Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2017 - n°424 - 195

en matière de cybersécurité qui s'appliquera aux fournisseurs de service
numérique et aux Opérateurs de
services essentiels (OSE) en prenant
en compte les exigences de la directive « NIS« .
Rappelons qu'au sens de la directive précitée, le fournisseur de service
numérique est laconiquement défini
comme « Une personne morale qui fournit un service numérique »8. Pour savoir
ce que la directive entend par « service
numérique », il faut se reporter à une
autre directive, la directive 2015/1535
du 9 septembre 20159. Cette dernière
prévoit une procédure d'information
dans le domaine des réglementations
techniques et des règles relatives aux
services de la société de l'information.
Il s'agit de « tout service presté normalement contre rémunération, à distance,
par voie électronique et à la demande
individuelle d'un destinataire de
services ». La directive NIS vise en
particulier trois fournisseurs de service
numérique : les places de marchés
en ligne, les moteurs de recherche en
ligne et les « services d'informatique
en nuage ». Ces catégories de fournisseurs sont particulièrement larges. De
plus, contrairement aux Opérateurs
de services essentiels, les fournisseurs
de service numérique n'ont pas à être
identifiés par les Etats membres : un
très grand nombre d'acteurs va donc
être concerné par ces nouvelles obligations, parmi lesquels les opérateurs
proposant des prestations SaaS, IaaS,
ou encore PaaS.
Concernant le Royaume-Uni, il ne suffit
pas de savoir que la directive NIS sera
transposée pour résoudre toutes les
questions posées par le Brexit en la
matière.
La directive NIS prévoit l'institution
d'un système de coopération européen autour du signalement des incidents de sécurité dont sont victimes les
opérateurs visés par la directive. La
façon dont le Royaume-Uni sera pris
en compte dans ce système postérieurement à son départ de l'Union reste
floue. Une agence britannique, donc
extra-européenne, pourrait-elle rester
dans ce réseau de coopération ? Quelles
relations aura-t-elle avec les autres

agences comme l'Agence nationale
de sécurité des systèmes d'information
(Anssi) ?
On le voit, pour des questions budgétaires, politiques, ou encore institutionnelles, le Royaume-Uni pourrait
potentiellement se retrouver exclu, à
sa sortie de l'Union, d'un tel réseau de
coopération.

PROTECTION DES DONNÉES,
RGPD ET BREXIT : QUELLE
ARTICULATION ?
Comme la France, le Royaume-Uni
a transposé en droit interne la directive 95/46/CE relative à la protection
des personnes physiques à l'égard du
traitement des données à caractère
personnel et à la libre circulation des
données sur la protection des données
personnelles. Cette loi de transposition,
le « Data Protection Act 1998 »10, est
actuellement en vigueur.
Cependant, la directive va être abrogée
par le Règlement général sur la protection des données lequel sera applicable
le 25 mai 2018. A cette date, le RoyaumeUni sera encore membre de l'Union
européenne. Aussi, le Règlement général sur la protection des données s'appliquera au Royaume-Uni. Seule la
durée de son application est incertaine.
L'autorité de protection britannique,
l'Information Commissioner's Office ou
ICO, se prépare à l'entrée en vigueur du
règlement. Le gouvernement a en outre
évoqué cette application dans le rapport
de décembre 2016 précité. Le flou règne
cependant sur la situation postérieure
au départ du Royaume-Uni de l'Union
européenne. On sait d'ores et déjà que,
comme pour tout acteur économique
extra-européen, le Règlement général
sur la protection des données s'appliquera aux entreprises britanniques
qui traitent des données de personnes
situées sur le territoire de l'Union. Pour
les opérateurs britanniques ne traitant
que de données de citoyens britanniques ou extra-européens, aucune
annonce n'a été faite.
La position des responsables de traitement britanniques et des responsables de traitement européens ayant
des datacenters ou des établissements

EXPERTISES MAI 2017

au Royaume-Uni est à l'heure actuelle
incertaine. Les responsables de traitements doivent, pour effectuer des transferts de données hors de l'Union européenne justifier d'un fondement légal,
ce qui pose un obstacle à ces transferts.
Il est possible que le Royaume-Uni
s'organise pour faire succéder au
Règlement général sur la protection
des données une loi interne reprenant
le texte du règlement européen. A ce
titre, le « Data Protection Act, 1998«
pourrait être modifié. Cela permettrait
au Royaume-Uni de prétendre plus
facilement à une décision d'adéquation de la Commission européenne
telle que prévue à l'article 45 du règlement précité. Une telle décision reconnaît à un pays un niveau de protection
des données à caractère personnel
« essentiellement équivalent » aux
exigences européennes, et permet aux
responsables de traitement de transférer les données à caractère personnel
en dehors du territoire de l'UE. Entre
temps, les opérateurs devront s'appuyer sur d'autres solutions telles que
notamment les clauses contractuelles
types ou à l'extrême ne plus transférer
de données au Royaume-Uni.
La question du maintien de la participation du Royaume-Uni au Privacy
Shield se pose également. Le Privacy
Shield est un accord passé entre la
Commission européenne et les EtatsUnis visant à permettre le transfert de
données personnelles de citoyens européens vers les Etats-Unis. Un accord
similaire existe entre les Etats-Unis et
la Suisse. Or, le texte de l'accord fait
mention des Etats membres de l'UE.
Quand le Royaume-Uni sortira de l'UE,
ses citoyens ne bénéficieront plus des
garanties issues du Privacy Shield,
sauf si un accord similaire est signé
entre le Royaume-Uni et les Etats-Unis.
Enfin, il est possible de s'interroger
sur la place de l'autorité britannique
de protection des données (ICO11). Les
autorités de protection des données
réunies au sein du Groupe de l'Article
29 sont en train de réaliser un travail
d'interprétation du Règlement général sur la protection des données. Des
lignes directrices sont par ailleurs
publiées12, d'autres devraient l'être

195

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Mai 2017 - n°424