Brexit décision d’adéquation et Chine

Comme vous le savez, les transferts de données en dehors de l’Union Européenne font l’objet d’une règlementation bien particulière. En effet, les Responsables de traitement et les sous-traitants ne peuvent transférer des données hors de l’Union européenne, qu’à condition d’assurer un niveau de protection des données suffisant et approprié de ces données. Pour plus d’information concernant les transferts de données hors UE, veuillez consulter directement le site de la CNIL sur ce lien.

• L’Etat où sont transférées les données fait l’objet d’une décision d’adéquation délivrée par la Commission Européenne. Sa législation est donc considérée comme présentant un niveau de garantie équivalent au RGPD.
• A défaut de décision d’adéquation, il convient de mettre en place des garanties appropriées, conformément à l’article 46 du RGPD, telles que des Clauses contractuelles types ou des Règles d’entreprises contraignantes – BCR par exemple.

Comme évoqué dans une précédente Newsletter, à la suite du BREXIT, le Royaume-Uni était sorti de l’UE le 31 janvier 2021. Toutefois, il avait été convenu que le RGPD resterait applicable au sein de ce dernier pour une durée de 6 mois maximum.

Se posait alors la question de savoir quelles garanties devraient être mises en place afin de garantir ces transferts. Le 28 juin 2021, la Commission Européenne a répondu à cette question en adoptant une décision d’adéquation du Royaume-Uni au RGPD. Elle considère en effet que le Royaume-Uni présente un niveau de protection équivalent à celui garanti par le RGPD. Les transferts de données personnelles vers le Royaume-Uni peuvent donc se faire sans encadrement spécifique.

Toutefois, il semblerait que le pays soit en phase de modifier sa loi sur la protection des données. En effet, le Royaume-Uni a exprimé, le 26 août sa volonté de modifier sa loi sur la protection des données, dans le sens d’un assouplissement de celle-ci par rapport au RGPD. Si actuellement la décision d’adéquation vaut jusqu’au 27 juin 2025, elle peut toutefois faire l’objet d’une annulation par la Commission au cas où cette nouvelle loi n’apporterait pas de garanties équivalentes en matière de protection des données. A suivre …

Le 20 août dernier, le Comité de l’Assemblée populaire nationale – organe législatif suprême de Chine, a voté une loi sur la protection des données dite PIPL : Personal Information Protection Law. Cette loi présente de nombreuses similitudes avec le RGPD et se veut stricte et encadrante, dans le but de limiter les pratiques de certains géants du numérique Chinois, comme l’évoque la presse digitale.

A la lecture de cette loi, de nombreuses dispositions ne sont pas sans rappeler notre Règlement Européen :

• Un traitement de données licite: fondé sur une base légale, telle que le consentement, l’exécution d’u contrat ou le respect d’une obligation légale.
• Une importance notable donnée au consentement des personnes qui est érigé en principe de la protection des données.
• Des relations entre Responsables conjoints de traitement ou Responsables de traitement/Sous-traitants encadrées.
• Respect et exercice des droits des personnes: droit à l’information, droit d’accès, droit de rectification, d’effacement, de limitation, d’opposition et droit de suppression des données après sa mort.
• Un encadrement renforcé en cas de traitement de données sensibles (données de santé, religieuses, …)
• Obligation de réaliser des AIPD (Analyses d’Impact) en cas de traitements à risques.
• Un encadrement des transferts de données en dehors des frontières Chinoises.

Par ailleurs, la Chine pose des sanctions très sévères en cas de non-respect de cette législation, pouvant aller jusqu’à 50 millions de yuans ou 5% du CA.