Le principe pour les transferts de données personnelles
Les responsables du traitement et les sous-traitants ne peuvent transférer des données à caractère personnel à des pays tiers ou à des organisations internationales que si le responsable du traitement ou le sous-traitant a prévu des garanties appropriées, et à condition que les personnes concernées disposent de droits exécutoires et de recours juridiques efficaces.
Si c'est aux exportateurs et aux importateurs de données qu'il incombe en premier lieu d'évaluer si la législation du pays de destination permet à l'importateur de données de se conformer à l'une quelconque des garanties appropriées, les autorités de surveillance joueront un rôle clé lorsqu'elles rendront de nouvelles décisions sur les transferts vers des pays tiers.
Ce principe a été rappelé avec force par l'arrêt Schrems II de la CJUE.
Le rapport fourni au Comité européen de protection des données et aux autorités de surveillance de l'EEE/UE
L'étude examine la situation de différents pays afin d'évaluer si les garanties offertes sont suffisantes pour le traitement des données, comparables à celles que l'on trouve au sein de l'Union européenne.
L'étude examine d'abord la situation générale de la Chine, de l'Inde et de la Russie en matière de droits et libertés fondamentaux, en particulier en ce qui concerne le droit à la vie privée et à la protection des données.
Ensuite, l'étude comprend une analyse de la législation des pays afin d'établir les conditions de fond et de procédure pour l'accès des gouvernements aux données personnelles, y compris les agences de maintien de l'ordre et de renseignement, en accordant une attention particulière aux autorités impliquées dans l'adoption ou la modification des règles et décisions correspondantes.
L'étude vise également à identifier, lorsqu'ils existent, les mécanismes de contrôle de l'accès gouvernemental aux données personnelles, et à évaluer l'indépendance par rapport à l'exécutif des organes habilités à effectuer ce contrôle.
Enfin, l'étude explique quels sont les droits et les mécanismes de recours administratif ou judiciaire dont disposent les personnes concernées (y compris les personnes étrangères) dans les trois pays observés.
Les conclusions pour les 3 pays observés
En ce qui concerne la Chine, on peut constater que le système juridique chinois n'offre pas de garanties suffisantes pour les données des étrangers, comparables à celles que l'on trouve dans l'UE.
En ce qui concerne l'Inde, il convient de noter que le droit à la vie privée n'a été reconnu que récemment par la Cour suprême indienne et que, dans le même ordre d'idées, le droit à la protection des données personnelles a fait l'objet d'une plus grande attention. Après une évaluation minutieuse de la législation indienne pertinente, on peut conclure que les règlements prévoient de nombreuses exemptions pour l'accès gouvernemental aux données personnelles. Plus précisément, le concept de "sécurité nationale" est un concept général utilisé par le gouvernement pour accéder aux informations personnelles.
En ce qui concerne la Russie, on peut conclure que la loi russe sur la protection des données est une question complexe. En outre, la Russie est connue pour avoir violé la Convention européenne des droits de l'homme (CEDH) en ce qui concerne d'autres droits et libertés connexes, comme la liberté d'expression. Le droit à la protection des données et à la vie privée est limité, en particulier dans l'intérêt de la sécurité nationale, comme l'a également déclaré la Cour européenne des droits de l'homme (CEDH) dans l'affaire Romani.