Considérant 103
Règlement général sur la protection des données · UE 2016/679
| (103) | La Commission peut décider, avec effet dans l'ensemble de l'Union, qu'un pays tiers, un territoire ou un secteur déterminé dans un pays tiers, ou une organisation internationale offre un niveau adéquat de protection des données, assurant ainsi une sécurité juridique et une uniformité dans l'ensemble l'Union en ce qui concerne le pays tiers ou l'organisation internationale qui est réputé offrir un tel niveau de protection. Dans ce cas, les transferts de données à caractère personnel vers ce pays tiers ou cette organisation internationale peuvent avoir lieu sans qu'il soit nécessaire d'obtenir une autre autorisation. La Commission peut également décider, après en avoir informé le pays tiers ou l'organisation internationale et lui avoir fourni une justification complète, de révoquer une telle décision. |
Au Luxembourg, la CNPD (et non APDL) est l'autorité de contrôle compétente pour superviser les transferts internationaux. La loi du 1er août 2018 portant organisation de la CNPD lui confère le pouvoir d'auditer les bases juridiques de transfert et de suspendre un flux jugé non conforme, même sous décision d'adéquation, si elle estime que les garanties locales ne sont plus effectives. La place financière luxembourgeoise est particulièrement exposée : les groupes bancaires utilisent massivement des prestataires US (Salesforce, AWS, Microsoft) couverts par le DPF.
Pratique Luxgap : pour les entités CSSF et ILR, nous couplons l'Adequacy Radar avec la cartographie des prestataires critiques au sens de la circulaire CSSF 22/806 sur l'externalisation IT, afin de produire un dossier unique opposable à la CNPD et à la CSSF.
