Expertises des Systèmes d'information - Mars 2021 - N°466 - Le mensuel du droit de l'informatique et du multimédia - 120

D

O

C

T

R

I

N

E

(l'« ICO ») perdrait toute compétence
relative aux BCR dont elle disposait
en vertu du RGPD. Par conséquent,
chaque groupe d'entreprises dont
les BCR ont été approuvées par l'ICO
devait désigner une nouvelle autorité
de contrôle de l'EEE compétente,
avant le 31 décembre 2020, qui sera en
charge, après avis du CEPD, d'émettre
une nouvelle décision d'approbation
de ces BCR. Si la transition n'a pas été
faite avant le 31 décembre 2020, les
groupes d'entreprises ne pourront
pas compter sur leur BCR comme
mécanisme de transfert valable pour
les transferts de données en dehors
de l'EEE après la fin de la période de
transition5.
Les codes de conduite et la certification sont également des garanties
possibles, permettant l'encadrement
des transferts internationaux de
données personnelles.
Enfin, des dérogations aux garanties
prévues à l'article 49 du RGPD, d'interprétation stricte, sont également
prévues.
Fin du guichet unique pour les entreprises du Royaume-Uni ne disposant
pas d'un établissement principal sur
le territoire de l'Espace économique
européen

Fin du guichet unique.
Le mécanisme de guichet unique,
mécanisme de coopération en
matière de protection des données,
vise à faciliter la coopération entre les
autorités de contrôle européennes.
Ce mécanisme est disponible pour
les entreprises (responsable de traitement ou sous-traitant) (i) ayant des
établissements au sein de plusieurs
Etats membres ou (ii) qui traitent les
données personnelles de personnes
résidant dans plusieurs pays européens. Ce mécanisme permet alors
aux entreprises concernées de n'avoir
qu'un seul interlocuteur en matière
de conformité au RGPD, l'autorité
chef de file.
Cette autorité chef de file, celle du
pays où se trouve l'établissement
principal de l'entreprise, doit coopérer

120

avec les autres autorités de protection
de données concernées par les
traitements de données transfrontaliers mis en œuvre par l'entreprise.
L'autorité chef de file devra coordonner la prise de décision commune à
l'égard des traitements en cause. Les
autorités de contrôle de chaque pays
membre concerné peuvent ainsi
se saisir d'une affaire européenne
de traitements transfrontaliers et
édicter une décision unique harmonisée et coordonnée avec la politique
commune européenne en la matière
qui s'appliquera dès lors dans toute
l'Union européenne.
À la suite du Brexit, et depuis le
1er janvier 2021, l'ICO n'est plus
considérée comme autorité chef de
file, la période transitoire, de quatre
(ou six) mois, ouverte par l'accord de
commerce et de coopération n'étant
pas applicable à cette procédure.
Ainsi, alors même que le cadre juridique pour la protection des données
à caractère personnel reste inchangé
pour les personnes concernées et
les organismes durant cette période
supplémentaire, les difficultés potentielles liées au traitement de données
à caractère personnel entre le
Royaume-Uni et des pays membres
de l'Union européenne ne seront
plus traitées par une même autorité
chef de file. Seuls les responsables de
traitement et sous-traitants britanniques possédant un établissement
principal établi dans l'espace économique européen peuvent continuer à
bénéficier du mécanisme de guichet
unique, en désignant une nouvelle
autorité chef de file auprès de l'autorité de contrôle de leur établissement
principal au sein de l'UE.
La Cnil a indiqué que les autorités de
contrôle européennes « ont entretenu des contacts avec l'ICO au cours
des derniers mois afin de permettre
une transition ordonnée vers cette
nouvelle situation, en veillant à ce
que les autorités de l'Union suivent
une approche coordonnée dans le
traitement des plaintes existantes et
des cas transfrontaliers impliquant
l'ICO, afin de minimiser les éventuels
retards et inconvénients pour les
plaignants concernés. »
EXPERTISES Mars 2021

L'obligation réciproque de désignation de représentants.
Depuis le 1er janvier 2021, les responsables de traitement et sous-traitants
britanniques dont les activités de
traitement sont soumis au RGPD, au
titre de son article 3, doivent désigner
un représentant au sein de l'Union
européenne.
Ainsi, si une entreprise britannique,
n'ayant aucun établissement, au sens
de la jurisprudence européenne, au
sein de l'Union européenne, traite
les données personnelles d'individus
se trouvant sur le territoire de l'UE
en lien avec (i) une offre de biens ou
de services à ces personnes, qu'un
paiement soit exigé ou non desdites
personnes ou (ii) le suivi du comportement de ces personnes, intervenant
au sein de l'UE, alors cette entreprise
devra désigner un représentant au
sein de l'UE, conformément à l'article
27 du RGPD, sauf certains cas limités
(article 27-2).
Il en est de même pour les entreprises
européennes, n'ayant pas d'établissement au Royaume-Uni, et remplissant les mêmes conditions en terme
d'activité de traitement (offre de
biens ou services à des personnes au
Royaume-Uni ou suivi du comportement d'individus au Royaume-Uni),
qui devront désigner un représentant
au Royaume-Uni.

Florence CHAFIOL
Avocate associée

Alice HOURQUEBIE
Avocate
August Debouzy
Notes
(1)	

«  Accord de commerce et de coopération
entre l'Union européenne et la Communauté
européenne de l'énergie atomique, d'une part,
et le Royaume-Uni de Grande-Bretagne et d'Irlande du Nord, d'autre part »

(2)	

Article FINPROV.10A: Disposition provisoire
concernant la transmission de données à
caractère personnel au Royaume-Uni

(3)	

CJUE 16 juill. 2020, DPC c. Facebook Ireland Ltd
et M. Schrems, aff. C-311/18

(4)	

https://www.cnil.fr/fr/invalidation-du-privacy-shield-les-premieres-questions-reponses-du-cepd

(5)	

EDPB - Information note on BCRs for Groups of
undertakings /enterprises which have ICO as
BCR Lead SA (22 juilet 2020).
https://www.cnil.fr/fr/invalidation-du-privacy- shield-les-premieres-questions-reponses- du-cepd
Expertises des Systèmes d'information - Mars 2021 - N°466 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Mars 2021 - N°466 - Le mensuel du droit de l'informatique et du multimédia
