Ce que la décision d'adéquation vis-à-vis du Royaume-Uni laisse entrevoir pour la Suisse

Fin juin 2021, la Commission européenne a adopté la décision d’adéquation relative à la protection des données vis-à-vis du Royaume-Uni. Ce genre de décisions vise à faciliter les transferts de données personnelles vers les pays concernés par ces décisions, en considérant qu’ils offrent un niveau de protection adéquat (c.-à-d. similaire à celui qui est à l’origine de la décision). Des obstacles juridiques, techniques et organisationnels sont ainsi levés.

A la suite du Brexit, le Royaume-Uni n’étant plus dans l’UE et donc plus soumis au RGPD, il redevenait un Etat tiers auquel les obstacles susmentionnés se seraient appliqués. La Suisse, en tant qu’Etat tiers vis-à-vis de l’UE, est actuellement au bénéfice d’une décision d’adéquation, qui est cependant en train d’être revue. La décision d’adéquation concernant le Royaume-Uni permet d’imaginer à quoi la décision concernant la Suisse ressemblera.

Voici trois éléments intéressants issus de la décision d’adéquation pour le Royaume-Uni :

• Le système de surveillance britannique n’a visiblement pas posé de problème juridique ou politique particulier à la Commission européenne, alors que le Comité européen de la protection des données (CEPD) avait exprimé des inquiétudes. L’arrêt de la CourEDH dans l’affaire Big Brother Watch et Autres c. Royaume-Uni a conclu que les garanties mises en place par le Royaume-Uni sont insuffisantes et que tant la légalité que la proportionnalité de la surveillance sont compromises.
• La Commission initie un système d’évaluation permanent de la situation au Royaume-Uni. Ainsi, si des divergences surgissent entre le régime juridique britannique et celui de l’UE, notamment concernant des transferts subséquents de données vers d’autres pays et des décisions d’adéquation rendues par le Royaume-Uni à l’égard de pays tiers, l’UE pourra prendre des mesures afin d’assurer la continuité de la protection.
• La décision d’adéquation concernant le Royaume-Uni a une durée de validité de quatre ans. Si elle n’est pas renouvelée, elle tombe automatiquement. C’est un changement notable par rapport à la situation prévalant jusqu’à aujourd’hui où les décisions n’avaient pas de durée de vie limitée. La Commission européenne a indiqué qu’elle ne renouvellerait sa décision que si le Royaume-Uni continue d’offrir un niveau de protection suffisant (ce qui semble logique). Si tel n’est pas le cas, l’UE peut laisser la décision échoir, ce qui mettrait la pression sur le Royaume-Uni.

Il reste maintenant à connaître à quelle sauce la Suisse sera mangée, la révision de la LPD et de l’OLPD arrivant à bout touchant. Un draft de la décision devrait paraitre prochainement.