Considérant 113
Règlement général sur la protection des données · UE 2016/679
| (113) | Les transferts qui peuvent être qualifiés de non répétitifs et qui ne touchent qu'un nombre limité de personnes concernées pourraient également être autorisés aux fins des intérêts légitimes impérieux poursuivis par le responsable du traitement, lorsque ces intérêts prévalent sur les intérêts ou les libertés et droits fondamentaux de la personne concernée et lorsque le responsable du traitement a évalué toutes les circonstances entourant le transfert de données. Le responsable du traitement devrait accorder une attention particulière à la nature des données à caractère personnel, à la finalité et à la durée de la ou des opérations de traitement envisagées ainsi qu'à la situation dans le pays d'origine, le pays tiers et le pays de destination finale, et devrait prévoir des garanties appropriées pour protéger les libertés et droits fondamentaux des personnes physiques à l'égard du traitement de leurs données à caractère personnel. De tels transferts ne devraient être possibles que dans les cas résiduels dans lesquels aucun des autres motifs de transfert ne sont applicables. À des fins de recherche scientifique ou historique ou à des fins statistiques, il y a lieu de prendre en considération les attentes légitimes de la société en matière de progrès des connaissances. Le responsable du traitement devrait informer l'autorité de contrôle et la personne concernée du transfert. |
Au Luxembourg, la CNPD (et non l'APDL) est l'autorité competente a informer préalablement pour tout transfert fonde sur l'article 49(1) dernier alinea. La loi du 1er aout 2018 portant organisation de la CNPD confirme la competence de la Commission pour superviser ces derogations residuelles, et la CNPD a publie sa doctrine sur les transferts internationaux post-Schrems II privilegiant clairement les CCT 2021 et les TIA documentees plutot que la voie article 49.
Pratique Luxgap : pour les acteurs de la Place financiere, anticipez egalement les obligations de notification a la CSSF au titre de la circulaire 22/806 sur l'externalisation, qui se cumulent avec la notification CNPD lorsque le transfert residuel concerne des données client soumises au secret professionnel article 41 LSF.
