La l\u00e9gislation europ\u00e9enne et britannique sur la protection des donn\u00e9es contient des restrictions de longue date concernant le transfert de donn\u00e9es personnelles vers des pays tiers en dehors de l’Espace \u00e9conomique europ\u00e9en (EEE) o\u00f9 le pays dans lequel se trouve le destinataire pr\u00e9sente, aux yeux de la Commission europ\u00e9enne, des protections inad\u00e9quates pour ces donn\u00e9es personnelles.<\/p>\n
Cette liste de pays b\u00e9n\u00e9ficiant d’une \u00ab d\u00e9cision d’ad\u00e9quation \u00bb comprend actuellement Andorre, l’Argentine, Guernesey, l’\u00eele de Man, Isra\u00ebl, Jersey, la Nouvelle-Z\u00e9lande, la Suisse et l’Uruguay, avec des conclusions partielles pour le Japon et le Canada.<\/p>\n
Des processus distincts ont \u00e9t\u00e9 mis en place pour permettre les transferts vers les \u00c9tats-Unis. Ceux-ci ont commenc\u00e9 avec le premier \u00ab Safe Harbour \u00bb, qui a \u00e9t\u00e9 annul\u00e9 par la Cour de justice de l’Union europ\u00e9enne (CJUE) dans l’affaire Schrems I en octobre 2015 suite \u00e0 un renvoi de la Haute Cour d’Irlande faisant suite \u00e0 une plainte d’un militant de la protection de la vie priv\u00e9e concernant l’utilisation des donn\u00e9es personnelles par Facebook. Apr\u00e8s une br\u00e8ve p\u00e9riode d’excitation\/panique dans la communaut\u00e9 de la protection des donn\u00e9es, juillet 2016 a vu la mise en place d’un processus de remplacement, \u00ab Privacy Shield \u00bb. Quatre ans plus tard, en juillet 2020, suite \u00e0 un autre renvoi de la Haute Cour irlandaise du m\u00eame militant de la protection de la vie priv\u00e9e, la CJUE a annul\u00e9 Privacy Shield dans l’affaire Schrems II, annulant \u00e0 nouveau un processus distinct permettant le transfert de donn\u00e9es vers les \u00c9tats-Unis et laissant les transferts effectu\u00e9s selon ce processus dans l’incertitude. <\/p>\n
Suite \u00e0 la d\u00e9cision Schrems II, qui sera suivie d’un jugement du tribunal irlandais, l’avis du Bureau du Commissaire \u00e0 l’information du Royaume-Uni est que Privacy Shield n’est plus un moyen valide de transf\u00e9rer des donn\u00e9es personnelles en dehors de l’EEE, et que Privacy Shield ne devrait pas \u00eatre utilis\u00e9 pour l\u00e9gitimer les transferts de donn\u00e9es personnelles vers les \u00c9tats-Unis (en particulier les nouveaux transferts).<\/p>\n
Bien que \u00ab Privacy Shield \u00bb ait \u00e9t\u00e9 annul\u00e9 par la d\u00e9cision de juillet 2020, il y avait \u00e9galement une pr\u00e9occupation que les \u00ab Clauses contractuelles types \u00bb (CCT) qui, si elles sont utilis\u00e9es, permettent \u00e9galement le transfert vers des pays non-EEE sans d\u00e9cision d’ad\u00e9quation (y compris les \u00c9tats-Unis), feraient \u00e9galement l’objet d’un examen par la CJUE. Bien que la cour ait examin\u00e9 les CCT, celles-ci n’ont pas \u00e9t\u00e9 annul\u00e9es, la cour estimant que l’utilisation des CCT ne donne pas automatiquement une l\u00e9gitimit\u00e9 au transfert et que la n\u00e9cessit\u00e9 de mesures suppl\u00e9mentaires devra \u00eatre consid\u00e9r\u00e9e au cas par cas. <\/p>\n
Bien que le jugement indique que les CCT restent un m\u00e9canisme valide, il ajoute une condition pour le responsable du traitement exportateur d’\u00e9tablir, \u00e0 sa propre satisfaction, que les lois r\u00e9gissant le destinataire importateur ne vont pas compromettre les protections autrement garanties par les CCT (essentiellement \u00e9quivalentes). Il reste \u00e0 voir si exiger des responsables du traitement qu’ils \u00e9valuent les lois de chaque pays dans lequel les destinataires peuvent \u00eatre bas\u00e9s pour permettre ce type d’\u00e9valuations au cas par cas est r\u00e9alisable (ou \u00e9quitable, particuli\u00e8rement pour les exportateurs plus petits). Cela introduit la perspective d’un besoin d’\u00c9valuations d’impact des transferts \u00e0 ajouter \u00e0 la liste (apparemment) croissante de documentation pour satisfaire les obligations de tenue de registres et de responsabilit\u00e9. <\/p>\n
L’avis de l’ICO est que pour l’instant, ceux qui exportent des donn\u00e9es personnelles devraient faire le point sur les transferts internationaux qu’ils effectuent et r\u00e9agir rapidement lorsque des orientations et conseils deviennent disponibles. Le Comit\u00e9 europ\u00e9en de la protection des donn\u00e9es et l’ICO se sont tous deux engag\u00e9s \u00e0 produire des orientations suppl\u00e9mentaires, ce sera donc un sujet continu pour l’avenir pr\u00e9visible. <\/p>\n
Sur le sujet des questions continues, les probl\u00e8mes concernant le transfert international de donn\u00e9es personnelles ont un angle Brexit. Suite \u00e0 la p\u00e9riode de transition, le Royaume-Uni deviendra un pays tiers aux fins du transfert de donn\u00e9es personnelles hors de l’EEE. Sans une d\u00e9cision d’ad\u00e9quation de la Commission, ou la n\u00e9gociation et l’approbation d’une forme d’arrangements sp\u00e9ciaux, le Royaume-Uni sera dans la m\u00eame position que tous les autres pays tiers sans d\u00e9cision d’ad\u00e9quation. Sans quelque chose en place, cela fait peser un risque sur le responsable du transfert pour tous les transferts de donn\u00e9es personnelles de l’EEE vers le Royaume-Uni apr\u00e8s la p\u00e9riode de transition, qu’ils soient internes au sein d’une organisation ou vers une entit\u00e9 externe. Bien que les CCT puissent encore \u00eatre utilis\u00e9es pour g\u00e9rer ce risque, des consid\u00e9rations plus approfondies, comme discut\u00e9 ci-dessus, seront n\u00e9cessaires pour s’assurer que leur utilisation est valide. Compte tenu de cela, \u00eatre conscient des transferts de donn\u00e9es de votre organisation de l’EEE vers le Royaume-Uni devrait \u00eatre une priorit\u00e9 et des pr\u00e9parations devraient \u00eatre faites pour assurer une transition en douceur vers les transferts entrants post-Brexit de donn\u00e9es personnelles. <\/p>\n