Brexit, la suite : le transfert des données à caractère personnel

Le sujet de la protection des données post-Brexit est central car il touche à la fois à celle des citoyens britanniques et européens, au caractère vital du partage pour la prévention et la détection d’activités criminelles et à l’activité économique et financière. Si aujourd’hui de nombreuses banques et autres sociétés de l’Union profitent du cadre législatif européen pour rationaliser le traitement des données, en théorie, la circulation d’une juridiction à l’autre pourrait expirer entièrement au lendemain du Brexit.

Au sein de l’UE, le traitement des données à caractère personnel était il y a encore peu conduit par le régime de protection des données à caractère personnel, avant qu’il ne soit remplacé en mai par le règlement général sur la protection des données (RGPD). Il établit des exigences plus strictes couplées à de lourdes sanctions dans bien des domaines et dont le Royaume-Uni est signataire. Et désormais, tant le R-U que l’Union ont intérêt à conserver les transferts permis par cette législation. Les sociétés de services financiers stockent et traitent continuellement des masses de données à caractère personnel, que ce soit dans le cadre du fonctionnement des comptes des particuliers et des entreprises, l’offre de crédit, les opérations sur titre, etc.

Pour que les flux de données entre le R-U et le reste de la zone puissent être maintenus après le 29 mars 2019, le pays a deux solutions. Soit il entame le processus visant à obtenir une "décision d’adéquation" de la Commission européenne – à l’instar de la Suisse, l’Argentine ou le Canada. Soit il s’appuie sur des mécanismes juridiques alternatifs. Dans le premier cas, la "décision d’adéquation" établit qu’un pays tiers peut assurer un niveau de protection adéquat des données à caractère personnel et autorise de fait leur circulation, sans que le pays tiers n’ait à recourir à d’autres garanties. Sans ce procédé, et donc dans le second cas, les entreprises et institutions individuelles britanniques devront s'appuyer sur des mécanismes juridiques alternatifs, bureaucratiques, générateurs de coûts et de retards. À ce jour, onze pays bénéficient de ladite décision de la Commission et sont soumis à un examen périodique au moins tous les quatre ans.

Bien sûr, du fait de sa position juridique convergente, le Royaume-Uni est bien placé pour recevoir le précieux sésame de la part de l’exécutif européen. Mais encore faudrait-il le demander, d’autant que la décision peut prendre du temps et nécessiter potentiellement des mesures de transition, elles-mêmes lourdes à mettre en place. Par ailleurs, certains moments de l’Histoire ne devraient pas jouer en la faveur du pays sortant, et allonger d’autant plus le délai d’obtention. Car pour rappel, le Royaume-Uni s’était montré défavorable à certaines exigences du RGPD : en 2016 il avait annoncé son retrait sur la disposition restreignant la divulgation de données à caractère personnel à des juridictions ou autorités de réglementation étrangères.

Contacté par WanSquare, Noëlle Lenoir, avocate associée chez Kramer Levin et spécialiste sur ces questions, note que dans le premier le cas - le plus probable - le Royaume-Uni sera exclu des décisions prises par le Comité européen de la protection des données (CEPD) dont le rôle principal est l’application du RGPD. À moins d’une coopération actée avec l’autorité de protection britannique, l’Information Commissioner’s Office (ICO), le pays ne pourra plus fixer les conditions et leur interprétation, alors que beaucoup de questions liées au RGPD restent en suspens et devraient être discutées dans les prochains mois.