Tribunes

Les conséquences (plus ou moins) prévisibles du Brexit sur les services numériques

Etienne Papin est avocat associé du cabinet Feral-Schuhl / Sainte-Marie.

Après l'avertissement de la CNIL sur les données personnelles, la question du Brexit est entrée dans les préoccupations des DSI, RSSI et DPO. Mais les sujets à étudier sont nombreux : les conséquences IT du Brexit ne se limitent pas aux hébergements de données personnelles.

PublicitéAucun pays n'a jamais quitté l'Union européenne. La sortie du Royaume-Uni, qui devait être effective à la fin de ce mois mais qui serait repoussée en juin, est donc un saut dans l'inconnu. L'incertitude est d'autant plus grande que l'on ne sait pas encore si cette sortie sera accompagnée des modalités d'accompagnement négociées avec l'Union européenne ou si celle-ci s'effectuera sans accord : l'hypothèse du « hard Brexit » ou du « no deal ».

Dans l'hypothèse d'un Brexit négocié, en réalité, le statut quo va perdurer jusqu'à décembre 2020. Pendant cette période, rien ne change : c'est comme si le Royaume-Uni était encore dans l'Union européenne. Royaume-Uni et Union européenne se sont, en fait, « achetés » du temps pour détricoter, au cas par cas, tous les liens juridiques entre le continent et les îles britanniques.

L'appartenance à l'Union européenne procure, en effet, un certain nombre de droits et d'avantages aux citoyens et aux entreprises des Etats membres, résultants des grands principes ayant présidé à la construction de l'Europe et que l'on peut schématiser ainsi :

Libre circulation des biens : pas de barrière douanière ou d'effet équivalent entre les pays européens. Les produits britanniques peuvent être mis sur le marché français comme s'ils étaient des produits fabriqués en France et réciproquement.

Libre circulation des services : une entreprise britannique peut fournir, en France, ses services sans mesures discriminatoires par rapport aux entreprises françaises.

Et bien sûr libre circulation des personnes : pas de visa venant limiter la circulation des Européens au sein de l'Union européenne, pas de restriction à la liberté de s'installer dans n'importe quel pays de l'Union pour les ressortissants des Etats membres.

Avec le « hard Brexit », tous ces droits et libertés s'arrêteront du jour au lendemain. Le Royaume-Uni deviendra un pays aussi étranger à la France que l'Australie, le Népal ou l'Uruguay.

Tentons, avec modestie, de dresser un tableau des conséquences du Brexit sur les services numériques.

Le sort des données personnelles au Royaume-Uni

Au sein de l'Union européenne, les données personnelles peuvent librement circuler. Cela signifie notamment qu'une entreprise française peut avoir ses systèmes d'information hébergés dans n'importe quel Etat membre, notamment le Royaume-Uni.

Lorsque les données personnelles doivent quitter l'Union européenne, la législation (la loi du 6 janvier 1978 et le RGPD) ne permet cette sortie que vers des pays « offrant un niveau de protection adéquate ». Ne sont reconnus comme offrant un niveau de protection adéquate que les pays pour lesquels la Commission européenne a pris une décision d'adéquation. Par exemple, fin janvier 2019, le Japon a ainsi fait l'objet d'une décision d'adéquation permettant le transfert des données personnelles vers ce pays sans contrainte spécifique.

PublicitéDans le cadre de son plan d'urgence pour le Brexit, la Commission européenne a fait savoir qu'elle n'entendait pas prendre une telle décision d'adéquation s'agissant du Royaume-Uni une fois celui-ci hors de l'Union européenne. Il conviendra donc de mettre en oeuvre les autres mécanismes juridiques qui permettent de « sortir » des données personnelles en dehors du territoire de l'Union européenne. Il s'agit principalement des « clauses contractuelles type » et des « règles contraignantes d'entreprise ».

Les entreprises ayant des données personnelles localisées au Royaume-Uni devront donc soit rapatrier ces données dans un Etat membre de l'Union européenne, soit conclure avec l'entité britannique qui traite ces données un contrat spécifique pour permettre la poursuite de cet hébergement conformément aux clauses contractuelles types fournies par la Commission européenne. Les règles contraignantes d'entreprise, de par la relative lourdeur du mécanisme de leur adoption, ne peuvent être envisagées qu'au sein des groupes de sociétés présents des deux côtés de la Manche et pas dans une simple relation client / fournisseur de service.

Le sort des services en provenance du Royaume-Uni

Les services fournis en ligne sont particulièrement exposés aux conséquences du Brexit par le fait qu'ils sont intrinsèquement transfrontaliers.

Lorsque les services ne relèvent pas d'activités réglementées, leur fourniture par une société britannique vers un client français, ou réciproquement, restera possible avec cependant le risque que, à tout moment, une réglementation britannique ou européenne viennent contraindre d'une manière ou d'une autre leur fourniture.

Dans le domaine des services numériques, il y a cependant des activités réglementées. On prendra pour exemple l'activité de services de paiement et de monnaie électronique aujourd'hui essentielle dans bon nombre de services en ligne. Ceux-ci ne peuvent être fournis qu'après agrément des autorités compétentes, c'est-à-dire en France, l'ACPR. Ces services, lorsqu'ils sont fournis en France par une société britannique, le sont en application de la règle européenne dite de « libre prestation ». Autrement dit, les établissements de paiement ou de monnaie électronique agréés par les autorités britanniques peuvent fournir leurs services en France sous réserve de se déclarer à l'ACPR. En cas de « hard Brexit », cela ne sera plus le cas. Les services fournis en France par ces établissements seront, du jour ou lendemain, illicites.

Dans une conférence tenue le 23 novembre 2018, le Président de la Banque de France déclarait : « nous maintenons une vigilance particulière pour les moyens et les petits acteurs, notamment [...] les établissements de paiement et de monnaie électronique. Une enquête de l'ACPR menée en juillet dernier indiquait que seuls [...] 22 % des établissements de paiement et de monnaie électronique exerçant dans le cadre de la libre prestation de services souhaitaient obtenir un agrément d'ici fin 2018 ». Autrement dit, 78% risquent de ne plus avoir le droit de fournir leurs services en France dès la sortie du Royaume-Uni effective.

Le sort des produits en provenance du Royaume-Uni

Si votre entreprise dépend dans son approvisionnement de produits importés du Royaume-Uni, une évolution à la hausse du prix de ces produits est à anticiper car, en l'absence d'accord avec les Britanniques, l'Union européenne pourra réintroduire des droits de douanes et des contrôles douaniers qui viendront renchérir le prix de ces produits et leur délai de livraison.

Les certifications de ces produits, lorsqu'elles sont obligatoires, délivrées par des organismes britanniques ne seront plus valables et l'importation de ces produits en France nécessitera pour l'importateur de faire certifier les produits lors du passage de la frontière.

Le sort des travailleurs

S'agissant des ressortissants britanniques présents dans vos équipes, en cas de « hard Brexit », une ordonnance a été adoptée le 6 février 2019 afin de prendre des mesures transitoires. Les travailleurs britanniques travaillant en France disposeront automatiquement d'un droit de séjour pour une durée de 3 à 12 mois, laquelle durée sera fixée par décret. Pendant cette durée, ces personnes devront faire les démarches nécessaires à l'obtention d'un titre de séjour comme n'importe quel autre étranger non communautaire présent en France. La réciproque sera-t-elle vraie pour les salariés français travaillant dans vos filiales en Grande-Bretagne ? That is the question.

Article rédigé par

Etienne Papin, Avocat associé du cabinet Feral-Schuhl / Sainte-Marie
Avocat au Barreau de Paris, Etienne Papin exerce dans les domaines du droit de l'informatique, de l'internet et des médias. Il conseille des SSII, éditeurs de logiciels, grandes entreprises et personnes publiques pour la rédaction et la négociation de leurs contrats informatiques. Il assiste également ces entreprises lors de procédures judiciaires. Il est associé du cabinet Feral-Schuhl / Sainte-Marie.
Suivez l'auteur sur Google+, Linked In, Twitter