Depuis le 1er janvier 2021, le Royaume-Uni a quitté l’Union Européenne. Bien qu’un accord commercial ait été signé, rien n’a été prévu initialement concernant les transferts de données personnelles entre l’Europe et le Royaume-Uni.
Le 19 février dernier, la Commission a publié deux projets de décisions d’adéquation :
L’un portait le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (le « RGPD ») ;
L’autre portait la Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données.
Ces deux décisions d’adéquations ont été définitivement adoptées le 28 juin 2021. Le Parlement européen et la Commission confirment que le Royaume-Uni offre un niveau de sécurité suffisant pour la protection des données personnelles. Le Royaume-Uni a pleinement intégré dans son système juridique post-Brexit les principes, droits et obligations du RGPD et de la directive en matière de protection des données dans le domaine répressif.
Cette excellente nouvelle pour le maintien des relations UK-UE, et plus particulièrement avec Luxembourg, simplifiera le flux de données personnelles important entre nos deux pays.
Une nouveauté importante a été intégrée à ces décisions d’adéquation : la sunset clause. Ainsi, la validité de l’adéquation est limitée jusqu’au 27 juin 2025, date à laquelle elle cessera ces effets à moins d’avoir été réévaluée au préalable. Cette sunset clause, dans la droite ligne de l’obligation d’évaluation permanente fixée par le RGPD, est une avancée à saluer en matière de protection des données.
Vous pouvez retrouver la décision d’adéquation RGPD ici, et la décision d’adéquation sur la directive sur la protection des données en matière répressive ici.