Le responsable d’un traitement ne peut transférer des données à caractère personnel vers un Etat étranger que si cet Etat assure un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l’égard du traitement dont ces données font l’objet ou peuvent faire l’objet. Le caractère suffisant du niveau de protection assuré par un Etat s’apprécie notamment en fonction des dispositions en vigueur dans cet Etat, des mesures de sécurité qui y sont appliquées, des caractéristiques propres du traitement telles que ses fins et sa durée, ainsi que de la nature, de l’origine et de la destination des données traitées. La Commission nationale établit la liste des Etats répondant aux critères définis aux alinéas 1 et 2 ci-dessus.
Article 43
Loi relative à la protection des personnes physiques à l'égard des données personnelles