Article considérant 48

(48) Le responsable du traitement qui demande la combinaison de données peut analyser les informations combinées dans les locaux de l’institution spécialisée, dans un endroit où sont appliquées des mesures de sécurité techniques, physiques et administratives spécifiques (article 29-3 du décret d’application de la PIPA). Les responsables du traitement qui fournissent un ensemble de données en vue d’une telle combinaison ne peuvent faire sortir les données combinées de l’institution spécialisée qu’une fois les données combinées pseudonymisées ou anonymisées et uniquement avec l’approbation de ladite institution (article 28-3, paragraphe 2, de la PIPA). Pour déterminer s’il y lieu ou non de donner son approbation, l’institution évalue le lien entre les données combinées et la finalité du traitement et vérifie si un plan de sécurité spécifique a été élaboré en vue de l’utilisation de ces données. L’exportation des informations combinées en dehors de l’institution ne sera pas permise si les informations contiennent des données qui permettraient d’identifier une personne. Enfin, la PIPC supervise la combinaison et la diffusion des données pseudonymisées par l’institution spécialisée (article 29-4, paragraphe 3, du décret d’application de la PIPA).