Annexe 9
publique, la prévention, la recherche, la détection et la poursuite d’infractions pénales ou de manquements à la déontologie dans le cas de professions réglementées, un
intérêt économique ou financier d’un Etat ou la protection de la personne concernée
ou des droits et libertés d’autrui.
1) Limitation des transferts à une finalité spécifique
Les données ne doivent être traitées et utilisées ou communiquées ultérieurement que pour les finalités spécifiques indiquées dans l’appendice 1 aux présentes
clauses. Elles ne doivent pas être conservées plus longtemps que nécessaire aux fins
pour lesquelles elles sont transférées.
2) Qualité et proportionnalité des données
Les données doivent être exactes et, au besoin, actualisées. Elles doivent être
adéquates, pertinentes et non excessives au regard des finalités auxquelles obéit leur
transfert ou leur traitement ultérieur.
3) Transparence
Les personnes concernées doivent recevoir des informations sur les finalités
du traitement et sur l’identité du responsable de ce traitement dans le pays tiers ainsi
que d’autres informations, dans la mesure où elles sont nécessaires pour assurer un
traitement loyal, à moins que ces informations aient déjà été fournies par l’exportateur de données.
4) Sécurité et confidentialité
Le responsable du traitement doit prendre des mesures de sécurité, sur le
plan technique et au niveau de l’organisation, qui soient appropriées au regard des
risques présentés par le traitement, comme l’accès non autorisé. Toute personne agissant sous l’autorité du responsable du traitement, y compris un sous-traitant, ne doit
traiter les données que sur instructions du responsable.
5) Droits d’accès, de rectification, d’effacement et d’opposition
Comme le prévoit l’article 12 de la directive 95/46/CE, la personne
concernée doit avoir le droit d’accéder à toutes les données traitées qui la concernent et le cas échéant, d’obtenir leur rectification, leur effacement ou leur verrouillage lorsqu’il apparaît que leur traitement ne respecte pas les principes fixés dans le
présent appendice, notamment parce que ces données sont incomplètes ou inexactes. Elle doit également être en mesure de s’opposer au traitement des données la
concernant pour des raisons impérieuses et légitimes concernant sa situation personnelle.
6) Restrictions aux transferts ultérieurs
Les transferts ultérieurs de données à caractère personnel effectués par l’importateur de données vers un autre responsable du traitement établi dans un pays
tiers n’offrant pas un niveau de protection adéquat ou non couverts par une décision
de la Commission adoptée conformément à l’article 25, paragraphe 6, de la directive 95/46/CE ne peuvent être autorisés que si :
a) les personnes concernées ont, dans le cas de catégories spéciales de données, indubitablement accepté le transfert ultérieur ou, dans les autres cas, la possibilité de s’y opposer.
Les informations minimales à fournir aux personnes concernées doivent
contenir dans un langage qui leur soit compréhensible :
— l’objectif du transfert ultérieur ;
— l’identification de l’exportateur de données établi dans la Communauté ;
— les catégories des destinataires ultérieurs des données et les pays de destination,
et ;
e
CNIL 22 rapport d'activité 2001
329