Expertises des Systèmes d'information - Mars 2021 - N°466 - Le mensuel du droit de l'informatique et du multimédia - 119

le Royaume-Uni mettra fin immédiatement à la période transitoire
actuelle.
Donc, une décision d'adéquation
visant le Royaume-Uni devra
permettre de démontrer que le UK
GDPR apporte en matière de données
personnelles une protection équivalente à celle qui existait lorsque le
Royaume-Uni était soumis au RGPD.
Ainsi, le Royaume-Uni rejoindrait les
douze autres pays reconnus comme
offrant une protection adéquate aux
données personnelles (Andorre,
Argentine, Canada (sous conditions),
Iles Féroé, Guernesey, Israël, Isle
of Man, Japon, Jersey, Nouvelle
Zélande, Suisse et Uruguay).
Toutefois, si l'adoption d'une telle
décision d'adéquation semble être le
mécanisme le plus souhaitable afin
d'encadrer le transfert des données
à caractère personnel entre l'Union
européenne et le Royaume-Uni,
certaines critiques s'élèvent sur la
conformité des lois de surveillance
britanniques avec le RGPD, lesquelles
pourraient être considérées comme
trop intrusives pour permettre une
décision d'adéquation. Dans le cadre
de la décision «  Schrems II  », la
CJUE a ainsi invalidé le mécanisme
de transfert existant entre l'Union
européenne et les Etats-Unis basé
sur le Privacy Shield et a estimé
que « les exigences du droit américain,
et en particulier certains programmes
permettant l'accès des autorités
publiques américaines aux données
personnelles transférées de l'UE vers
les États-Unis à des fins de sécurité
nationale, entraînent des limitations
de la protection des données personnelles qui ne sont pas circonscrites de
manière à satisfaire à des exigences
essentiellement équivalentes à celles
requises par le droit de l'UE, et que
cette législation n'accorde pas aux
personnes concernées des droits de
recours devant les juridictions contre
les autorités américaines4. »
La législation britannique en matière
de surveillance fait également l'objet
de critiques qui seront sans doute
prises en compte par la Commission
européenne lors de son évaluation.

A défaut d'une décision d'adéquation
de la Commission européenne à
l'issue de cette période transitoire
maximale de six mois, tout transfert
de données personnelles vers le
Royaume-Uni sera considéré comme
un transfert vers un pays tiers et devra
être encadré par les garanties prévues
au chapitre V du RGPD.
Les clauses contractuelles types. Le
recours aux clauses contractuelles
types adoptées par la Commission
européenne (les «  CCT  ») est
l'une des garanties considérées
comme « appropriées » au regard du
chapitre V du RGPD. Elles prennent la
forme d'un contrat entre l'exportateur
de données européen et l'importateur
de données établi dans un pays tiers.
Ce modèle de clauses est actuellement en cours de révision pour
prendre en compte les conséquences
de la décision Schrems II de la CJUE.
En effet, la CJUE a confirmé la validité
du mécanisme des clauses contractuelles types afin d'encadrer les transferts de données personnelles hors de
l'Union européenne, sous réserve de
deux nouvelles contraintes :
■	 Une analyse au cas par cas, pour
tout transfert, de la législation du
pays destinataire des données doit
être effectuée par l'exportateur,
pour déterminer :
■	 le niveau de protection assuré
dans le pays tiers concerné, ou
■	 si la législation du pays tiers
porte atteinte à l'efficacité des
instruments juridiques concernés
(notamment les CCT).
■	 Si cette évaluation fait apparaître
une atteinte à l'efficacité des
instruments juridiques concernés
(ce qui est manifestement le cas
des Etats-Unis, et ce qui fait l'objet
d'inquiétudes concernant la législation britannique), des mesures
supplémentaires doivent être
mises en place.
■	 Enfin, si l'ensemble formé par les
mesures supplémentaires et les
CCT ne permet pas de garantir le
respect des garanties appropriées :
■	 l'exportateur des données est alors
tenu de suspendre ou de mettre fin
au transfert ; ou
EXPERTISES Mars 2021

■	 si

l'exportateur de données
souhaite quand même procéder au
transfert en dépit du non-respect
des garanties appropriées, il doit
notifier son autorité de contrôle
compétente (en France, la Cnil).

La question de l'efficacité de ces CCT
concernant des transferts de données
à destination du Royaume-Uni pourrait néanmoins être remise en cause,
au regard de critiques soulevées
concernant la législation britannique
en matière de surveillance. En effet, il
n'existe aujourd'hui aucune mesure
supplémentaire faisant consensus et
permettant a priori d'empêcher de
façon certaine et efficace un accès
aux données personnelles par les
autorités du pays destinataire des
données.
Les BCR. Les règles internes contraignantes dites « BCR » correspondent
aux règles internes relatives aux
transferts de données à caractère
personnel vers des pays tiers au sein
d'un même groupe d'entreprises.
Ces règles, objet d'une autorisation
préalable par l'autorité chef de file,
sont un véritable outil de compliance.
Néanmoins, la même problématique concernant les CCT touche
les BCR  : en effet, la possibilité de
transférer des données à caractère
personnel sur la base de BCR dépendra du résultat de l'évaluation que
doit faire l'exportateur de données,
compte tenu des circonstances du
transfert et des mesures supplémentaires qu'il pourrait mettre en place.
Ces mesures supplémentaires ainsi
que les BCR, après une analyse au cas
par cas des circonstances entourant
le transfert, devraient garantir que la
législation du pays tiers n'empiète pas
sur le niveau de protection garanti par
ces outils.
Enfin, le Comité européen sur la
protection des données (le « CEPD »)
a précisé dans une note d'information en date du 22 juillet 2020 qu'à
la fin de la période transitoire du
31 décembre 2020, l'autorité britannique de protection des données,
l'Information Commissioner's Office,

119
Expertises des Systèmes d'information - Mars 2021 - N°466 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Mars 2021 - N°466 - Le mensuel du droit de l'informatique et du multimédia
