Blog Données personnelles
Transfert de données personnelles vers le Royaume-Uni : la Commission européenne adopte deux décisions d’adéquation
Le 28 juin dernier, la Commission européenne a adopté deux décisions d’adéquation relatives au Royaume-Uni, l’une dans le cadre du Règlement général sur la protection des données (RGPD) et l’autre au titre de la Directive européenne 2016/680 du 27 avril 2016 dite « Police –Justice ». Par ces décisions, après avoir notamment analysé la législation britannique, dont le United-Kingdom General Data Protection Act (inclus dans le European Union Withdrawal Act de 2018), le Data protection Act et les Data Protection, Privacy and Electronic Ccommunications Regulations de 2019, la Commission européenne reconnaît que le Royaume-Uni assure un niveau de protection des données personnelles équivalent à celui garanti dans l’Union européenne.
Ces décisions d’adéquation interviennent suite au retrait du Royaume-Uni de l’Union européenne le 31 janvier 2020. Le RGPD y demeurant applicable pendant une période transitoire ayant pris fin le 30 juin 2021, le Royaume-Uni a désormais le statut de pays tiers à l’Union européenne. Ces décisions permettent à des responsables de traitement ou des sous-traitants situés dans l’Union européenne de continuer, malgré la fin de la période transitoire, à transférer des données personnelles vers le Royaume-Uni, sans que des autorisations ou garanties supplémentaires ne soient requises pour respecter les règles applicables aux transferts de données personnelles hors de l’Union européenne prévues au Chapitre V du RGPD. Elles facilitent ainsi le transfert de données personnelles vers le Royaume-Uni.
Les deux décisions d’adéquation adoptées par la Commission européenne sont limitées dans leur durée : elles arriveront automatiquement à expiration quatre ans après leur entrée en vigueur et pourront être renouvelées si le Royaume-Uni continue à assurer un niveau adéquat de protection des données personnelles. Dans l’intervalle, la Commission européenne suivra l’évolution de la situation juridique au Royaume-Uni, dont le régime de protection des données personnelles est récent et pourrait évoluer.
Pour rappel, la Commission européenne avait déjà adopté des décisions d’adéquation vis-à-vis d’Andorre, de l’Argentine, des Îles Féroé, de Guernesey, d’Israël, de l’Île de Man, du Japon, de Jersey, de la Nouvelle-Zélande, de la Suisse et de l’Uruguay. Le Canada fait, quant à lui, l’objet d’une décision d’adéquation partielle.
Les décisions d’adéquation adoptées par la Commission européenne le 28 juin 2021 sont accessibles aux adresses suivantes :