Quel sera l'impact du Brexit sur le RGPD ?

À la suite de la sortie du Royaume-Uni de l’Union européenne, de nombreuses organisations se demandent quel sera l’impact du Brexit sur le RGPD et quelles mesures il convient de prendre pour se conformer aux nouvelles lois et réglementations.

L’entrée en vigueur du RGPD, le 25 mai 2018, a marqué le plus grand bouleversement des lois sur la protection des données depuis 20 ans. Cette législation a été conçue pour harmoniser les règles en matière de protection des données au sein de l’Union européenne et pour reconnaître les droits des personnes physiques concernant l’utilisation de leurs données à caractère personnel.

Au cours des deux dernières années, les organisations ont consacré beaucoup de temps et d’efforts à l’amélioration de leurs processus de protection des données et à la mise en œuvre de nouvelles mesures visant à se conformer à cette législation historique.

Cet engagement en faveur de la protection des données n’a pas été vain, car bon nombre des mesures mises en œuvre resteront d’actualité et ne modifieront pas la manière dont les entreprises basées au Royaume-Uni traitent les données des personnes concernées sur le territoire britannique.

Toutefois, maintenant que le Royaume-Uni a officiellement quitté l’Union européenne, les organisations devront évaluer les changements à apporter pour garantir le respect de la législation applicable en matière de protection des données.

Afin de répondre à toutes les questions que vous pourriez vous poser, nous avons élaboré un petit guide qui présente les implications de ces changements pour votre entreprise.

Brexit et RGPD : tout ce que vous devez savoir

Le RGPD s’appliquera-t-il toujours au Royaume-Uni ?

Le^1er janvier 2021, le RGPD de l’UE a cessé de s’appliquer au Royaume-Uni, puisqu’il s’agit d’un règlement européen. Toutefois, si votre entreprise exerce ses activités au Royaume-Uni, vous devrez toujours vous conformer à la législation britannique en matière de protection des données. Le gouvernement britannique a transposé le RGPD dans le droit britannique sous le nom de « RGPD britannique ».

Concrètement, cela signifie que très peu de choses ont changé. Certaines modifications ont été apportées afin de tenir compte du statut du Royaume-Uni en dehors de l’UE, mais pour l’essentiel, les principes fondamentaux de protection des données, ainsi que les droits et obligations prévus par le RGPD, restent inchangés et ont été repris dans le RGPD britannique.

Le RGPD s’appliquera-t-il toujours si votre entreprise exerce ses activités dans l’Espace économique européen (EEE) ?

Oui. Si votre entreprise exerce ses activités en Europe, propose des biens ou des services à des personnes physiques en Europe, ou si vous surveillez le comportement de personnes physiques en Europe, le RGPD de l’UE s’appliquera toujours. Si votre organisation mène des activités de traitement à la fois dans l’UE et au Royaume-Uni, vous devrez vous conformer à la fois au RGPD britannique et au RGPD de l’UE.

Quel est l’impact du Brexit sur les transferts internationaux de données ?

Dans le cadre du nouvel accord commercial, l’UE a accepté de reporter les restrictions en matière de transfert de données pour une période limitée pouvant aller jusqu’à quatre mois, prolongeable jusqu’à six mois. Ce mécanisme transitoire permettra la libre circulation des données à caractère personnel depuis l’Espace économique européen (EEE) vers le Royaume-Uni jusqu’à ce qu’une décision d’adéquation soit prise.

Le Royaume-Uni ayant désormais quitté l’Union européenne, il est considéré comme un « pays tiers » par rapport à l’Europe au sens du RGPD. Les pays tiers sont des États qui ne relèvent pas du champ d’application du RGPD de l’Union européenne. Les transferts de données de l’Union européenne vers des pays tiers sont soumis à des restrictions, sauf si la Commission européenne accorde un statut dit « d’adéquation ».

La Commission européenne accorde le statut d’adéquation aux pays dont le niveau de protection des données est jugé adéquat. Parmi les autres pays auxquels l’UE a accordé ce statut figurent l’Argentine, la Nouvelle-Zélande, Israël et le Japon. Si le Royaume-Uni se voit accorder ce statut, la libre circulation des données à caractère personnel se poursuivra sans aucune nouvelle restriction.

L’UE sera-t-elle un cadre approprié pour les transferts de données en provenance du Royaume-Uni ?

Oui. Le gouvernement britannique a confirmé qu’il reconnaîtrait, à titre transitoire, que l’UE offre un niveau de protection adéquat afin de permettre les flux de données en provenance du Royaume-Uni sans qu’aucun mécanisme de transfert supplémentaire ne soit nécessaire.

Votre entreprise aura-t-elle besoin d’un représentant européen ?

Si votre entreprise propose des biens ou des services à des personnes physiques situées dans l’EEE ou si vous surveillez le comportement de personnes physiques situées dans l’EEE, vous devrez peut-être désigner un représentant dans l’UE. De même, si votre entreprise n’est pas établie au Royaume-Uni mais que vous traitez les données à caractère personnel de citoyens britanniques, vous devrez peut-être désigner un représentant au Royaume-Uni conformément au RGPD britannique.

Quel sera le rôle de l’ICO ?

L’ICO restera l’organisme de contrôle indépendant chargé de veiller au respect de la législation britannique en matière de protection des données. Toutefois, il ne fera plus partie des autorités de contrôle de l’UE ; par conséquent, si vous traitez les données de citoyens de l’UE, vous devrez désigner un représentant désigné dans l’UE. L’ICO a clairement indiqué que si vous traitez les données de citoyens de l’UE, vous devrez toujours vous conformer au RGPD.

Qui allez-vous informer en cas de violation de données ?

En cas de violation de données, une entreprise établie au Royaume-Uni contacterait l’ICO. À la suite du Brexit, l’ICO n’enquêtera que sur les incidents liés à la protection des données impliquant des personnes résidant au Royaume-Uni. Si la violation concerne plusieurs nationalités, l’ICO ouvrira une enquête et collaborera avec les autorités de contrôle de chacun des territoires concernés. Si des personnes concernées relevant de la CEE sont impliquées, vous devrez contacter directement les autorités de contrôle compétentes de l’UE.

D’autres réglementations en matière de protection des données seront-elles concernées ?

DPA

La loi britannique de 2018 sur la protection des données (DPA 2018) continuera de s’appliquer, en complément du RGPD britannique.

PECR

Le règlement de 2003 sur la vie privée et les communications électroniques (PECR) définit des règles en matière de marketing, de cookies et de communications électroniques. Il s’agit d’un règlement spécifique au Royaume-Uni dérivé d’un texte législatif européen connu sous le nom de directive « e-privacy » (des projets sont en cours pour remplacer cette directive par le règlement « e-Privacy »). Le PECR restera donc en vigueur et n’est pas affecté par la sortie du Royaume-Uni de l’Union européenne.

NIS

La directive relative à la sécurité des réseaux et des systèmes d’information (NIS) découle également du droit de l’Union européenne, mais est transposée dans la législation britannique. À ce titre, les règles actuelles continueront de s’appliquer. Toutefois, si vous êtes un prestataire de services numériques établi au Royaume-Uni et proposant des services dans l’Union européenne, vous devrez peut-être désigner un représentant dans l’un des États membres de l’Union européenne où vous fournissez vos services.

eIDAS

Le règlement relatif aux services d’identification, d’authentification et de confiance électroniques est également un texte législatif de l’Union européenne, mais il ne s’applique plus au Royaume-Uni. Toutefois, le gouvernement britannique a indiqué qu’il transposerait les règles eIDAS dans le droit britannique ; par conséquent, si vous êtes un prestataire de services de confiance au Royaume-Uni, vous devrez toujours vous conformer à ces règles. De plus, si vous fournissez des services dans l’Union européenne, vous devrez également respecter les règles de l’eIDAS dans les États membres de l’UE.

FOIA

La loi de 2000 sur la liberté d’information fait partie intégrante de la législation britannique et continuera de s’appliquer.

EIR

Le règlement relatif à l’information environnementale est inscrit dans la législation britannique ; il continuera donc de s’appliquer à moins d’être abrogé ou modifié.

Quelles mesures les entreprises devraient-elles prendre après le Brexit ?

Les organisations devront procéder à un examen approfondi de leur politique de confidentialité afin de déterminer si des modifications doivent être apportées. Si votre entreprise est implantée au Royaume-Uni et propose des biens et des services principalement à des clients britanniques, vous n’aurez pratiquement rien à faire. En revanche, si vous fournissez des biens et des services à la fois à l’Union européenne et au Royaume-Uni, des modifications pourraient s’avérer nécessaires. Afin de garantir le respect de la législation applicable en matière de protection des données, votre organisation doit :

1. Cartographiez les flux de données afin de garantir que votre entreprise soit en conformité à la fois avec le RGPD britannique et le RGPD européen.
2. Mettre à jour les registres de traitement afin de se conformer aux exigences du RGPD de l’UE et du RGPD britannique.
3. Vérifiez s’il existe une autorité de contrôle de l’Union européenne susceptible désormais d’être désignée comme autorité de contrôle chef de file (LSA).
4. Mettez à jour les plans d’intervention en cas de faille de sécurité afin de permettre, le cas échéant, la notification à l’ICO et à l’autorité de contrôle de l’UE en cas de faille.
5. Demandez-vous si votre entreprise doit désigner un représentant au Royaume-Uni et/ou dans l’Union européenne.
6. Mettez à jour les déclarations de confidentialité afin de vous assurer qu’elles décrivent en détail les flux de données et qu’elles répondent aux exigences pertinentes des deux législations.
7. Modifiez les contrats et modèles existants afin d’y inclure les références appropriées au RGPD britannique et au RGPD européen.
8. Veuillez examiner s’il sera nécessaire de mettre à jour les analyses d’impact relatives à la protection des données et les évaluations de l’intérêt légitime afin de se conformer au RGPD britannique.
9. Veillez à ce que les garanties appropriées soient mises en place pour les transferts transfrontaliers de données.
10. Déterminez si vous devez désigner un délégué à la protection des données distinct pour le Royaume-Uni et pour l’Union européenne.