La Commission européenne a proposé, vendredi 19 février, que l'Union européenne reconnaisse pendant quatre ans que la législation britannique offre un niveau adéquat de protection lorsque les données personnelles des citoyens de l'Union européenne sont transférées au Royaume-Uni, voire retransférées ultérieurement dans un autre pays tiers.
« Le fait que la libre circulation sécurisée des données à caractère personnel soit garantie est capital pour les entreprises comme pour les citoyens de part et d'autre de la Manche. Le Royaume-Uni a certes quitté l'UE, mais pas la famille européenne en matière de protection de la vie privée », a déclaré la vice-présidente de la Commission, Věra Jourová, dans un communiqué.
En vigueur depuis le 1er janvier, l'accord UE/Royaume-Uni de commerce et de coopération prévoit que, jusqu'à fin juin, le Royaume-Uni reste soumis au règlement général sur la protection des données (RGPD) (2016/679) et à la directive 'protection des données dans le domaine répressif' (2016/680) ainsi que la jurisprudence de la Cour de Justice de l’Union européenne (EUROPE 12632/11).
Dans l'intervalle, la Commission était chargée d'analyser la législation britannique et surtout de s'assurer que des mécanismes sont en place au Royaume-Uni pour garantir que l'adéquation des règles demeure à moyen terme.
« En général, lorsque nous prenons une décision d'adéquation, les deux systèmes sont plutôt différents et nous bâtissons de la convergence, comme nous l'avons fait avec le Japon il y a deux ans », a déclaré une source européenne. Et d'ajouter : « Ici, la situation est légèrement différente, parce que le point de départ est une situation de convergence. Donc les questions étaient : 'Comment ces décisions pourront-elles résister au temps ? Comment traiter les évolutions possibles ?' C'est pour cela que nous avons un mécanisme de monitoring et la possibilité d'abroger la décision d'adéquation en cas de divergence problématique ».
La Commission constate que, outre l'existence d'une autorité britannique indépendante de protection des données et de règles nationales détaillées, toutes les données collectées au Royaume-Uni ou importées sur l'île depuis l'UE, voire du reste du monde, sont traitées de façon identique.
L'une des questions clés a été d'analyser le niveau de protection des citoyens européens dont les données personnelles sont retransférées du Royaume-Uni vers un autre pays tiers ('onward transfer'). « Sur la base du système britannique que nous avons évalué, nous pensons que celui-ci fournit les protections » adéquates et qu'il est « façonné sur le modèle du droit de l'UE », a dit cette source européenne interrogée à ce propos.
Les deux propositions de décision soumises par la Commission devront être adoptées avant fin juin. Le Comité européen de la protection des données (EDPB) rendra un avis indicatif sur la question avant que les États membres ne prennent une décision à la majorité qualifiée au sein du comité compétent.
Pour le juriste autrichien Max Schrems, à l'origine de plusieurs recours liés à la protection des données devant la Cour de justice de l'UE, il y a peu de zones d'ombre concernant la décision d'adéquation relative à l'usage commercial des données personnelles. En revanche, a-t-il dit via Twitter, « des questions se posent clairement concernant une surveillance par le gouvernement britannique des données de l'UE et nécessitent une analyse plus détaillée ».
L'UE a des accords sur la protection des données avec douze juridictions, dont le Japon, la Suisse et le Canada, et elle négocie actuellement avec la Corée du Sud.
Voir les deux projets de décision : http://bit.ly/3pBFndo (Mathieu Bion, avec Marion Fontana)