractère personnel.

3. En particulier, la preuve de l'existence des garanties appropriées visées aux paragraphes précédents peut être apportée par l'adoption de :

a) Un instrument juridiquement contraignant et exécutoire entre les autorités ou organismes publics.

b) Des règles d'entreprise contraignantes.

c) Des clauses types de protection des données adoptées par la Commission européenne ou par l'Agence andorrane de protection des données.

d) Un code de conduite, assorti d'engagements contraignants et exécutoires pris par le responsable ou le sous-traitant du traitement dans le pays tiers d'appliquer les garanties appropriées, y compris en ce qui concerne les droits des personnes concernées.

e) Un mécanisme de certification approuvé conformément à la réglementation de l'Union européenne en matière de protection des données à caractère personnel ayant une validité générale au sein de l'Union, assorti d'engagements contraignants et exécutoires pris par le responsable ou le sous-traitant du traitement dans le pays tiers d'appliquer les garanties appropriées, y compris en ce qui concerne les droits des personnes concernées.

4. Toutefois, la preuve de l'existence des garanties appropriées visées aux paragraphes 1 et 2 peut être apportée au moyen de :

a) Des clauses contractuelles entre le responsable ou le sous-traitant et le responsable, le sous-traitant ou le destinataire des données à caractère personnel dans le pays tiers ou l'organisation internationale.

b) Des dispositions intégrées dans des arrangements administratifs entre les autorités ou les organismes publics, qui prévoient des droits effectifs et opposables pour les personnes concernées.