Article considérant 90

(90) Des règles spécifiques s’appliquent à la divulgation «ne relevant pas de la finalité», c’est-à-dire à la fourniture de données à un tiers pour une nouvelle finalité (non liée), qui ne peut avoir lieu que pour l’un des motifs indiqués à l’article 18, paragraphe 2, de la PIPA, comme le décrit le considérant 39. Cependant, même dans de telles conditions, toute fourniture à des tiers est exclue si elle est susceptible de «porter atteinte de manière déloyale» aux intérêts de la personne concernée ou d’un tiers, ce qui nécessite une mise en balance des intérêts. De plus, conformément à l’article 18, paragraphe 5, de la PIPA, le responsable du traitement doit appliquer des garanties supplémentaires, qui peuvent notamment consister à demander au tiers de limiter la finalité et la méthode du traitement ou de mettre en place des mesures de sécurité spécifiques. Une fois encore, puisqu’il est possible que le pays tiers vers lequel des données à caractère personnel sont transférées ne prévoie pas de protections semblables à celles contenues dans la PIPA, la section 2 de la notification 2021-5 reconnaît qu’une telle «atteinte déloyale» aux intérêts de la personne ou d’un tiers peut survenir et ne peut être évitée que si le responsable du traitement coréen et le destinataire se trouvant à l’étranger assurent, au moyen d’un instrument juridiquement contraignant (comme un contrat), un niveau de protection équivalent à celui prévu par la PIPA, y compris en ce qui concerne les droits des personnes concernées.