Une sortie initialement prévue le 29 mars prochain et reportée. Pour rappel, la population britannique a voté, à l’occasion du référendum du 23 juin 2016, en faveur d’une sortie du Royaume-Uni de l’Union européenne à hauteur de 51,9 %. La demande de retrait, au titre de l’article 50 du traité sur l’Union Européenne, a été enclenchée par le gouvernement britannique le 29 mars 2017 et doit entraîner le retrait du Royaume-Uni de l’UE le 29 mars 2019, à minuit (heure de Paris).

Deux scénarios de sortie possibles. Les négociateurs de l’UE et du Royaume-Uni se sont entendus le 25 novembre dernier sur un projet d’accord de retrait du Royaume-Uni de l’UE. Cet accord doit désormais être ratifié par les parlements britannique et européen. Malgré le résultat négatif du vote du 15 janvier 2019 à la Chambre des Communes, l’accord peut encore être ratifié ultérieurement par le Royaume-Uni. Si l’accord de retrait est ratifié, le droit de l’Union européenne cessera de s’appliquer au Royaume-Uni à partir du 1er janvier 2021, à l’issue d’une période de transition de 21 mois, pouvant être étendue à deux ans. Si l’accord de retrait n’est pas ratifié il n’y aura pas de période de transition et le droit de l’Union européenne cessera de s’appliquer au Royaume-Uni à partir du 30 mars 2019.

Dans ses recommandations la CNIL distingue, d’une part, les conséquences pour les responsables de traitements et les sous-traitants, européens (I) et britanniques (II).

Les étapes à suivre selon la CNIL. Dans L’hypothèse du « No-deal Brexit », les transferts de données personnelles vers le Royaume Uni seront considérés comme des transferts de données hors UE. Dès lors, la CNIL invite les responsables de traitements et les sous-traitants européens à :

1. Identifier les activités de traitement constituant un transfert de données personnelles vers le Royaume-Uni ;

2. Déterminer l’outil de transfert le plus approprié à mettre en place pour ces activités de traitement;

3. Procéder à la mise en place de l’outil de transfert choisi pour que celui-ci soit applicable et effectif au 30 mars 2019 ;

4. Mettre à jour sa documentation interne afin d’y inscrire les transferts vers le Royaume-Uni à compter du 30 mars 2019 ;

5. Le cas échéant, mettre à jour l’information aux personnes concernées afin d’indiquer l’existence d’un transfert des données hors de l’UE et de l’EEE s’agissant du Royaume-Uni.

L’obligation d’encadrer les transferts de données vers le Royaume-Uni en l’absence de décision d’adéquation. Le RGPD interdit les transferts de données hors Union européenne, sauf (i) dans certains cas particuliers, ou (ii) si le destinataire est situé dans un pays offrant un niveau de protection déclaré «adéquat» (1) par la Commission européenne, ou enfin (iii) si les parties utilisent des outils juridiques appropriés (2). En cas de Brexit sans accord, la CNIL rappelle que les outils suivants pourront ainsi permettre aux organismes d’encadrer les transferts de données personnelles vers le Royaume-Uni de façon appropriée :

• Les clauses contractuelles types (les « CCT ») (3) : modèles de contrats de transfert de données personnelles adoptés par la Commission européenne les CCT permettent d’encadrer les transferts de données (i) entre deux responsables du traitement ou (ii) entre un responsable du traitement et un sous-traitant ;

• Les clauses contractuelles spécifiques dites « ad-hoc » (4) sont des contrats de transferts de données personnelles qui permettent d’encadrer les transferts de données dans des situations spécifiques et doivent être préalablement autorisées par la CNIL, après avis du Comité européen de la protection des données ;

• Les règles contraignantes d’entreprises (ou binding corporate rules – « BCR ») (5) désignent une politique de protection des données intra-groupe en matière de transferts de données personnelles hors de l’Union européenne. Elles sont juridiquement contraignantes et respectées par les entités signataires du groupe, quel que soit leur pays d’implantation, ainsi que par tous leurs salariés d’une même entreprise ou d’un même groupe ;

• Les codes de conduites (6) et les mécanismes de certifications (7) constituer des outils de transfert appropriés, à condition qu’ils comportent l’engagement contraignant et exécutoire pris par les destinataires hors UE d’appliquer les garanties appropriées, y compris en ce qui concerne les droits des personnes concernées. Ces outils doivent être préalablement autorisés par la CNIL, après avis du Comité européen de la protection des données.