Brexit : Quels changements pour l’UE ?

Le jeudi 31 janvier 2020 à minuit, le Royaume-Uni (RU) quittait l'Union européenne (UE) et ne faisait donc plus parti des membres de l’union. Une période de transition commençait alors, et l’accord négocié avec le Royaume-Uni prévoyait que les citoyens britanniques seraient toujours couverts par le RGPD jusqu’en juillet 2021.

La période de transition actuelle signifie que les échanges de données entre l’UE et le RU peuvent continuer à être opérés jusqu’à cette date butoir. A partir du 1er juillet 2021, si l’Union Européenne et le Royaume Uni n’ont pas défini un nouvel accord en matière de protection des données personnelles, le Royaume Uni sera considéré comme un pays tiers aux yeux de l’UE.

RGPD : Le vrai changement se fera à partir du 1^er juillet 2021

Dès le 01 juillet 2021, le RU s’expose à la mise en place de barrières, notamment de clauses contractuelles qui viendront alourdir les règles pour les entreprises britanniques au sujet de l’envoi de données vers l'UE.

Cette contrainte pourra être remise en cause, et la situation revenir à la normale en cas de signature d’une nouvelle décision d’adéquation (de tolérance) avec la Commission européenne, qui permettrait, pour le RU, de se porter garant d’un niveau de protection des données adéquat à l'UE. Boris Johnson, a néanmoins précédemment évoqué, à plusieurs reprises, une réglementation moins contraignante que le RGPD, ce qui viendrait à contresens d’une décision d’adéquation.

Adéquation : Une décision encore loin d’être acquise

Cette situation nous rappelle étrangement l’invalidation du Privacy Shield par l'UE en juillet 2020.

Le Privacy Shield permettait de servir de fondement à un transfert de données personnelles de l'espace économique européen vers les États-Unis. Il offrait un cadre réglementaire au flux de données personnelles entre l’Europe et les Etats-Unis.

Le problème ? Depuis plusieurs années, certains géants Américains se basent sur les données des Européens afin de perfectionner leurs logiciels d’IA, reconnaissance faciale/vocale.

L’Europe vient donc réaffirmer la différence fondamentale qu’il y a entre sa conception de la protection des données personnelles et celle des USA. Le citoyen Européen est propriétaire de ses données. Il lui revient le droit d’en contrôler l’usage et la diffusion. Personne ne doit exploiter ses données sans son consentement libre et éclairé.

Il est important de rappeler au passage que le RU fait partie des « Five Eyes » qui représentent une alliance entre les services de renseignements britanniques, australiens, canadiens, néo-zélandais et américains, ce qui préoccupe assez largement les membres de l’union.

1,8 Milliard d’euros, une addition salée pour une absence d’accord sur les données !

Selon une étude récente, de la New Economics Foundation et l’University College London, le coût du Brexit pour les entreprises britanniques pour la seule mise en conformité des données s’élève à environ 1,8 Milliards d’euros (1,6 milliard de Livre Sterling). Un accord doit être trouvé, mais nous ne sommes qu’au début du chemin.

À titre d’illustration du trouble généré, le groupe Facebook a, dans cette période d’incertitude, décidé la migration des données personnelles des britanniques (basées actuellement à Dublin) dans leurs Datacenters aux Etats-Unis. En conséquence, ces données ne seront plus sous le régime de la protection européenne des données. Le combat pour le Brexit risque de faire couler encore beaucoup d’encre, au moins jusqu’en juillet 2021. Affaire à suivre.