Le Brexit sera mis en \u0153uvre le 29 mars 2019, date officielle \u00e0 partir de laquelle le Royaume-Uni cessera de faire partie de l\u2019Union europ\u00e9enne. Cette sortie de l\u2019Union europ\u00e9enne s\u2019accompagne de nombreuses probl\u00e9matiques juridiques, notamment sur le point de savoir, en l\u2019absence d\u2019accord avec l\u2019Union europ\u00e9enne (\u00ab\u00a0no-deal Brexit\u00a0\u00bb), comment seront encadr\u00e9s \u00e0 l\u2019avenir les \u00e9changes de donn\u00e9es \u00e0 caract\u00e8re personnel avec le Royaume-Uni.<\/p>\n
<\/p>\n
Le Comit\u00e9 Europ\u00e9en de la Protection des Donn\u00e9es vient de publier une note d\u2019information<\/a> relative au sort des transferts de donn\u00e9es \u00e0 caract\u00e8re personnel depuis un Etat membre de l\u2019Union europ\u00e9enne vers le Royaume-Uni en cas de \u00ab\u00a0no-deal Brexit\u00a0\u00bb.<\/p>\n Dans cette hypoth\u00e8se, les transferts de donn\u00e9es \u00e0 caract\u00e8re personnel vers un sous-traitant au Royaume-Uni devront faire l’objet d’un encadrement sp\u00e9cifique \u00e0 compter de la date effective du Brexit. En effet, sauf exception, en\u00a0l\u2019absence de d\u00e9cision d\u2019ad\u00e9quation de la Commission europ\u00e9enne au profit du Royaume-Uni, il conviendra d\u2019encadrer de tels transferts de donn\u00e9es \u00e0 caract\u00e8re personnel par des garanties appropri\u00e9es (cf. article 46 du r\u00e8glement europ\u00e9en (UE) 2016\/67 9 du 27 avril 2016 dit \u00ab r\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es \u00bb<\/a> (\u00ab RGPD \u00bb)), \u00e0 savoir notamment par la conclusion de clauses contractuelles types, l\u2019adoption de r\u00e8gles d\u2019entreprise contraignantes (\u00ab\u00a0Binding Corporate Rules\u00a0\u00bb), la conclusion de clauses contractuelles ad hoc (sous r\u00e9serve de l\u2019autorisation de l\u2019autorit\u00e9 de contr\u00f4le comp\u00e9tente),\u2026<\/p>\n Pour autant, le gouvernement anglais a d\u2019ores et d\u00e9j\u00e0 manifest\u00e9 sa volont\u00e9 de faire reconna\u00eetre par la Commission europ\u00e9enne le Royaume-Uni comme disposant d\u2019un niveau de protection ad\u00e9quat<\/a>, ce qui aurait pour effet d\u2019assurer pour l\u2019avenir la lic\u00e9it\u00e9 de tels transferts, sans besoin de proc\u00e9der \u00e0 d\u2019autres formalit\u00e9s.<\/p>\n <\/p>\n Le gouvernement anglais semble consid\u00e9rer<\/a> que le principe de la libre circulation des donn\u00e9es \u00e0 caract\u00e8re personnel depuis le Royaume-Uni vers un Etat membre de l\u2019Union europ\u00e9enne demeure applicable en cas de \u00ab\u00a0no-deal Brexit\u00a0\u00bb.<\/p>\n Toutefois, la position de l\u2019autorit\u00e9 de contr\u00f4le anglaise (\u00ab\u00a0Information Commissioner\u2019s Office\u00a0\u00bb dite \u00ab\u00a0ICO\u00a0\u00bb) est plus nuanc\u00e9e.<\/a> Cette derni\u00e8re rappelle que s’agissant d’un transfert de donn\u00e9es \u00e0 destination d\u2019un autre Etat, qu’il soit ou non\u00a0situ\u00e9 au sein de l\u2019Union europ\u00e9enne, encore faudrait-il pour que ce transfert soit licite que le gouvernement anglais reconnaisse le pays destinataire comme disposant d\u2019un niveau de protection ad\u00e9quat, le m\u00e9canisme des d\u00e9cisions d\u2019ad\u00e9quation issu du droit europ\u00e9en devant a priori \u00eatre maintenu en droit anglais.<\/p>\n En tout \u00e9tat de cause, les d\u00e9cisions d\u2019ad\u00e9quation de la Commission europ\u00e9enne ne pourront plus \u00eatre invoqu\u00e9es \u00e0 l\u2019issue du Brexit pour encadrer de tels transferts puisque les d\u00e9cisions d\u2019ad\u00e9quation, si ce m\u00e9canisme est maintenu, devront \u00e9maner du gouvernement anglais.<\/p>\n S\u2019agissant en particulier des transferts de donn\u00e9es \u00e0 caract\u00e8re personnel vers les Etats-Unis, ceux-ci ne pourront plus \u00eatre encadr\u00e9s par l\u2019adh\u00e9sion du destinataire au \u00ab\u00a0Privacy Shield\u00a0\u00bb en cas de \u00ab\u00a0no-deal Brexit\u00a0\u00bb. Pour autant, le gouvernement am\u00e9ricain rappelle<\/a> qu\u2019il pourrait \u00eatre envisag\u00e9 une p\u00e9riode transitoire jusqu\u2019au 31 d\u00e9cembre 2020. Pendant cette p\u00e9riode, le Royaume-Uni resterait soumis au droit europ\u00e9en, y compris au RGPD, ce qui permettrait d\u2019encadrer les transferts depuis le Royaume-Uni vers les Etats-Unis du fait de l’adh\u00e9sion de l’entreprise destinataire au \u00ab\u00a0Privacy Shield\u00a0\u00bb. A l\u2019issue de cette phase de transition, le m\u00e9canisme du\u00a0\u00ab\u00a0Privacy Shield\u00a0\u00bb pourrait alors \u00eatre \u00e9tendu \u00e0 de tels transferts.<\/p>\n Ainsi, outre la r\u00e9gularisation n\u00e9cessaire des transferts de donn\u00e9es \u00e0 caract\u00e8re personnel depuis l’Union europ\u00e9enne vers le Royaume-Uni, il conviendra \u00e9galement porter une attention particuli\u00e8re aux transferts de telles donn\u00e9es depuis le Royaume-Uni.<\/p>\n <\/p>\n *\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 *<\/p>\n *<\/p>\n <\/p>\n Si le gouvernement anglais a manifest\u00e9 sa volont\u00e9 de conserver en droit anglais les principes et m\u00e9canismes europ\u00e9ens en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel<\/a>, il demeure de nombreuses incertitudes quant \u00e0 la p\u00e9riode transitoire post-Brexit s\u2019agissant des flux de telles donn\u00e9es vers et depuis le Royaume-Uni.<\/p>\n Aussi, en l\u2019absence d\u2019accord sp\u00e9cifique sur ces sujets malgr\u00e9 l\u2019imminence de la mise en \u0153uvre du Brexit, les responsables de traitement en Union europ\u00e9enne \u00e9changeant des donn\u00e9es avec le Royaume-Uni doivent faire preuve de proactivit\u00e9 en prenant en consid\u00e9ration la n\u00e9cessit\u00e9 d\u2019encadrer de tels flux avec leurs sous-traitants, partenaires, etc.\u00a0au moyen d’une revue des contrats existants\u00a0(rendue en tout \u00e9tat de cause indispensable avec l\u2019adoption du RGPD) et d’une mise \u00e0 jour des mod\u00e8les de contrats pour le futur.<\/strong> Il leur appartient \u00e9galement de proc\u00e9der \u00e0 une veille vigilante de l\u2019actualit\u00e9 sur ce sujet afin d’anticiper la situation \u00e0 venir \u00e0 l\u2019issue de la p\u00e9riode transitoire post-Brexit, dont la dur\u00e9e est incertaine.<\/p>\n Enfin, et pour m\u00e9moire, l’existence de transferts de donn\u00e9es \u00e0 caract\u00e8re personnel \u00e0 destination d\u2019Etats situ\u00e9s hors Union europ\u00e9enne ainsi que les garanties encadrant de tels flux doivent imp\u00e9rativement \u00eatre pr\u00e9cis\u00e9s dans les mentions d\u2019information \u00e0 l\u2019attention des personnes concern\u00e9es (cf. articles 13 et 14 du RGPD). Ainsi, au lendemain du Brexit et le cas \u00e9ch\u00e9ant \u00e0 l\u2019issue de la p\u00e9riode transitoire post-Brexit, il conviendra d\u2019ajuster \u00e0 cette fin l\u2019ensemble des mentions d\u2019information \u00e0 l\u2019attention des personnes concern\u00e9es lorsque leurs donn\u00e9es \u00e0 caract\u00e8re personnel font l\u2019objet d\u2019un transfert vers le Royaume-Uni. Il sera \u00e9galement n\u00e9cessaire de mettre \u00e0 jour la documentation interne de l’organisme concern\u00e9, et notamment le registre des activit\u00e9s de traitement de donn\u00e9es \u00e0 caract\u00e8re personnel, afin d’y indiquer ces nouveaux transferts hors Union europ\u00e9enne ainsi que les nouvelles garanties mises en \u0153uvre pour encadrer de tels transferts.<\/p>\n En tout \u00e9tat de cause, il serait a minima opportun que la Commission europ\u00e9enne adopte rapidement une d\u00e9cision d\u2019ad\u00e9quation reconnaissant le Royaume-Uni comme offrant un niveau de protection des donn\u00e9es ad\u00e9quat, ce qui permettrait de simplifier l\u2019encadrement des transferts de donn\u00e9es depuis l\u2019Union europ\u00e9enne vers le Royaume-Uni.<\/p>\n Affaire \u00e0\u00a0suivre…<\/p>\n <\/p>\n Par AGIL’IT<\/a> – P\u00f4le IT & Data protection<\/a><\/p>\nQuel encadrement des transferts de donn\u00e9es \u00e0 caract\u00e8re personnel depuis le Royaume-Uni apr\u00e8s le Brexit\u00a0?<\/strong><\/h2>\n