Article considérant 38

(38) En vertu du principe «Responsabilité en cas de transfert ultérieur», des règles particulières s’appliquent aux transferts dits «ultérieurs», c’est-à-dire aux transferts de données à caractère personnel d’une organisation participant au CPD UE - États-Unis à un responsable du traitement ou à un sous-traitant tiers, que ce dernier soit situé aux États-Unis ou dans un pays tiers en dehors des États-Unis (et de l’Union). Tout transfert ultérieur ne peut avoir lieu i) qu’à des fins limitées et spécifiques, ii) que sur la base d’un contrat entre l’organisation participant au CPD UE - États-Unis et le tiers [ou d’un dispositif comparable en cas de transfert intragroupe] et iii) que si ce contrat oblige le tiers à prévoir le même niveau de protection que celui qui est garanti par les principes.