Juridique

Brexit : période transitoire de six mois pour le RGPD

---

La sortie du Royaume-Uni de l'Union Européenne, le Brexit, implique une sortie du cadre du RGPD mais celle-ci sera progressive.

PublicitéLe Règlement Général sur la Protection des Données à caractère personnel (RGPD) étant un texte de l'Union Européenne, il ne s'appliquera plus au Royaume-Uni à compter du 1er janvier 2021, date de la sortie effective du Royaume-Uni de l'Union Européenne. De ce fait, tout envoi ou stockage de données personnelles au Royaume-Uni suit à compter de cette date les règles générales de l'extérieur de l'Union Européenne. Cependant, après quatre ans de négociations, un accord a été signé le 24 décembre 2020 pour régler les relations entre l'Union Européenne et le Royaume-Uni. Cet accord inclut des dispositions transitoires sur le RGPD comme le rappelle la CNIL.

Si, dès le 1er janvier 2021, la « CNIL britannique » (l'ICO) ne participe plus au système coordonné des autorités de protection des données personnelles européennes, ce qui implique notamment sa sortie du dispositif dit de « guichet unique » pour régler tous les problèmes relatifs aux données personnelles, « les dispositions du Règlement Général sur la Protection des Données (RGPD) continueront d'être applicables au Royaume-Uni jusqu'au 1er juin 2021 sur les flux de données personnelles vers le Royaume-Uni » comme le rappelle la CNIL. Les entreprises qui utiliseraient des services basés ou opérés au Royaume-Uni ont donc six mois de sursis pour les rapatrier dans l'Union Européenne ou veiller au respect des clauses obligatoires prévues par le RGPD concernant les pays tiers (extérieurs à l'Union Européenne).

Cette période de sursis devra aussi être utilisée pour les entreprises britanniques utilisant ou stockant des données de citoyens européens pour désigner un représentant légal au sein de l'Union Européenne. Même si l'échec récurrent d'une telle disposition à l'égard des Etats-Unis doit rendre prudent, la CNIL indique enfin que la Commission Européenne peut très bien, dans le délai de transition, rendre une « décision d'adéquation ». Une telle décision ferait du Royaume-Uni une zone sure pour les données de citoyens européens, facilitant le recours à ce pays pour stocker et traiter de telles données.

Article rédigé par

Bertrand Lemaire, Rédacteur en chef de CIO

Partager cet article