Brexit : la poursuite du transfert des données à caractère personnel vers le Royaume-Uni sans encadrement est autorisée
La Commission européenne a adopté deux décisions d’adéquation afin de continuer à transférer les données à caractère personnel vers le Royaume-Uni sans encadrement plus spécifique.
L’adoption de décisions d’adéquation par la Commission européenne permet de simplifier et de fluidifier les transferts de données à caractères personnel en provenance de l’Union Européenne vers les pays tiers sans compromettre leur niveau de protection. De cette manière, dans le cas où un pays tiers possède « un niveau de protection adéquat », le transfert des données personnelles vers ce pays sans autorisation spécifique est possible.
Pour faciliter le flux de données personnelles vers le Royaume-Uni, pays tiers depuis le 1er janvier 2021 suite au Brexit, la Commission européenne a adopté le 28 juin dernier deux décisions d’adéquation. Ces décisions d’adéquation prennent le relais des dispositions transitoires établies par l’Union Européenne et le Royaume-Uni. En effet, un accord de commerce et de coopération avait été conclu entre l’Union Européenne et le Royaume-Uni le 24 décembre 2020, prévoyant notamment que le RGPD resterait applicable de manière transitoire au Royaume-Uni pour une durée de six mois. Jusqu’au 1er juillet 2021, le transfert de données personnelles vers le Royaume-Uni avait perduré dans le cadre antérieur, sans que le Royaume-Uni soit considéré comme un pays tiers.
Ainsi, par ces deux décisions, la première portant sur le RGPD, et la seconde sur la protection des données dans le domaine répressif, la Commission européenne considère désormais que le niveau de protection des données britannique est « substantiellement équivalant » à celui garanti par la législation européenne.
De ce fait, la Commission européenne accorde la poursuite du transfert de données personnelles des ressortissants européens vers le Royaume-Uni – considéré comme pays tiers – sans encadrement plus spécifique, laissant donc aux responsables de traitement et aux sous-traitants la liberté de mettre en œuvre ces traitements, sans conditions complémentaires.
Cependant, les transferts effectués aux fins du contrôle britannique de l’immigration ne font pas partie du champ d’application de la décision d’adéquation au titre du RGPD, exclusion qui sera examinée par la Commission européenne dès que la situation aura trouvé sa solution auprès du droit britannique.
Par Anne-Marie Pecoraro et Corinne Khayat.
Sources :
« Brexit : le transfert de données personnelles vers le Royaume-Uni est possible sans encadrement », 27/10/2021, © Editions Francis Lefebvre 2021
https://brexit.gouv.fr/sites/brexit/accueil/vous-etes-une-entreprise/protection-des-donnees.html
https://eur-lex.europa.eu/legal-content/FR/TXT/PDF/?uri=CELEX:32016L0680