La Commission européenne a autorisé, par deux décisions d’adéquation, le transfert de données à caractère personnel vers le Royaume-Uni.
Deux types de transferts vers le Royaume-Uni
Ces deux décisions portent, l’une sur le transfert de données au titre du RGPD, pour l’autre au titre de la Directive Police-Justice.
Des transferts autorisés sans encadrement spécifique
Le Royaume-Uni a le statut de pays tiers depuis que le Brexit a provoqué sa sortie de l’Union européenne. A ce titre, les transferts de données vers ce pays peuvent s’effectuer sauf décision de la Commission européenne.
Désormais, les transferts de données vers le Royaume-Uni peuvent s’effectuer sans conditions ou encadrement juridique préalable. Les entreprises n’auront pas à prévoir la signature de clauses contractuelles types ou de règles contraignantes d’entreprises par exemple.
En effet, par ces décisions d’adéquation, la Commission européenne reconnaît que la législation du Royaume-Uni présente un niveau de protection substantiellement équivalent à celui garanti en vertu de la législation de l’Union européenne.
La décision d’adéquation sur la base du RGPD
Celle-ci porte sur l’ensemble des transferts à l’exception des :
- transferts à des fins de contrôle de l’immigration au Royaume-Uni ou qui relèvent par ailleurs du champ d’application de l’exemption de certains droits des personnes concernées aux fins du maintien d’un contrôle efficace de l’immigration conformément aux règles prévues dans la réglementation britannique.
La déclaration d’adéquation au regard de la directive Police-Justice
Celle-là porte sur les transferts vers des autorités publiques du Royaume-Uni compétentes pour la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière ou l’exécution des sanctions pénales.
Une autorisation provisoire de transferts
En revanche, les décisions d’adéquation n’ont été prises qu’à titre provisoire jusqu’au 27 juin 2025. A cette date, sans une décision qui proroge cet accord, les transferts devront être mis en conformité ou suspendus. Le cas échéant, les entreprises transférant des données vers le Royaume-Uni à cette date devront les encadrer dans les conditions en vigueur.
Par ailleurs, la Commission peut suspendre, abroger ou modifier les décisions d’adéquation s’il n’assure plus ce niveau de protection.
En tout état de cause, les entreprises concernées par des transferts au Royaume-Uni doivent informer les personnes concernées de leur existence conformément au RGPD.
Nos avocats peuvent vous accompagner, n’hésitez pas à nous contacter : paris@lexing.law
Céline Avignon
Robin Nini
Lexing Département Publicité et marketing
• Décision d’exécution C(2021)4800 du 28-06-2021 sur le transfert de données au titre du RGPD
• Décision d’exécution C(2021)4801 du 28-06-2021 au titre de la Directive Police-Justice.