Article considérant 94

(94) En tout état de cause, pour ce qui est des données à caractère personnel qui ont été collectées dans l’Union européenne, toute décision fondée sur un traitement automatisé sera généralement prise par le responsable du traitement des données de l’Union (qui est en relation directe avec la personne concernée) et relève par conséquent du règlement (UE) 2016/679. Cela inclut les cas de transfert dans lesquels le traitement est effectué par un opérateur économique étranger (japonais, par exemple) en tant qu’agent (sous-traitant) agissant au nom du responsable du traitement des données de l’UE (ou en tant que sous-traitant agissant au nom du sous-traitant de l’UE ayant obtenu les données auprès d’un responsable du traitement des données de l’UE qui les a collectées) qui prend ensuite la décision sur cette base. Il est donc peu probable que l’absence de règles spécifiques applicables à la prise de décisions automatisée dans l’APPI affecte le niveau de protection des données à caractère personnel transférées sur la base de la présente décision.