Art. 47. - Il est interdit de communiquer des données à caractère personnel aux tiers sans le consentement exprès donné par n'importe quel moyen laissant une trace écrite, de la personne concernée, de ses héritiers ou de son tuteur sauf si ces données sont nécessaires à l'exercice des missions confiées aux autorités publiques dans le cadre de la sécurité publique ou de la défense nationale, ou s'avèrent nécessaires à la mise en oeuvre des poursuites pénales ou à l'exécution des missions dont elles sont investies conformément aux lois et règlements en vigueur.
L'Instance peut autoriser la communication des données à caractère personnel en cas du refus, écrit et explicite, de la personne concernée, de ses héritiers ou de son tuteur lorsqu'une telle communication s'avère nécessaire pour la réalisation de leurs intérêts vitaux, ou pour l'accomplissement des recherches et études historiques ou scientifiques, ou encore en vue de l'exécution d'un contrat auquel la personne concernée est partie, et ce, à condition que la personne à qui les données à caractère personnel sont communiquées s'engage à mettre en oeuvre toutes les garanties nécessaires à la protection des données et des droits qui s'y rattachent conformément aux directives de l'Instance, et d'assumer qu'elles ne seront pas utilisées à des fins autres que celles pour lesquelles elles ont été communiquées.
Lorsque la personne concernée est un enfant, les dispositions de l'article 28 de la présente loi s'appliquent.

Art. 48. - La demande d'autorisation est présentée à l'Instance dans un délai ne dépassant pas un mois à compter de la date du refus de la personne concernée de communiquer ses données à caractère personnel aux tiers.
L'Instance statue sur la demande dans un délai ne dépassant pas un mois à partir de son introduction.
L'instance informe le demandeur de sa décision dans un délai de quinze jours à compter de la date de la prise de décision, et ce, par lettre recommandée avec accusé de réception ou par tout autre moyen laissant une trace écrite.

Art. 49. - Les données à caractère personnel traitées pour des finalités particulières peuvent être communiquées en vue d'être traitées une autre fois pour les fins historiques ou scientifiques, à condition d'obtenir le consentement de la personne concernée. de ses héritiers ou de son tuteur ainsi que l'autorisation de l'Instance Nationale de Protection des Données à Caractère Personnel.
L'Instance décide selon les cas de supprimer les données susceptibles d'identifier la personne concernée ou de les laisser.
Lorsque la personne concernée est un enfant, les dispositions de l'article 28 de la présente loi s'appliquent.

Art. 50. - Il est interdit, dans tous les cas, de communiquer ou de transférer des données à caractère personnel vers un pays étranger lorsque ceci est susceptible de porter atteinte à la sécurité publique ou aux intérêts vitaux de la Tunisie.

Art. 51. - Le transfert vers un autre pays des données personnelles faisant l'objet d'un traitement ou destinées à faire l'objet d'un traitement ne peut avoir lieu que si ce pays assure un niveau de protection adéquat apprécié au regard de tous les éléments relatifs à la nature des données à transférer, aux finalités de leur traitement, à la durée du traitement envisage, et le pays vers lequel les données vont être transférées ainsi que les précautions nécessaires mises en oeuvre pour assurer la sécurité des données. Dans tous les cas, le transfert des données à caractère personnel doit s'effectuer conformément aux conditions prévues par la présente loi.

Art. 52. - Dans tous les cas, l'obtention de l'autorisation de l'Instance pour effectuer le transfert des données à caractère personnel vers l'étranger est obligatoire.
L'Instance doit statuer sur la demande d'autorisation dans un délai maximum d'un mois à partir de la présentation de la demande.
Lorsque les données à caractère personnel à transférer concernent un enfant, la demande est présentée au juge de la famille.