L’UE rouvre la voie aux transferts de données personnelles vers le Royaume-Uni

Définition des parties prenantes, principes et conditions de traitement, mécanismes de recours… En matière de protection des données personnelles, le cadre législatif britannique est « très similaire » à celui de l’UE. Ainsi en a décidé Bruxelles.

L’analyse s’est faite à l’aune de deux textes. D’un côté, le RGPD. De l’autre, la directive 2016/680, relative à la protection des données dans le domaine répressif. Il en résulte autant de projets de décisions d’adéquation.

Le RGPD donne à la Commission européenne le pouvoir de décréter, par ces décisions d’adéquation, qu’un pays tiers assure un niveau de protection « substantiellement équivalent à celui garanti au sein de l’UE ». Et ainsi d’autoriser les transferts de données à caractère personnel vers ce pays.

Vers un bail de quatre ans pour les données personnelles

Au Royaume-Uni, deux textes font référence : la transposition du RGPD et une loi de 2018 sur la protection des données. Cette dernière donne au ministre d’État la possibilité de modifier le cadre législatif. Mais, souligne Bruxelles, cela ne s’est guère produit, si ce n’est pour préciser les circonstances dans lesquelles les responsables de traitements de données doivent s’acquitter d’une taxe auprès de l’ICO (homologue de notre Cnil).

Le Royaume-Uni est par ailleurs partie à la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel du Conseil de l’Europe. Et s’est engagé à le rester.

On part sur une validité de quatre ans pour les deux décisions d’adéquation. La Commission européenne devra obtenir le feu vert d’un comité composé de représentants des États membres. Pour le moment, un régime provisoire conditionnel est en place jusqu’au 30 juin 2021. Il figure dans l’accord de commerce et de coopération UK-UE.

Illustration principale © dullhunk / CC BY 2.0