Expertises des Systèmes d'information - Juin 2022 - N°480 - Le mensuel du droit de l'informatique et du multimédia - 224

DOCTR INE
DONNÉES PERSONNELLES
Le Royaume-Uni adopte ses
clauses contractuelles types
Les clauses contractuelles types adoptées récemment
par l'ICO constituent à la fois un instrument
de compétitivité économique et une menace pour le
statut d'adéquation du Royaume-Uni.
D
epuis
la
publication
le 4 juin 20211
des nouvelles clauses
contractuelles types par la
Commission européenne
, les exportateurs
de données du Royaume-Uni se
trouvaient dans une situation
paradoxale où malgré le Brexit, ils
devaient continuer à utiliser les
anciennes versions des clauses
contractuelles types qui étaient
désormais obsolètes dans l'Union
européenne.
L'arrêt Schrems II2
a non seulement
invalidé le Privacy Shield mais a
également examiné en détail la
validité des clauses contractuelles
types invoquées par Facebook3
pour
justifier le transfert des données de
M. Schrems vers les Etats-Unis. Si
la Cour n'a pas invalidé ces clauses,
elle a néanmoins affirmé qu'elles ne
suffisaient pas par elles-mêmes à
assurer la conformité d'un transfert
de données au RGPD. En effet, la
Cour a affirmé que les éléments
pertinents du système juridique du
pays concerné devaient également
être pris en compte avant toute
exportation et que les autorités de
contrôle pouvaient interdire les
transferts fondés sur des clauses
contractuelles types si elles estimaient
que ces clauses ne sont pas
ou ne peuvent pas être respectées
dans le pays tiers. Suite à cette
décision, la Commission a entamé
une procédure très rapide de révision
des trois versions existantes
de clauses contractuelles types,
224
qui s'est conclue le 4 juin 2021 par
la publication des nouvelles clauses
contractuelles types4
(« CCT »),
dont le préambule se réfère directement
à l'arrêt Schrems. Pendant
cette période, le Brexit est devenu
effectif le 31 décembre 2020 et si le
Royaume-Uni était toujours lié par
la jurisprudence Schrems II, la décision
de la Commission adoptant les
nouvelles CCT n'y avait aucun effet.
L'Information Commissionner Office
(« ICO »),
l'autorité de contrôle
britannique, a donc alors indiqué
que pour les transferts hors du
Royaume-Uni, seules les anciennes
versions des CCT, adoptées par la
Commission européenne avant
le Brexit, pouvaient être utilisées.
L'ICO a lancé une consultation sur
les nouvelles clauses contractuelles
types qu'elle entendait adopter
entre le 11 août et le 11 octobre 2021,
dont résulte le modèle d'International
Data Transfer Agreement
(« IDTA ») qui est entré en vigueur
au Royaume-Uni le 21 mars dernier.
Les anciennes clauses de l'Union
européenne, qui ne peuvent plus
être utilisées pour de nouveaux
contrats depuis le 27 septembre 2021
et devront être remplacées pour
les contrats en cours à compter
du 27 septembre 2022 voient
cependant leur existence prolongée
au Royaume-Uni jusqu'au
21 septembre prochain pour les
nouveaux contrats et jusqu'au
21 mars 2024 pour les contrats en
cours.
EXPERTISES JUIN 2022
L'adoption de l'IDTA est un premier
exemple intéressant de l'exercice
par les autorités britanniques de leur
pouvoir de divergence, qui permet de
s'interroger sur les meilleures façons
de faire respecter les principes du
droit de la protection des données
personnelles, essentiels pour que le
Royaume-Uni conserve le bénéfice
de l'adéquation, tout en améliorant
la compétitivité de ses entreprises et
l'effectivité des garanties accordées
par les clauses contractuelles types
sans perdre le bénéfice de sa décision
d'adéquation5
.
Des différences de
structuration intéressantes
Tout d'abord, l'ICO propose, pour
les exportateurs de données qui ont
déjà conclu des SCC, de conclure
un simple Addendum à ces SCC
pour gérer les transferts de données
ayant le Royaume-Uni pour origine.
L'Addendum prévoit simplement
le
remplacement des
références
aux dispositions du RGPD par des
références aux dispositions correspondantes
dans la réglementation
britannique. Cet instrument, pensé
pour les groupes de sociétés qui
disposent de filiales à la fois dans
l'Union européenne et au RoyaumeUni,
est une première manifestation
de la flexibilité manifestée par les
autorités britanniques, désireuses
de faire de leur réglementation des
données personnelles un véritable
avantage compétitif en simplifiant
au maximum les formalités
Expertises des Systèmes d'information - Juin 2022 - N°480 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juin 2022 - N°480 - Le mensuel du droit de l'informatique et du multimédia
