Expertises des Systèmes d'information - Mars 2021 - N°466 - Le mensuel du droit de l'informatique et du multimédia - 118

D

O

C

T

R

I

N

E

DONNÉES PERSONNELLES

Transferts de données
de l'UE vers le Royaume-Uni !
L'impact du Brexit
Après la période transitoire prévue par l'accord de
commerce et de coopération entre l'UE et le RoyaumeUni, une solution doit être trouvée pour permettre les
transferts de données.

L

'accord de commerce et de
coopération entre l'UE et le
Royaume-Uni a créé une
période de transition de
quatre mois (voire six mois) à partir
du 1er janvier 2021 pour permettre
à la Commission européenne de
disposer d'une période complémentaire afin d'effectuer une évaluation
formelle de l'adéquation de la législation britannique en matière de
protection des données au titre de
l'article 45 du RGPD. Les entreprises
britanniques ne possédant pas
d'établissement au sein de l'UE ont
perdu néanmoins le bénéfice du
mécanisme de guichet unique.

Une sortie de l'Union
européenne toujours
sous transition
A la suite du référendum sur le
retrait du Royaume-Uni de l'Union
européenne voté le 23 juin 2016,
et aux termes de longs mois de
négociation, l'Union européenne
et le Royaume-Uni sont finalement
parvenus à un accord de retrait,
applicable depuis le 1er janvier 2021.
Dans le cadre de cet accord, et afin
d'organiser les modalités de la
future coopération entre l'Union
européenne et le RoyaumeUni, un accord de commerce et
de coopération a été conclu le
24 décembre 20201.
Le Royaume-Uni n'est donc plus un
État membre de l'Union européenne
et ainsi ne serait plus soumis aux
directives et règlements européens,

118

dont le fameux Règlement général
sur la protection des données
(le « RGPD »).
Cependant, l'accord de commerce
et de coopération prévoit une
période transitoire, de quatre mois,
qui peut être étendue à six mois,
sous certaines conditions ; pendant
cette période,  «  la transmission de
données à caractère personnel de
l'Union au Royaume-Uni n'est pas
considérée comme un transfert
vers un pays tiers en vertu du droit
de l'Union2  ». Cette disposition
transitoire a pour objectif de laisser
plus de temps à la Commission
européenne pour prendre une
décision d'adéquation à l'encontre
du Royaume-Uni. L'objectif de cette
approche est d'éviter aux acteurs
concernés d'avoir à mettre en place,
à tout le moins de manière temporaire, des garanties appropriées pour
encadrer les transferts de données
personnelles vers le Royaume-Uni,
conformément au Chapitre V du
RGPD (comme les clauses contractuelles types, elles-mêmes objet
d'une refonte par la Commission
européenne, et mises en cause suite
à l'arrêt Schrems II du 16 juillet 2020
de la Cour de justice de l'Union
européenne (la «  CJUE  »)3, ou les
règles d'entreprises contraignantes
(ou BCR)). Il est important de noter
que le Royaume-Uni a d'ores et déjà
jugé que les législations en matière
de protection des données personnelles des États membres de l'UE, des
États de l'Espace économique européen (l'« EEE ») et de la Suisse étaient
EXPERTISES Mars 2021

adéquates au regard des exigences
de la législation britannique. Une
réévaluation de cette adéquation est
prévue dans quatre ans.
Aussi, selon l'issue de cette période
transitoire, différentes solutions
s'offriront aux acteurs soumis au
RGPD, effectuant un transfert de
données personnelles à destination
du Royaume-Uni. Par ailleurs,
le Brexit marque la fin depuis le
31 décembre 2020 du « mécanisme
du  guichet unique  », disposition
relative à la coopération entre l'autorité de contrôle chef de file et les
autres autorités de contrôle concernées, prévue par le RGPD, pour les
entreprises du Royaume-Uni ne
disposant pas d'un établissement
principal sur le territoire de l'Espace
économique européen. En effet, ce
mécanisme ne bénéficie pas de la
nouvelle période transitoire.

Les solutions s'offrant
aux transferts de
données personnelles
vers le Royaume-Uni
La plus souhaitable  : la décision
d'adéquation. La période transitoire
applicable potentiellement jusqu'au
1er juillet 2021 a été décidée afin de
permettre à l'Union européenne de
procéder à l'évaluation de la législation britannique (le «  UK GDPR  »)
afin de prendre ou non une décision
d'adéquation à l'égard du RoyaumeUni en matière de protection des
données personnelles. De fait, une
décision d'adéquation concernant
Expertises des Systèmes d'information - Mars 2021 - N°466 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Mars 2021 - N°466 - Le mensuel du droit de l'informatique et du multimédia
