Le secrétaire au Numérique Dowden décrit l’approche des données post-Brexit au Royaume-Uni

Nouveaux partenariats internationaux de données

Dans l’éditorial, Dowden a ajouté qu’avec le Royaume-Uni ayant quitté l’Union européenne (UE), il a la liberté de trouver de nouveaux partenariats internationaux de données avec des économies à croissance rapide à travers le monde, et qu’il peut faire beaucoup plus vite que l’UE.

« Il y a un énorme prix à gagner ici. Selon les premières estimations du gouvernement, 11 milliards de livres sterling d’exportations de services au Royaume-Uni ne sont actuellement pas réalisés en raison des obstacles aux transferts internationaux de données », a-t-il écrit.

« L’UE a tardé à agir à cet égard, déclarant que seulement 12 pays étaient « adéquats » au cours des dernières décennies. En étant plus agile, le Royaume-Uni peut capitaliser sur une opportunité de plusieurs milliards de livres pour stimuler le commerce dans les secteurs où la distance physique n’est pas un objet. J’annoncerai sous peu nos pays prioritaires pour les accords d’adéquation des données.

L’objectif des décisions relatives à l’adéquation des données est de déterminer si un pays, ou un secteur au sein d’un pays, en dehors de l’UE a essentiellement des normes équivalentes en matière de protection des données à l’Union et, par conséquent, si les données peuvent être partagées avec elle.

Bien que les ministres britanniques aient le pouvoir de révoquer ou de déterminer leurs propres décisions en matière d’adéquation des données en vertu des dispositions du Règlement de sortie de l’UE, le mécanisme disponible offre peu d’examen parlementaire et pourrait saper les propres perspectives du Royaume-Uni d’être jugé adéquat par l’UE si elle est utilisée pour créer de nouvelles juridictions d’adéquation qui ne correspondent pas aux évaluations de l’Union.

M. Dowden a ajouté que si le gouvernement britannique s’est engagé à « maintenir des normes de protection des données de classe mondiale maintenant que nous sommes en dehors de l’UE », il n’a pas besoin de copier et coller le Règlement général de l’UE sur la protection des données (GDPR) pour ce faire.

« Des pays aussi divers qu’Israël et l’Uruguay ont réussi à s’assurer d’être adéquation avec Bruxelles malgré leurs propres régimes de données. Tous n’étaient pas identiques au GDPR, mais l’égalité n’a pas à signifier la même chose. L’UE n’a pas le monopole de la protection des données », a-t-il écrit, ajoutant que l’engagement du Royaume-Uni à l’égard de normes élevées a été reconnu le 19 février 2021 lorsque la Commission européenne a publié deux projets positifs de décisions d’adéquation.

En juillet 2020, la Cour de justice de l’UE (CJUE) a annulé l’accord de partage de données entre l’UE et les États-Unis pour ne pas avoir fait en sorte que les citoyens européens ont un droit de recours adéquat lorsque des données peuvent être collectées par la National Security Agency (NSA) des États-Unis et d’autres services de renseignement américains.

La décision, familièrement connue sous le nom de Schrems II après que l’avocat autrichien qui a transmis l’affaire à la CJUE, a estimé qu’il faut donner aux gens une « protection essentiellement équivalente » pour leurs données lorsqu’elles sont transférées aux États-Unis et dans d’autres pays comme elles le recevraient dans l’UE en vertu du GDPR et de la Charte européenne des droits fondamentaux, qui garantit aux gens le droit à des communications privées et la protection de leurs données privées.

Alors que la Commission européenne a indiqué sa volonté d’offrir un accord d’adéquation des données pour le Royaume-Uni en vertu à la fois du GDPR et de la Law Enforcement Directive (LED) – est-ce que ses lois sur la protection des données « garantissent un niveau de protection des données personnelles… c’est essentiellement équivalent » – ces deux décisions devront être examinées par le Conseil européen de protection des données (EDPB) et recevoir l’accord des États membres de l’UE avant d’être pleinement adoptées.

Au cours de ce processus, l’EBDP et les États membres de l’UE devront tenir compte de l’État de droit, du respect des droits de l’homme et des libertés fondamentales, et de la législation pertinente, ainsi que de sa mise en œuvre – ce qui signifie essentiellement que les lois du Royaume-Uni devront être évaluées sur la façon dont elles fonctionnent dans la pratique, plutôt que seulement en théorie.

Dans les deux cas d’adéquation, certaines pratiques au sein du secteur britannique des services de renseignement et de la justice pénale (CJS) pourraient saper la capacité du pays à obtenir une décision positive, mais en particulier en vertu de la LED qui a des règles plus strictes sur la façon dont les données peuvent être transférées à des fins d’application de la loi.

Ces pratiques comprennent les relations étroites entre le Royaume-Uni et les États-Unis en raison de l’abaissement des normes de protection des données de ce dernier, ainsi que le régime de surveillance intrusive du Royaume-Uni, qui a été consacré dans la Investigatory Powers Act 2016, autrement connue sous le nom de Charte des snoopers.

L’utilisation croissante des services de cloud public basés aux États-Unis par la police britannique et le CJS au sens large pourrait également être un problème potentiellement énorme pour la capacité du Royaume-Uni à obtenir l’adéquation des LED en raison du potentiel d’accès à distance à ces données et de son transfert vers une juridiction non adéquate.