Transferts de données dans le cadre de la Loi générale sur la protection des données (GDPR) après le retrait du Royaume-Uni de l’UE

À ce jour, les entreprises n’ont pas eu besoin de modifier leur mode de transfert de données à caractère personnel entre la zone économique européenne (EEE) et le Royaume-Uni (R-U) à la suite du Brexit. La situation pourrait changer après le 30 juin 2021 si la Commission européenne ne prend pas de décision appropriée à l’égard du Royaume-Uni.

Vous trouverez ci-dessous une brève chronologie des événements ayant un impact sur la réglementation des transferts de données entre l’EEE et le Royaume-Uni.

Le 31 janvier 2020, le Royaume-Uni a officiellement quitté l’Union Européenne (EU), mais les lois et règlements de l’UE ont continué à s’appliquer aux transferts de données au Royaume-Uni jusqu’au 31 décembre 2020 en vertu d’un accord transitoire conclu entre les deux parties.

La période de transition a pris fin le 1er janvier 2021 et la Loi générale sur la protection des données (GDPR) ne s’applique désormais plus au traitement des données à caractère personnel au Royaume-Uni.

La fin de cette période de transition entraîne deux conséquences majeures pour les organisations qui transfèrent des données entre l’EEE et le Royaume-Uni :

1. le Royaume-Uni est devenu un « pays tiers » aux fins de la Loi générale sur la protection des données (GDPR). Cela signifie que les dispositions du chapitre 5 (nécessitant des garanties appropriées) s’appliquent à tout transfert de données à caractère personnel de la zone économique européenne vers le Royaume-Uni ; et
2. Les organisations étaient tenues de se conformer à la fois à la Loi générale sur la protection des données (GDPR) et aux lois sur la protection des données en vigueur au Royaume-Uni.

En ce qui concerne les transferts de données vers le Royaume-Uni, l’impact de la nécessité pour les organisations de se conformer au chapitre 5 de la Loi générale sur la protection des données (GDPR) a été atténuée par l’accord de commerce et de coopération entre l’Union Européenne et le Royaume-Uni.

L’accord de commerce et de coopération entre l’UE et le Royaume-Uni permet aux organisations de continuer à partager des données à caractère personnel sans qu’il soit nécessaire de mettre en place un mécanisme de transfert alternatif au titre de la Loi générale sur la protection des données (GDPR). Ce régime transitoire a pris fin le 30 juin 2021, mais il a été prévu que la Commission européenne adopte une décision d’adéquation pour le Royaume-Uni avant cette date (le processus a débuté le 19 février 2021).

Lorsque cela se produira, les organisations pourront continuer à transférer des données à caractère personnel vers le Royaume-Uni sans aucune autre condition.