La Commission européenne a donné ce 28 juin 2021 son feu vert pour le maintien des transferts de données à caractère personnel vers le Royaume-Uni en adoptant une décision d’adéquation au RGPD. Parallèlement, elle a également adopté une décision d’adéquation à la Directive Police-Justice.
Le transfert des données personnelles en dehors de l’Espace économique européen (EEE) est subordonné à l’existence d’une décision d’adéquation ou à la mise en place de garanties appropriées entre l’exportateur et l’importateur de données afin que les personnes concernées par les traitements bénéficient d’un niveau de protection équivalent à celui offert par le Règlement général par la protection des données (RGPD).
Avec le BREXIT, et en l’absence d’une décision d’adéquation, les exportateurs de données auraient ainsi dû mettre en place – à compter du 1er juillet 2021 – des règles d’entreprise contraignantes ou des clauses contractuelles types conformément à l’article 46 du RGPD pour continuer à transférer des données personnelles au Royaume-Uni.
La décision d’adéquation octroyée le 28 juin permet aux responsables de traitement de transférer leurs données au Royaume-Uni sans qu’il ne soit nécessaire de mettre en place des garanties supplémentaires, conformément à l’article 45§3 du RGPD, puisque la Commission reconnait ainsi que le Royaume-Uni assure un niveau de protection adéquat en matière de données personnelles.
Il faut relever cependant que la décision d’adéquation au RGPD adoptée est assortie de garde-fous. Cette décision contient en effet pour la première fois une clause de réexamen : ladite décision expirera par conséquent automatiquement quatre ans après son entrée en vigueur. Elle ne pourra être renouvelée que dans l’hypothèse où le Royaume-Uni continue à assurer un niveau adéquat de protection des données.
Enfin, les transferts aux fins du contrôle de l’immigration britannique sont exclus du champ d’application de la décision d’adéquation RGPD. Cela reflète une décision de justice britannique du 26 mai 2021 relative à la validité et l’interprétation de certaines restrictions des droits de protection des données dans ce domaine. La Commission réévaluera la nécessité de cette exclusion une fois qu’il aura été remédié à la situation en droit britannique.
