RÈGLEMENT D’EXÉCUTION (UE) 2021/1772 DE LA COMMISSION

du 28 juin 2021

constatant, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil, le niveau de protection adéquat des données à caractère personnel assuré par le Royaume-Uni

[notifiée sous le numéro C(2021) 4800]

(Texte présentant de l’intérêt pour l’EEE)

LA COMMISSION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne,

vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (RGPD) (1), et notamment son article 45, paragraphe 3,

considérant ce qui suit:

1. INTRODUCTION

(1) Le règlement (UE) 2016/679 fixe les règles applicables au transfert de données à caractère personnel, par des responsables du traitement ou des sous-traitants au sein de l’Union européenne, vers des pays tiers et à des organisations internationales, dans la mesure où ces transferts relèvent de son champ d’application. Les règles relatives aux transferts internationaux de données sont définies au chapitre V dudit règlement, soit aux articles 44 à 50. Bien que les flux de données à caractère personnel en provenance et à destination de pays non-membres de l’Union européenne soient nécessaires au développement de la coopération internationale et des échanges commerciaux transfrontières, le niveau de protection assuré aux données à caractère personnel au sein de l’Union européenne ne doit pas être compromis par des transferts vers des pays tiers (2).

(2) En vertu de l’article 45, paragraphe 3, du règlement (UE) 2016/679, la Commission peut décider, par voie d’actes d’exécution, qu’un pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans un pays tiers, ou une organisation internationale, assure un niveau de protection adéquat. Dans cette circonstance, les transferts de données à caractère personnel vers un pays tiers peuvent avoir lieu sans qu’il soit nécessaire d’obtenir une autre autorisation, comme prévu à l’article 45, paragraphe 1, et au considérant 103 dudit règlement.

(3) Comme précisé à l’article 45, paragraphe 2, du règlement (UE) 2016/679, l’adoption d’une décision d’adéquation doit reposer sur une analyse approfondie de l’ordre juridique du pays tiers, en ce qui concerne tant les règles applicables aux importateurs de données que les limitations et les garanties en matière d’accès des autorités publiques aux données à caractère personnel. Dans son évaluation, la Commission doit déterminer si le pays tiers en question assure un niveau de protection «essentiellement équivalent» à celui qui est garanti dans l’Union européenne [considérant 104 du règlement (UE) 2016/679]. La norme au regard de laquelle l’«équivalence essentielle» est évaluée est celle fixée par la législation de l’Union européenne, notamment le règlement (UE) 2016/679, ainsi que la jurisprudence de la Cour de justice de l’Union européenne (CJUE) (3). Les critères de référence pour l’adéquation du comité européen de la protection des données sont également importants à cet égard (4).

(4) Comme l’a précisé la Cour de justice de l’Union européenne, il n’est pas nécessaire de constater un niveau de protection identique (5). En particulier, les moyens auxquels ce pays tiers a recours aux fins de la protection des données à caractère personnel peuvent être différents de ceux mis en œuvre au sein de l’Union, pour autant qu’ils s’avèrent, en pratique, effectifs afin d’assurer un niveau de protection adéquat (6). Le principe d’adéquation n’exige donc pas que l’on reproduise à l’identique les règles de l’Union. Il s’agit plutôt de déterminer si le système étranger offre, dans son ensemble, par l’essence de ses droits en matière de protection des données et leur mise en œuvre effective, leur opposabilité et le contrôle de leur application, le niveau requis de protection (7).

(5) La Commission a soigneusement analysé la législation et les pratiques du Royaume-Uni. Sur la base des constatations exposées aux considérants 8 à 270, la Commission conclut que le Royaume-Uni assure un niveau de protection adéquat des données à caractère personnel transférées dans le cadre du champ d’application du règlement (UE) 2016/679 de l’Union européenne vers le Royaume-Uni.

(6) Cette conclusion ne concerne pas les données à caractère personnel transférées à des fins de contrôle de l’immigration au Royaume-Uni ou qui relèvent par ailleurs du champ d’application de l’exemption de certains droits des personnes concernées aux fins du maintien d’un contrôle efficace de l’immigration (ci-après l’«exemption en matière d’immigration») conformément au paragraphe 4, point 1, de l’annexe 2 de la loi britannique sur la protection des données. La validité et l’interprétation de l’exemption en matière d’immigration en droit britannique ne sont pas tranchées à la suite d’une décision de la Cour d’appel d’Angleterre et du pays de Galles du 26 mai 2021. Tout en reconnaissant que les droits des personnes concernées peuvent, en principe, être limités aux fins du contrôle de l’immigration en tant qu’«aspect important de l’intérêt public», la Cour d’appel a jugé que l’exemption en matière d’immigration est, dans sa forme actuelle, incompatible avec le droit britannique, étant donné que la mesure législative ne contient pas de dispositions spécifiques énonçant les garanties énumérées à l’article 23, paragraphe 2, du règlement général sur la protection des données du Royaume-Uni (RGPD britannique) (8). Dans ces conditions, les transferts de données à caractère personnel de l’Union vers le Royaume-Uni auxquels l’exemption en matière d’immigration peut s’appliquer devraient être exclus du champ d’application de la présente décision (9). Une fois qu’il aura été remédié à l’incompatibilité avec le droit britannique, l’exemption en matière d’immigration devrait être réexaminée, de même que la nécessité de maintenir la limitation du champ d’application de la présente décision.

(7) La présente décision ne devrait avoir aucune incidence sur l’application directe du règlement (UE) 2016/679 aux organisations établies au Royaume-Uni lorsque les conditions relatives au champ d’application territorial dudit règlement, défini à son article 3, sont remplies.

2. RÈGLES APPLICABLES AU TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL

2.1. Le cadre constitutionnel

(8) Le Royaume-Uni est une démocratie parlementaire dont le chef d’État est un souverain constitutionnel. Le Royaume-Uni possède un Parlement souverain, qui exerce une autorité suprême sur l’ensemble des autres institutions gouvernementales, un pouvoir exécutif issu et sous l’autorité du Parlement, ainsi qu’un pouvoir judiciaire indépendant. Le pouvoir exécutif tire son autorité de sa capacité à obtenir la confiance de la Chambre des communes élue. Il rend compte aux deux chambres du Parlement qui sont chargées de contrôler l’action du gouvernement, ainsi que d’examiner et de voter les lois.

(9) Le Parlement britannique a transféré des responsabilités au Parlement écossais, au Parlement gallois (Senedd Cymru) et à l’Assemblée d’Irlande du Nord afin que ceux-ci puissent légiférer en Écosse, au Pays de Galles et en Irlande du Nord sur des points concernant les affaires intérieures qu’il ne s’est pas réservés. Bien que la protection des données soit un point réservé, c’est-à-dire que la même législation s’applique dans tout le pays, d’autres domaines politiques en rapport avec la présente décision sont décentralisés. Par exemple, les systèmes de justice pénale, y compris les fonctions de police, de l’Écosse et de l’Irlande du Nord sont délégués respectivement au Parlement écossais et à l’Assemblée d’Irlande du Nord. Le Royaume-Uni ne possède pas de constitution codifiée à proprement parler. Les principes constitutionnels, apparus au fil du temps, sont tirés de la jurisprudence et des conventions en particulier. La valeur constitutionnelle de certaines lois, telles que la Magna Carta (Grande Charte), la Déclaration des droits de 1689 et la loi de 1998 sur les droits de l’homme, a été reconnue par les tribunaux. Les droits fondamentaux des personnes ont été établis, en tant que partie intégrante de la constitution, par la common law, lesdites lois et les traités internationaux, notamment la convention européenne des droits de l’homme (CEDH) que le Royaume-Uni a ratifiée en 1951. Le Royaume-Uni a également ratifié la convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (convention 108) en 1987 (10).

(10) La loi de 1998 sur les droits de l’homme intègre dans le droit britannique les droits contenus dans la convention européenne des droits de l’homme. La loi sur les droits de l’homme confère à toute personne les libertés et droits fondamentaux prévus aux articles 2 à 12 et 14 de la convention européenne des droits de l’homme, aux articles 1er, 2 et 3 de son premier protocole et à l’article 1er de son treizième protocole, lus en combinaison avec les articles 16, 17 et 18 de ladite convention. Ces droits comprennent le droit au respect de la vie privée et familiale (ainsi que le droit à la protection des données qui fait partie dudit droit) et le droit à un procès équitable (11). En particulier, conformément à l’article 8 de ladite convention, il ne peut y avoir ingérence d’une autorité publique dans l’exercice de ce droit que pour autant que cette ingérence soit prévue par la loi et qu’elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l’ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d’autrui.

(11) Conformément à la loi de 1998 sur les droits de l’homme, toute action des autorités publiques doit être compatible avec un droit garanti par la convention (12). En outre, la législation primaire et la législation dérivée doivent être interprétées et appliquées de manière compatible avec les droits reconnus par la convention (13).

2.2. Le cadre de protection des données du Royaume-Uni

(12) Le Royaume-Uni s’est retiré de l’Union européenne le 31 janvier 2020. En vertu de l’accord de retrait du Royaume-Uni de Grande-Bretagne et d’Irlande du Nord de l’Union européenne et de la Communauté européenne de l’énergie atomique (14), le droit de l’Union demeure applicable au Royaume-Uni pendant la période de transition jusqu’au 31 décembre 2020. Avant le retrait et pendant la période de transition, le cadre législatif en matière de protection des données à caractère personnel au Royaume-Uni se composait de la législation de l’Union en vigueur [en particulier, le règlement (UE) 2016/679 et la directive (UE) 2016/680 du Parlement européen et du Conseil (15)] et de la législation nationale, notamment la loi de 2018 sur la protection des données (DPA 2018) (16) qui établissait des règles nationales, lorsque le règlement (UE) 2016/679 le permettait, précisant et limitant l’application des règles du règlement (UE) 2016/679 et de la directive transposée (UE) 2016/680.

(13) Afin de préparer le retrait de l’Union européenne, le gouvernement britannique a promulgué la loi de 2018 sur l’Union européenne (notification de retrait) (17), qui intègre la législation de l’Union directement applicable dans le droit britannique (18). Ce «droit de l’Union conservé» inclut l’intégralité du règlement (UE) 2016/679 (y compris ses considérants) (19). Conformément à cette loi, le droit de l’Union qui aura été conservé sans modifications doit être interprété par les juridictions du Royaume-Uni conformément à la jurisprudence pertinente de la Cour de justice de l’Union européenne et aux principes généraux du droit de l’Union étant donné qu’ils sont d’effet immédiat avant la fin de la période de transition (respectivement appelés la «jurisprudence de l’Union conservée» et «les principes généraux du droit de l’Union conservés») (20).

(14) En vertu de la loi de 2018 sur l’Union européenne (notification de retrait), les ministres du Royaume-Uni ont le pouvoir d’adopter des législations secondaires, par voie d’actes réglementaires, afin d’apporter les modifications nécessaires au droit de l’Union européenne conservé à la suite du retrait du Royaume-Uni de l’Union européenne. Ils ont exercé ce pouvoir en adoptant la réglementation de 2019 sur la protection des données, la vie privée et les communications électroniques (modifications, etc.) (sortie de l’Union) (réglementation DPPEC) (21). Cette réglementation modifie le règlement (UE) 2016/679, tel qu’il a été intégré dans le droit britannique par la loi de 2018 sur l’Union européenne (notification de retrait), la DPA 2018 et d’autres législations en matière de protection des données afin de les adapter au contexte national (22).

(15) Par conséquent, après la fin de la période de transition, le cadre juridique en matière de protection des données à caractère personnel du Royaume-Uni se compose: — du RGPD britannique, tel qu’il a été intégré dans le droit britannique en vertu de la loi de 2018 sur l’Union européenne (notification de retrait) et modifié par la réglementation DPPEC (23), et — de la DPA 2018 (24), telle que modifiée par la réglementation DPPEC.

(16) Étant donné que le RGPD britannique est fondé sur le droit de l’Union, les règles du Royaume-Uni en matière de protection des données sont très semblables, à de nombreux égards, aux règles correspondantes applicables au sein de l’Union européenne.

(17) Outre les pouvoirs conférés au secrétaire d’État par la loi de 2018 sur l’Union européenne (notification de retrait), plusieurs dispositions de la DPA 2018 confèrent à celui-ci le pouvoir d’adopter des législations secondaires en vue de modifier certaines dispositions de ladite loi ou d’introduire des règles complémentaires et additionnelles (25). Le secrétaire d’État n’a exercé jusqu’ici que le pouvoir visé à l’article 137 de la DPA 2018 consistant à adopter la réglementation de 2019 sur la protection des données (redevances et informations) (modification), qui précise les circonstances dans lesquelles les responsables du traitement sont tenus de verser une redevance annuelle à l’autorité indépendante britannique de protection des données, le commissaire à l’information.

(18) Enfin, les codes de bonnes pratiques et autres orientations adoptés par le commissaire à l’information contiennent des orientations supplémentaires relatives à la législation du Royaume-Uni en matière de protection des données. Bien qu’elles ne soient pas formellement contraignantes sur le plan juridique, ces orientations influent sur l’interprétation de la législation en matière de protection des données et décrivent la manière dont elle est appliquée et mise en œuvre, en pratique, par le commissaire. Les articles 121 à 125 de la DPA 2018 obligent notamment le commissaire à préparer des codes de bonnes pratiques relatifs au partage des données, à la prospection, à la conception adaptée aux enfants, ainsi qu’à la protection des données et au journalisme.

(19) Au niveau de sa structure et de ses principaux éléments, le cadre juridique du Royaume-Uni applicable aux données transférées au titre de la présente décision est donc très semblable à celui qui s’applique dans l’Union européenne. Ainsi, ce cadre est non seulement fondé sur des obligations prévues dans le droit interne, qui ont été façonnées par le droit de l’Union, mais également sur des obligations consacrées par le droit international, notamment dans le cadre de l’adhésion du Royaume-Uni à la CEDH et à la convention 108, ainsi que de sa soumission à la compétence de la Cour européenne des droits de l’homme. Ces obligations découlant d’instruments internationaux juridiquement contraignants, qui concernent notamment la protection des données à caractère personnel, constituent donc un élément particulièrement important du cadre juridique évalué dans la présente décision.

2.3. Champ d’application matériel et territorial

(20) Tout comme le règlement (UE) 2016/679, le RGPD britannique s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ou à d’autres traitements, si les données à caractère personnel sont contenues dans un fichier (26). Les définitions de «données à caractère personnel», de «personne concernée» et de «traitement» figurant dans le RGPD britannique sont identiques à celles du règlement (UE) 2016/679 (27). De plus, le RGPD britannique s’applique au traitement manuel non structuré des données à caractère personnel (28) détenues par certaines autorités publiques du Royaume-Uni (29), bien que les droits et principes énoncés dans le RGPD britannique qui ne sont pas pertinents pour de telles données soient écartés par les articles 24 et 25 de la DPA 2018. À l’instar de ce que prévoit le règlement (UE) 2016/679, le RGPD britannique ne s’applique pas aux traitements de données à caractère personnel effectués par une personne physique au cours d’activités strictement personnelles ou domestiques (30).

(21) Le RGPD britannique étend également son champ d’application aux traitements au cours d’activités qui, immédiatement avant la fin de la période de transition, ne relevaient pas du champ d’application du droit de l’Union européenne (par exemple, des activités liées à la sécurité nationale) (31), ou qui relevaient du champ d’application du titre V, chapitre 2, du traité sur l’Union européenne (activités relatives à la politique étrangère et de sécurité commune) (32). Comme dans le système de l’Union européenne, le RGPD britannique ne s’applique pas au traitement de données à caractère personnel effectué par une autorité compétente à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces (ci-après «à des fins répressives») – ce type de traitement est en revanche régi par la partie 3 de la DPA 2018, de même qu’il est régi par la directive (UE) 2016/680 en vertu du droit de l’Union européenne – ou au traitement de données à caractère personnel par des services de renseignement [le Security Service (MI5), le Secret Intelligence Service (SIS) et le Government Communications Headquarters (GCHQ)] qui est couvert par la partie 4 de la DPA 2018 (33).

(22) Le champ d’application territorial du RGPD britannique est décrit à l’article 3 de cet acte (34) et comprend le traitement de données à caractère personnel (quel que soit le lieu du traitement) effectué dans le cadre des activités d’un établissement d’un responsable du traitement ou d’un sous-traitant sur le territoire du Royaume-Uni, ainsi que le traitement de données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire du Royaume-Uni, lorsque les activités de traitement sont liées à l’offre de biens ou de services à ces personnes, ou au suivi du comportement de ces personnes (35). Cette approche reflète celle adoptée à l’article 3 du règlement (UE) 2016/679.

2.4. Définitions de «données à caractère personnel» et des notions de «responsable du traitement» et de «sous-traitant»

(23) Les définitions de «données à caractère personnel», de «traitement», de «responsable du traitement», de «sous-traitant», ainsi que la définition de «pseudonymisation», énoncées dans le règlement (UE) 2016/679, ont été conservées dans le RGPD britannique sans modifications substantielles (36). En outre, les catégories particulières de données visées à l’article 9, paragraphe 1, du RGPD britannique sont définies de la même manière que dans le règlement (UE) 2016/679 («données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique»). L’article 205 de la DPA 2018 donne la définition de «données biométriques» (37), de «données concernant la santé» (38) et de «données génétiques» (39).

2.5. Garanties, droits et obligations

2.5.1. Licéité et loyauté du traitement

(24) Les données à caractère personnel devraient être traitées de manière licite et loyale.

(25) Les principes de licéité, de loyauté et de transparence, ainsi que les fondements du traitement licite, sont garantis dans le droit du Royaume-Uni par les articles 5, paragraphe 1, point a), et 6, paragraphe 1, du RGPD britannique, lesquels sont identiques aux dispositions correspondantes du règlement (UE) 2016/679 (40). L’article 8 de la DPA 2018 complète l’article 6, paragraphe 1, point e), en prévoyant que le traitement de données à caractère personnel en vertu de l’article 6, paragraphe 1, point e) du RGPD britannique (nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement) inclut le traitement de données à caractère personnel nécessaire aux fins de l’administration de la justice, de l’exercice d’une fonction d’une des deux chambres du Parlement, de l’exercice d’une fonction conférée à une personne par une disposition législative ou une règle de droit, de l’exercice d’une fonction de la Couronne, d’un ministre de la Couronne ou d’un ministère, ou d’une activité qui soutient ou promeut l’engagement démocratique.

(26) En ce qui concerne le consentement (l’un des fondements du traitement licite), le RGPD britannique conserve également les conditions prévues à l’article 7 du règlement (UE) 2016/679 sans les modifier, à savoir les conditions suivantes: le responsable du traitement doit être en mesure de démontrer que la personne concernée a donné son consentement, une demande de consentement doit être formulée par écrit en des termes clairs et simples, la personne concernée doit avoir le droit de retirer son consentement à tout moment et, au moment de déterminer si le consentement est donné librement, il y a lieu de tenir compte de la question de savoir si l’exécution d’un contrat est subordonnée au consentement au traitement de données à caractère personnel qui n’est pas nécessaire à l’exécution dudit contrat. En outre, conformément à l’article 8 du RGPD britannique, dans le cadre de l’offre de services de la société de l’information, le consentement d’un enfant n’est licite que si ce dernier est âgé d’au moins 13 ans. Cet âge est compris dans la tranche d’âge déterminée à l’article 8 du règlement (UE) 2016/679.

2.5.2. Traitement portant sur des catégories particulières de données à caractère personnel

(27) Des garanties spécifiques devraient être prévues pour le traitement des «catégories particulières» de données.

(28) Le RGPD britannique et la DPA 2018 contiennent des règles spécifiques concernant le traitement de catégories particulières de données à caractère personnel, lesquelles sont définies à l’article 9, paragraphe 1, du RGPD britannique de la même manière que dans le règlement (UE) 2016/679 [voir le considérant 23 ci-dessus]. Conformément à l’article 9 du RGPD britannique, le traitement de catégories particulières de données est en principe interdit, à moins qu’une exception spécifique ne s’applique.

(29) Ces exceptions (énumérées à l’article 9, paragraphes 2 et 3, du RGPD britannique) n’apportent aucune modification de fond par rapport à celles figurant à l’article 9, paragraphes 2 et 3, du règlement (UE) 2016/679. À moins que la personne concernée n’ait donné son consentement explicite au traitement de ces données à caractère personnel, le traitement de catégories particulières de données à caractère personnel n’est autorisé que dans des circonstances particulières et limitées. Dans la plupart des cas, le traitement des données sensibles doit être nécessaire pour une finalité spécifique définie dans la disposition correspondante [voir l’article 9, paragraphe 2, points b), c), f), g), h), i) et j)].

(30) Par ailleurs, lorsqu’une exception prévue à l’article 9, paragraphe 2, du RGPD britannique nécessite une autorisation législative ou fait référence à l’intérêt public, l’article 10 de la DPA 2018, ainsi que son annexe 1, précisent plus en détail les conditions qui doivent être remplies pour invoquer ces exceptions. Par exemple, dans le cas du traitement de données sensibles aux fins de la protection de la «santé publique» (article 9, paragraphe 2, point i), du RGPD britannique), l’annexe 1, partie 1, point 3, sous b), prévoit que, outre le critère de nécessité, un tel traitement est effectué «par un professionnel de santé ou sous sa responsabilité» ou «par une autre personne qui est liée par une obligation de confidentialité en vertu d’une disposition législative ou d’une règle de droit», y compris par l’obligation de confidentialité bien établie dans la common law.

(31) Lorsque des données sensibles sont traitées pour des motifs d’intérêt public important [article 9, paragraphe 2, point g), du RGPD britannique], l’annexe 1, partie 2, de la DPA 2018 contient une liste exhaustive des finalités qui peuvent être considérées d’intérêt public important et prévoit, pour chacune de ces finalités, des conditions spécifiques supplémentaires. Par exemple, la promotion de la diversité raciale et ethnique au sein de l’encadrement supérieur des organisations est reconnue comme étant d’intérêt public important. Le traitement de données sensibles pour cette finalité spécifique est soumis à des exigences détaillées, en particulier ce traitement doit être effectué dans le cadre d’un processus visant à désigner les personnes aptes à exercer des fonctions d’encadrement supérieur, doit être nécessaire à la promotion de la diversité raciale et ethnique et ne doit pas être susceptible de causer des difficultés ou des dommages importants à la personne concernée.

(32) L’article 11, paragraphe 1, de la DPA 2018 énonce les conditions applicables au traitement de données à caractère personnel dans les circonstances décrites à l’article 9, paragraphe 3, du RGPD britannique liées à l’obligation de secret. Sont incluses les circonstances dans lesquelles le traitement est effectué par un professionnel de la santé ou un professionnel social, ou sous sa responsabilité, ou par toute autre personne qui est liée par une obligation de confidentialité en vertu d’une disposition législative ou d’une règle de droit.

(33) En outre, beaucoup des exceptions énumérées à l’article 9, paragraphe 2, du RGPD britannique nécessitent des garanties appropriées et spécifiques pour être appliquées. En fonction de la nature du traitement et du niveau de risque pour les droits et libertés des personnes concernées, les conditions relatives au traitement prévues à l’annexe 1 de la DPA 2018 établissent des garanties différentes. L’annexe 1 décrit successivement les conditions applicables à chaque traitement.

(34) Dans certains cas, la DPA 2018 réglemente et limite le type de données sensibles qui peuvent être traitées aux fins du respect d’une base juridique particulière. Par exemple, l’annexe 1, point 8, autorise le traitement de données sensibles aux fins de la promotion de l’égalité des chances ou de traitement. Cette condition de traitement ne peut être invoquée que si les données révèlent l’origine raciale ou ethnique, les convictions religieuses ou philosophiques, l’orientation sexuelle ou s’il s’agit de données concernant la santé.

(35) Dans certains cas, la DPA 2018 limite le type de responsable du traitement qui peut invoquer la condition de traitement. Par exemple, l’annexe 1, point 23, prévoit le traitement de données sensibles dans le cadre de la réponse des élus aux demandes du public. Cette condition de traitement ne peut être invoquée que si le responsable du traitement est l’élu en question ou agit sous son autorité.

(36) Dans d’autres cas, la DPA 2018 fixe des limites concernant les catégories de personnes concernées aux fins de l’application de la condition de traitement. Par exemple, l’annexe 1, point 21, réglemente le traitement de données sensibles pour les régimes professionnels de retraite. Cette condition ne peut être invoquée que si la personne concernée est le frère, la sœur, le parent, le grand-parent ou l’arrière-grand-parent du membre du régime.

(37) En outre, lorsqu’il a recours aux exceptions prévues à l’article 9, paragraphe 2, du RGPD britannique, lesquelles sont précisées davantage à l’article 10 et à l’annexe 1 de la DPA 2018, le responsable du traitement est tenu, dans la plupart des cas, de rédiger un «document d’orientation spécifique». Ce dernier doit expliquer les procédures du responsable du traitement visant à garantir le respect des principes énoncés à l’article 5 du RGPD britannique. Il doit également décrire les politiques en matière de conservation et d’effacement, en indiquant la durée de conservation probable. Les responsables du traitement doivent revoir et mettre à jour ce document, le cas échéant. Le responsable du traitement doit conserver le document d’orientation pendant six mois à compter de la fin du traitement et, sur demande, le mettre à la disposition du commissaire à l’information (41).

(38) Conformément à l’annexe 1, point 41, de la DPA 2018, le document d’orientation doit toujours s’accompagner d’un registre plus complet des activités de traitement. Ce registre doit permettre de suivre les engagements figurant dans le document d’orientation, c’est-à-dire de vérifier si les données sont effacées ou conservées conformément aux politiques du responsable du traitement. Si les politiques n’ont pas été respectées, le registre doit en indiquer les raisons. Le registre doit également indiquer la manière dont le traitement satisfait aux exigences de l’article 6 du RGPD britannique (licéité du traitement) et à la condition spécifique de l’annexe 1 de la DPA 2018 sur laquelle il se fonde.

(39) Enfin, comme le règlement (UE) 2016/679, le RGPD britannique prévoit également des garanties générales pour certaines opérations de traitement de catégories particulières de données. L’article 35 du RGPD britannique exige une analyse d’impact relative à la protection des données en cas de traitement à grande échelle de catégories particulières de données. Conformément à l’article 37 du RGPD britannique, un responsable du traitement ou un sous-traitant doit désigner un délégué à la protection des données lorsque ses activités de base consistent à traiter, à grande échelle, des catégories particulières de données.

(40) S’agissant des données à caractère personnel relatives à des condamnations pénales et à des infractions, l’article 10 du RGPD britannique est identique à l’article 10 du règlement (UE) 2016/679. Il n’autorise le traitement des données à caractère personnel relatives à des condamnations pénales et à des infractions que sous le contrôle de l’autorité publique, ou si le traitement est autorisé par le droit interne qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées.

(41) Lorsque le traitement des données relatives à des condamnations pénales et à des infractions n’est pas effectué sous le contrôle de l’autorité publique, l’article 10, paragraphe 5, de la DPA 2018 dispose que ce traitement ne peut avoir lieu que pour les finalités spécifiques/dans les situations particulières visées à l’annexe 1, parties 1, 2 et 3, de la DPA 2018, et qu’il est soumis aux exigences spécifiques prévues pour chacune de ces finalités/situations. Par exemple, les données relatives à des condamnations pénales peuvent être traitées par des organismes à but non lucratif si le traitement est effectué a) dans le cadre de leurs activités légitimes et moyennant les garanties appropriées, par une fondation, une association ou tout autre organisme à but non lucratif et poursuivant une finalité politique, philosophique, religieuse ou syndicale et b) à condition i) que ledit traitement se rapporte exclusivement aux membres ou aux anciens membres dudit organisme ou aux personnes entretenant avec celui-ci des contacts réguliers en liaison avec ses finalités et ii) que les données à caractère personnel ne soient pas communiquées en dehors de cet organisme sans le consentement des personnes concernées.

(42) Par ailleurs, l’annexe 1, partie 3, de la DPA 2018 décrit les autres circonstances dans lesquelles les données relatives à des condamnations pénales peuvent être utilisées, qui correspondent aux fondements juridiques du traitement de données sensibles visés à l’article 9, paragraphe 2, du règlement (UE) 2016/679 et du RGPD britannique (par exemple, consentement de la personne concernée, intérêts vitaux d’une personne si la personne concernée se trouve dans l’incapacité physique ou juridique de donner son consentement, si les données ont déjà été manifestement rendues publiques par la personne concernée, si le traitement est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice, etc.).

2.5.3. Limitation des finalités, exactitude, minimisation des données, limitation de la conservation et sécurité des données

(43) Les données à caractère personnel doivent être traitées dans un but précis et n’être utilisées ultérieurement que dans la mesure où cela n’est pas incompatible avec la finalité du traitement.

(44) Ce principe est établi à l’article 5, paragraphe 1, point b), du règlement (UE) 2016/679 et a été conservé sans modifications à l’article 5, paragraphe 1, point b), du RGPD britannique. Les conditions applicables à un traitement ultérieur compatible conformément à l’article 6, paragraphe 4, du règlement (UE) 2016/679 ont également été conservées, sans modifications de fond, à l’article 6, paragraphe 4, points a) à e), du RGPD britannique.

(45) De plus, les données doivent être exactes et, si nécessaire, tenues à jour. Elles doivent également être adéquates, pertinentes et limitées au regard des finalités pour lesquelles elles sont traitées. Enfin, elles doivent en principe être conservées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées.

(46) Ces principes de minimisation des données, d’exactitude et de limitation de la conservation sont énoncés à l’article 5, paragraphe 1, point c) à e), du règlement (UE) 2016/679 et sont conservés sans modifications à l’article 5, paragraphe 1, points c) à e), du RGPD britannique.

(47) Les données à caractère personnel devraient en outre être traitées d’une manière garantissant leur sécurité, y compris leur protection contre tout traitement non autorisé ou illicite et contre toute perte, toute destruction ou tout dégât d’origine accidentelle. À cette fin, les opérateurs économiques devraient prendre les mesures techniques ou organisationnelles appropriées pour protéger les données à caractère personnel contre d’éventuelles menaces. Ces mesures devraient être appréciées en fonction de l’état des connaissances et des coûts correspondants.

(48) La sécurité des données est consacrée dans le droit britannique par le principe d’intégrité et de confidentialité énoncé à l’article 5, paragraphe 1, point f), du RGPD britannique et à son article 32 relatif à la sécurité du traitement. Ces dispositions sont identiques aux dispositions correspondantes du règlement (UE) 2016/679. Par ailleurs, le RGPD britannique impose la notification à l’autorité de contrôle d’une violation de données à caractère personnel (article 33) et la communication à la personne concernée d’une violation de données à caractère personnel (article 34) dans les mêmes conditions que celles énoncées aux articles 33 et 34 du règlement (UE) 2016/679.

2.5.4. Transparence

(49) Les personnes concernées devraient être informées des principales caractéristiques du traitement des données à caractère personnel les concernant.

(50) Ce principe est garanti par les articles 13 et 14 du RGPD britannique qui, outre un principe général de transparence, établissent les règles relatives aux informations à fournir aux personnes concernées (42). Le RGPD britannique n’apporte aucune modification de fond à ces règles par rapport aux articles correspondants du règlement (UE) 2016/679. Toutefois, comme dans le règlement (UE) 2016/679, les exigences de transparence de ces articles font l’objet de plusieurs exceptions prévues par la DPA 2018 (voir les considérants 55 à 72).

2.5.5. Droits individuels

(51) Les personnes concernées devraient disposer de certains droits qu’elles peuvent opposer au responsable du traitement ou au sous-traitant, en particulier le droit d’accéder aux données, le droit de s’opposer au traitement et le droit d’obtenir la rectification et l’effacement des données. Dans le même temps, de tels droits peuvent être soumis à des limitations, dans la mesure où celles-ci sont nécessaires et proportionnées pour garantir la sécurité publique ou d’autres objectifs d’intérêt public importants.

2.5.5.1. Les droits substantiels

(52) Le RGPD britannique confère aux personnes physiques les mêmes droits opposables que ceux prévus par le règlement (UE) 2016/679. Les dispositions établissant les droits des personnes ont été maintenues dans le RGPD britannique sans modifications de fond.

(53) Ces droits incluent le droit d’accès de la personne concernée (article 15 du RGPD britannique), le droit de rectification (article 16 du RGPD britannique), le droit à l’effacement (article 17 du RGPD britannique), le droit à la limitation du traitement (article 18 du RGPD britannique), une obligation de notification en ce qui concerne la rectification ou l’effacement de données à caractère personnel ou la limitation du traitement (article 19 du RGPD britannique), le droit à la portabilité des données (article 20 du RGPD britannique) et le droit d’opposition (article 21 du RGPD britannique) (43). Ce dernier comprend le droit d’une personne concernée de s’opposer au traitement des données à caractère personnel à des fins de prospection, conformément à l’article 21, paragraphes 2 et 3, du règlement (UE) 2016/679. De plus, en vertu de l’article 122 de la DPA 2018, le commissaire à l’information doit préparer un code de bonnes pratiques relatif à l’exercice des activités de prospection dans le respect des exigences de la législation en matière de protection des données [et de la réglementation de 2003 sur la vie privée et les communications électroniques (directive CE)], ainsi que d’autres orientations afin de promouvoir les bonnes pratiques de prospection qu’il juge appropriées. Le bureau du commissaire à l’information élabore actuellement le code relatif à la prospection (44).

(54) Le droit de la personne concernée de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé et produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire, tel qu’il est prévu à l’article 22 du RGPD, a également été conservé dans le RGPD britannique sans modifications de fond. Cependant, un nouveau paragraphe 3A a été ajouté afin de mentionner que l’article 14 de la DPA 2018 prévoit des garanties pour les droits, les libertés et les intérêts légitimes des personnes concernées lorsque le traitement est effectué au titre de l’article 22, paragraphe 2, point b), du RGPD britannique. L’article 14 ne s’applique que lorsqu’une telle décision est autorisée ou requise en vertu du droit britannique et ne s’applique pas lorsque la décision est requise en vertu d’un contrat ou lorsqu’elle est prise avec le consentement explicite de la personne concernée. Lorsque l’article 14 de la DPA 2018 s’applique, le responsable du traitement doit, dès que cela est raisonnablement possible, notifier par écrit à la personne concernée qu’une décision a été prise sur le seul fondement d’un traitement automatisé. La personne concernée a le droit de demander que le responsable du traitement, dans un délai d’un mois à compter de la réception de la notification, réexamine la décision ou prenne une nouvelle décision qui ne soit pas fondée exclusivement sur un traitement automatisé. Le secrétaire d’État est habilité à adopter des garanties supplémentaires en ce qui concerne la prise de décision automatisée. Ce pouvoir n’a pas encore été exercé.

2.5.5.2. Limitations des droits individuels et autres dispositions

(55) La DPA 2018 prévoit plusieurs limitations des droits individuels, qui s’inscrivent dans le cadre de l’article 23 du RGPD britannique. Aucune limitation n’est introduite dans ce cadre en ce qui concerne le droit de s’opposer à la prospection, tel qu’il est prévu à l’article 21, paragraphes 2 et 3, du RGPD britannique, ou le droit de ne pas faire l’objet d’une prise de décision automatisée, tel qu’il est prévu à l’article 22 du RGPD britannique.

(56) Ces limitations sont détaillées aux annexes 2 à 4 de la DPA 2018. Les autorités britanniques ont expliqué qu’elles étaient guidées par deux principes: le principe de spécificité (adoption d’une approche granulaire, en divisant des limitations générales en plusieurs dispositions plus spécifiques) et le principe de conditionnalité (chaque disposition est complétée par des garanties sous la forme de limitations ou de conditions afin d’éviter les abus) (45).

(57) Les limitations décrites à l’article 23, paragraphe 1, du RGPD britannique visent à faire en sorte qu’elles ne soient appliquées que dans des circonstances déterminées, lorsqu’elles sont nécessaires dans une société démocratique et proportionnées à l’objectif légitime poursuivi. En outre, conformément à la jurisprudence constante au sujet de l’interprétation des limitations, une exemption du régime de protection des données ne peut être appliquée dans un cas d’espèce que si elle est nécessaire et proportionnée (46). Le critère de nécessité doit être «strict et exiger que toute ingérence dans les droits de la personne soit proportionnée à la gravité de la menace pour l’intérêt public. Cet exercice nécessite donc une analyse de proportionnalité classique (47)».

(58) Les finalités visées par ces limitations correspondent à celles énumérées à l’article 23 du règlement (UE) 2016/679, sauf en ce qui concerne les limitations relatives à la sécurité nationale et à la défense, lesquelles sont plutôt réglementées par l’article 26 de la DPA 2018. Toutefois, elles sont soumises aux mêmes exigences de nécessité et de proportionnalité (voir les considérants 63 à 66).

(59) Certaines de ces limitations, par exemple celles relatives à la prévention ou à la détection des infractions pénales, à l’arrestation ou à la poursuite des criminels et à l’établissement ou au recouvrement d’un impôt, d’une taxe ou d’un droit (48), permettent de restreindre l’ensemble des droits individuels et des obligations de transparence (à l’exclusion des droits prévus à l’article 21, paragraphe 2, et à l’article 22). La portée des autres limitations est limitée aux obligations de transparence et aux droits d’accès, comme celles relatives au secret professionnel (49), au droit d’être dégagé de l’obligation de fournir des informations qui conduiraient à s’auto-incriminer (50), et au financement des entreprises, notamment la prévention des délits d’initiés (51). Quelques limitations permettent de restreindre l’obligation, pour le responsable du traitement, de communiquer une violation de données à une personne concernée et les principes de limitation de la finalité, de licéité, de loyauté et de transparence du traitement (52).

(60) Certaines de ces limitations s’appliquent automatiquement et «pleinement» à un certain type de traitement de données à caractère personnel (par exemple, l’application des obligations de transparence et des droits individuels est exclue lorsque les données à caractère personnel sont traitées afin d’évaluer l’aptitude d’une personne à exercer une fonction juridictionnelle ou lorsqu’elles sont traitées par une juridiction ou par une personne agissant dans l’exercice d’une fonction juridictionnelle).

(61) Cependant, dans la majorité des cas, le point pertinent de l’annexe 2 de la DPA 2018 précise que la limitation ne s’applique que lorsque (et dans la mesure où) l’application des dispositions «est susceptible de porter préjudice» à l’objectif légitime poursuivi par cette limitation: par exemple, les dispositions énumérées dans le RGPD britannique ne s’appliquent pas aux données à caractère personnel traitées aux fins de la prévention ou de la détection des infractions pénales, de l’arrestation ou de la poursuite des criminels, ou de l’établissement ou du recouvrement d’un impôt, d’une taxe ou d’un droit «dans la mesure où l’application de ces dispositions est susceptible de porter préjudice» à ces finalités, quelles qu'elles soient (53).

(62) Le critère de «préjudice probable» a été systématiquement interprété par les tribunaux britanniques comme «un risque très significatif et important de porter préjudice aux intérêts généraux visés» (54). Une restriction soumise au critère du préjudice ne peut donc être invoquée que si et dans la mesure où il existe une probabilité très importante et importante que l’octroi d’un certain droit porterait atteinte à l’intérêt public en jeu. Le responsable du traitement est chargé d’évaluer au cas par cas si ces conditions sont remplies (55).

(63) Outre les limitations visées à l’annexe 2 de la DPA 2018, son article 26 prévoit une exemption qui peut s’appliquer à certaines dispositions du RGPD britannique et de la DPA 2018 si celle-ci est nécessaire pour garantir la sécurité nationale ou à des fins de défense. Cette exemption s’applique aux principes relatifs à la protection des données (à l’exception du principe de licéité), aux obligations de transparence, aux droits de la personne concernée, à l’obligation de notifier une violation de données, aux règles relatives aux transferts internationaux, à certains des devoirs et des pouvoirs du commissaire à l’information et aux règles relatives aux voies de recours, à la responsabilité et aux sanctions, à l’exception de la disposition de l’article 83 du RGPD britannique relative aux conditions générales applicables à l’imposition d’amendes administratives et de la disposition de son article 84 relative aux sanctions. En outre, l’article 28 de la DPA 2018 modifie l’application de l’article 9, paragraphe 1, du RGPD britannique afin de permettre le traitement des catégories particulières de données énoncées dans cet article, dans la mesure où le traitement est effectué pour garantir la sécurité nationale ou à des fins de défense, moyennant les garanties appropriées pour les droits et libertés des personnes concernées (56).

(64) L’exemption ne peut être appliquée que dans la mesure où elle est nécessaire pour garantir la sécurité nationale ou la défense. De la même manière que pour les autres exemptions prévues par la DPA 2018, elle doit être envisagée et invoquée par le responsable du traitement au cas par cas. De plus, toute application de l’exemption doit être conforme aux normes relatives aux droits de l’homme (fondées sur la loi de 1998 sur les droits de l’homme), selon lesquelles toute ingérence dans les droits au respect de la vie privée devrait être nécessaire et proportionnée dans une société démocratique (57).

(65) Cette interprétation de l’exemption est confirmée par l’ICO, qui a publié des orientations détaillées sur l’application de l’exemption en matière de sécurité et de défense nationales, indiquant clairement qu’elle doit être examinée et appliquée par le responsable du traitement au cas par cas (58). En particulier, les orientations soulignent que «le traitement des données n’est pas une exemption générale» et que, pour l’invoquer, «il ne suffit pas que les données soient traitées à des fins de sécurité nationale». En revanche, le responsable du traitement qui l’invoque doit «démontrer qu’il existe une possibilité réelle d’atteinte à la sécurité nationale» et, le cas échéant, il est censé «fournir [à l’ICO] des éléments de preuve sur les raisons pour lesquelles il a eu recours à cette exemption». Les orientations contiennent une liste de contrôle et une série d’exemples visant à clarifier davantage les conditions dans lesquelles cette exemption peut être invoquée.

(66) Le fait que les données soient traitées à des fins de sécurité nationale ou de défense ne suffit donc pas en soi pour appliquer l’exemption. Un responsable du traitement doit considérer les conséquences concrètes pour la sécurité nationale s’il devait respecter la disposition particulière relative à la protection des données. L’exemption ne peut s’appliquer qu’aux dispositions spécifiques qui ont été désignées comme posant un tel risque et cette application doit être aussi restrictive que possible (59).

(67) Cette approche a été confirmée par le tribunal de l’information (Information Tribunal) (60). Dans l’arrêt Baker/Secretary of State for the Home Department (ci-après l’«arrêt Baker/Secretary of State»), ce tribunal a déterminé qu’il était illégal d’appliquer l’exemption concernant la sécurité nationale comme une exemption générale aux demandes d’accès reçues par les services de renseignement. L’exemption doit plutôt être appliquée au cas par cas, en examinant le bien-fondé de chaque demande et en tenant compte du droit des personnes au respect de leur vie privée (61).

2.5.6. Limitations concernant le traitement des données à caractère personnel réalisé à des fins journalistiques, artistiques, universitaires et littéraires, ainsi qu’à des fins archivistiques et de recherche

(68) L’article 85, paragraphe 2, du RGPD britannique permet de prévoir des exemptions à plusieurs de ses dispositions pour le traitement des données à caractère personnel réalisé à des fins journalistiques, artistiques, universitaires et littéraires. L’annexe 2, partie 5, de la DPA 2018 définit les exemptions applicables au traitement effectué à ces fins. Elle prévoit des exemptions aux principes relatifs à la protection des données (à l’exception du principe d’intégrité et de confidentialité), aux fondements juridiques du traitement (y compris pour les catégories particulières de données, les données relatives à des condamnations pénales, etc.), aux conditions applicables au consentement, aux obligations de transparence, aux droits des personnes concernées, à l’obligation de notifier une violation de données, à l’obligation de consulter le commissaire à l’information avant un traitement présentant un risque élevé et aux règles relatives aux transferts internationaux (62). À cet égard, le RGPD britannique ne s’écarte pas de manière substantielle du règlement (UE) 2016/679, lequel, dans son article 85, prévoit également la possibilité d’exempter le traitement réalisé à des fins journalistiques ou à des fins d’expression universitaire, artistique ou littéraire de plusieurs exigences dudit règlement. Les dispositions de la DPA 2018, notamment son annexe 2, partie 5, sont compatibles avec le RGPD britannique.

(69) L’exercice de mise en balance fondamental à effectuer au titre de l’article 85 du RGPD britannique porte sur la question de savoir si une exemption aux règles en matière de protection des données mentionnées au considérant 68 est «nécessaire pour concilier le droit à la protection des données à caractère personnel et la liberté d’expression et d’information» (63). Conformément à l’annexe 2, point 26, sous 2) et 3), de la DPA 2018, le Royaume-Uni applique le critère de la «croyance raisonnable» en vue de trouver cet équilibre. Pour qu’une exemption soit justifiée, le responsable du traitement doit raisonnablement croire i) que la publication est d’intérêt public; et ii) que l’application de la disposition pertinente du RGPD serait incompatible avec les finalités journalistiques, universitaires, artistiques ou littéraires. Comme le confirme la jurisprudence (64), le critère de la «croyance raisonnable» comporte à la fois un élément subjectif et objectif: il ne suffit pas, pour le responsable du traitement, de démontrer qu’il croyait personnellement que le respect de la disposition était incompatible. Sa croyance doit être raisonnable, c’est-à-dire qu’elle pourrait être partagée par une personne raisonnable ayant connaissance des faits pertinents. Par conséquent, le responsable du traitement doit faire preuve d’un soin particulier lorsqu’il se forge une croyance afin d’être en mesure de démontrer son caractère raisonnable. D’après les explications fournies par les autorités du Royaume-Uni, le critère de la «croyance raisonnable» doit être appliqué au cas par cas (65). Si les conditions sont remplies, l’exemption est considérée comme nécessaire et proportionnée en vertu du droit britannique.

(70) Conformément à l’article 124 de la DPA 2018, l’ICO doit préparer un code de bonnes pratiques relatif à la protection des données et au journalisme. Ce code est en cours d’élaboration. Les orientations publiées sur la question relevant de la loi de 1998 sur la protection des données soulignent notamment que, pour appliquer cette exemption, il ne suffit pas d’affirmer que le respect de la disposition entraverait les activités journalistiques, mais il faut également démontrer clairement que la disposition en cause constitue un obstacle au journalisme responsable (66). Des orientations relatives à l’application du critère de l’intérêt public et à la mise en balance de l’intérêt public avec le droit au respect de la vie privée d’une personne ont également été publiées par l’autorité de régulation des télécommunications du Royaume-Uni, l’Ofcom, et par la BBC dans ses directives éditoriales (67). Les directives fournissent notamment des exemples d’informations pouvant être considérées comme relevant de l’intérêt public, et expliquent la nécessité d’être en mesure de démontrer la supériorité de l’intérêt public sur le droit au respect de la vie privée dans les circonstances particulières du cas en question.

(71) À l’instar de ce que prévoit l’article 89 du RGPD, les données à caractère personnel traitées à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques peuvent également être exemptées d’un certain nombre de dispositions énumérées dans le RGPD britannique (68). En ce qui concerne les finalités de recherche et statistiques, des exemptions sont possibles aux dispositions du RGPD britannique relatives à la confirmation du traitement et à l’accès aux données et aux garanties pour les transferts vers des pays tiers; le droit de rectification; le droit à la limitation du traitement et à l’opposition au traitement. S’agissant des finalités archivistiques dans l’intérêt public, des exemptions sont également possibles à l’obligation de notification liée à la rectification ou à l’effacement de données à caractère personnel ou à la limitation du traitement, ainsi qu’au droit à la portabilité des données.

(72) Conformément à l’annexe 2, point 27, sous 1), et point 28, sous 1), de la DPA 2018, les exemptions aux dispositions énumérées dans le RGPD britannique sont possibles lorsque l’application de ces dispositions «rendrait impossible ou compromettrait gravement la réalisation» des finalités en cause (69).

(73) Compte tenu de leur importance pour l’exercice effectif des droits individuels, toute évolution pertinente concernant l’interprétation et l’application pratique des exemptions susmentionnées (en plus de celle relative au maintien d’un contrôle efficace de l’immigration, comme expliqué au considérant 6), y compris toute évolution ultérieure de la jurisprudence et des orientations et mesures d’exécution de l’ICO, sera dûment prise en compte dans le cadre du suivi continu de la présente décision (70).

2.5.7. Limitations concernant les transferts ultérieurs

(74) Le niveau de protection conféré aux données à caractère personnel qui sont transférées depuis l’Union européenne vers des responsables du traitement ou des sous-traitants au Royaume-Uni ne doit pas être compromis par le transfert ultérieur de ces mêmes données vers des destinataires se trouvant dans un pays tiers. Ces «transferts ultérieurs» qui constituent, du point de vue du responsable du traitement ou du sous-traitant britannique, des transferts internationaux en provenance du Royaume-Uni ne devraient être autorisés que si le destinataire ultérieur en dehors du Royaume-Uni est lui-même soumis à des règles assurant un niveau de protection semblable à celui garanti par l’ordre juridique britannique. C’est pourquoi l’application des règles du RGPD britannique et de la DPA 2018 relatives aux transferts internationaux de données à caractère personnel est un facteur important pour garantir la continuité de la protection en cas de transfert de données à caractère personnel au départ de l’Union européenne vers le Royaume-Uni en vertu de la présente décision.

(75) Le régime applicable aux transferts internationaux de données à caractère personnel en provenance du Royaume-Uni est décrit aux articles 44 à 49 du RGPD britannique, complétés par la DPA 2018, et est, en substance, identique aux règles définies au chapitre V du règlement (UE) 2016/679 (71). Les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale ne peuvent avoir lieu que sur le fondement d’un règlement d’adéquation [l’équivalent au Royaume-Uni d’une décision d’adéquation en vertu du règlement (UE) 2016/679] ou, en l’absence d’un tel règlement, lorsque le responsable du traitement ou le sous-traitant a prévu des garanties appropriées conformément à l’article 46 du RGPD britannique. En l’absence d’un règlement d’adéquation ou de garanties appropriées, un transfert ne peut avoir lieu que sur la base des dérogations prévues à l’article 49 du RGPD britannique.

(76) Les règlements d’adéquation adoptés par le secrétaire d’État peuvent disposer qu’un pays tiers (ou un territoire ou un secteur dans un pays tiers), une organisation internationale ou une description (72) de ce pays, de ce territoire, de ce secteur ou de cette organisation assure un niveau adéquat de protection des données à caractère personnel. Lorsqu’il évalue le caractère adéquat du niveau de protection, le secrétaire d’État doit tenir compte exactement des mêmes éléments que ceux que la Commission est tenue d’apprécier au titre de l’article 45, paragraphe 2, points a) à c), du règlement (UE) 2016/679, interprété en combinaison avec son considérant 104 et la jurisprudence de l’Union conservée. Autrement dit, lors de l’évaluation du caractère adéquat du niveau de protection d’un pays tiers, le critère pertinent consistera à déterminer si ce pays tiers assure un niveau de protection «essentiellement équivalent» à celui qui est garanti au Royaume-Uni.

(77) S’agissant de la procédure, les règlements d’adéquation sont soumis aux règles de procédure «générales» prévues à l’article 182 de la DPA 2018. Dans le cadre de cette procédure, le secrétaire d’État doit consulter le commissaire à l’information lorsqu’il propose à l’adoption des règlements d’adéquation (73). Une fois adoptés par le secrétaire d’État, ces règlements sont présentés au Parlement et sont soumis à la procédure de «résolution négative» dans le cadre de laquelle les deux chambres du Parlement peuvent examiner les règlements et déposer une motion en vue de leur annulation dans un délai de 40 jours (74).

(78) Conformément à l’article 17B, paragraphe 1, de la DPA 2018, les règlements d’adéquation doivent être réexaminés au moins tous les quatre ans et le secrétaire d’État doit suivre, de manière permanente, les évolutions dans les pays tiers et au sein des organisations internationales qui pourraient affecter les décisions d’adopter, de modifier ou d’abroger ces règlements. Lorsque le secrétaire d’État constate qu’une organisation ou un pays donné n’assure plus un niveau de protection adéquat des données à caractère personnel, il doit, dans la mesure nécessaire, modifier ou abroger les règlements et engager des consultations avec l’organisation internationale ou le pays tiers concerné afin de remédier à l’insuffisance du niveau de protection. Ces aspects de la procédure reflètent également les exigences correspondantes du règlement (UE) 2016/679.

(79) En l’absence de règlement d’adéquation, les transferts internationaux peuvent avoir lieu lorsque le responsable du traitement ou le sous-traitant a prévu des garanties appropriées conformément à l’article 46 du RGPD britannique. Ces garanties sont semblables à celles visées à l’article 46 du règlement (UE) 2016/679. Elles comprennent des instruments juridiquement contraignants et exécutoires entre les autorités ou organismes publics, des règles d’entreprise contraignantes (75), des clauses types de protection des données, des codes de conduite approuvés, des mécanismes de certification approuvés et, sous réserve de l’autorisation du commissaire à l’information, des clauses contractuelles entre les responsables du traitement (ou les sous-traitants) ou des arrangements administratifs entre les autorités publiques. Toutefois, les règles ont été modifiées, du point de vue de la procédure, pour fonctionner dans le cadre du Royaume-Uni. En particulier, les clauses types de protection des données peuvent être adoptées par le secrétaire d’État (article 17C) ou le commissaire à l’information (article 119A), conformément à la DPA 2018.

(80) En l’absence d’une décision d’adéquation ou de garanties appropriées, un transfert ne peut avoir lieu que sur la base des dérogations énoncées à l’article 49 du RGPD britannique (76). Le RGPD britannique n’apporte aucune modification de fond aux dérogations par rapport aux règles correspondantes du règlement (UE) 2016/679. En vertu du RGPD britannique comme en vertu du règlement (UE) 2016/679, il n’est possible de recourir à certaines dérogations que si le transfert revêt un caractère occasionnel (77). En outre, dans ses orientations sur les transferts internationaux, l’ICO précise ce qui suit: «Il convient de ne les appliquer qu’en tant que véritables “exceptions” à la règle générale selon laquelle vous ne devez pas procéder à un transfert restreint, sauf si celui-ci est couvert par une décision d’adéquation ou si des garanties appropriées sont en place» (78). En ce qui concerne les transferts nécessaires pour des motifs importants d’intérêt public [article 49, paragraphe 1, point d)], le secrétaire d’État peut adopter des règlements afin de préciser les circonstances dans lesquelles un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale n’est pas nécessaire pour des motifs importants d’intérêt public. En outre, le secrétaire d’État peut, par voie de règlements, restreindre le transfert d’une catégorie de données à caractère personnel vers un pays tiers ou à une organisation internationale lorsque celui-ci ne peut avoir lieu sur le fondement de règlements d’adéquation et lorsque le secrétaire d’État considère que cette limitation est nécessaire pour des motifs importants d’intérêt public. Aucun règlement de ce type n’a été adopté à ce jour.

(81) Ce cadre relatif aux transferts internationaux est devenu applicable à la fin de la période de transition (79). Cependant, l’annexe 21, point 4, de la DPA 2018 (introduite par la réglementation DPPEC) prévoit qu’à partir de la fin de la période de transition, certains transferts de données à caractère personnel sont traités comme s’ils étaient fondés sur des règlements d’adéquation. Sont compris les transferts vers un État de l’EEE, le territoire de Gibraltar, une institution, un organe ou un organisme de l’Union créé par le traité UE ou en vertu de celui-ci, et les pays tiers qui faisaient l’objet d’une décision d’adéquation de l’Union à la fin de la période de transition. En conséquence, les transferts vers ces pays peuvent se poursuivre dans les mêmes conditions que celles en vigueur avant le retrait du Royaume-Uni de l’Union européenne. Après la fin de la période de transition, le secrétaire d’État doit procéder à un examen des présentes conclusions sur l’adéquation au cours d’une période de quatre ans, à savoir d’ici la fin du mois de décembre 2024. Selon les explications fournies par les autorités britanniques, bien que le secrétaire d’État doive procéder à cet examen avant fin décembre 2024, les dispositions transitoires n’incluent pas de disposition de «caducité» et les dispositions transitoires pertinentes ne cesseront pas automatiquement de produire leurs effets si l’examen n’est pas terminé d’ici la fin du mois de décembre 2024.

(82) Enfin, en ce qui concerne l’évolution future du régime des transferts internationaux du Royaume-Uni — par l’adoption de nouveaux règlements d’adéquation, la conclusion d’accords internationaux ou l’élaboration d’autres mécanismes de transfert — la Commission suivra de près la situation, évaluera si les différents mécanismes de transfert sont utilisés de manière à garantir la continuité de la protection et, le cas échéant, prendra les mesures appropriées pour remédier aux éventuels effets négatifs de cette continuité (voir considérants 278 à 287). Étant donné que l’Union et le Royaume-Uni partagent des règles similaires en matière de transferts internationaux, on s’attend à ce que les divergences problématiques soient également évitées par la coopération, l’échange d’informations et le partage d’expériences, y compris entre l’ICO et le comité européen de la protection des données.

2.5.8. Responsabilité

(83) Selon le principe de responsabilité, les entités traitant des données sont tenues de mettre en place les mesures techniques et organisationnelles appropriées pour s’acquitter effectivement de leurs obligations en matière de protection des données et doivent être en mesure de démontrer le respect de ces obligations, en particulier à l’autorité de contrôle compétente.

(84) Le principe de responsabilité établi dans le règlement (UE) 2016/679 a été conservé à l’article 5, paragraphe 2, du RGPD britannique sans modifications de fond. Il en va de même pour l’article 24 relatif à la responsabilité du responsable du traitement, pour l’article 25 relatif à la protection des données dès la conception et par défaut et pour l’article 30 relatif aux registres des activités de traitement. Les articles 35 et 36 relatifs à l’analyse d’impact relative à la protection des données et à la consultation préalable de l’autorité de contrôle ont également été conservés. Les articles 37 à 39 du règlement (UE) relatifs à la désignation et aux missions du délégué à la protection des données ont été conservés dans le RGPD britannique sans modifications de fond. Par ailleurs, les dispositions des articles 40 et 42 du règlement (UE) 2016/679 relatives aux codes de conduite et à la certification ont été conservées dans le RGPD britannique (80).

2.6. Surveillance et contrôle de l’application des règles

2.6.1. Surveillance indépendante

(85) Pour garantir un niveau adéquat de protection des données dans la pratique, il convient de mettre en place une autorité de contrôle indépendante chargée de surveiller l’application des règles en matière de protection des données et de les faire respecter. Cette autorité devrait agir en toute indépendance et en toute impartialité dans l’exercice de ses fonctions et compétences.

(86) Au Royaume-Uni, l’autorité chargée de surveiller l’application du RGPD britannique et de la DPA 2018 et de les faire respecter est le commissaire à l’information. Le commissaire à l’information est une «personne morale individuelle»: une entité juridique distincte constituée en une seule personne. Le commissaire à l’information est soutenu dans ses fonctions par un bureau. Le 31 mars 2020, le personnel permanent du Bureau du commissaire à l’information comptait 768 membres (81). Le ministère parrain du commissaire à l’information est le ministère du numérique, de la culture, des médias et du sport (82).

(87) L’indépendance du commissaire à l’information est expressément établie à l’article 52 du RGPD britannique, lequel n’apporte aucune modification de fond à l’article 52, paragraphes 1 à 3, du RGPD. Conformément au RGPD britannique, le commissaire doit agir en toute indépendance dans l’exercice de ses missions et de ses pouvoirs, demeurer libre de toute influence extérieure, qu’elle soit directe ou indirecte, en lien avec ces missions et ses pouvoirs, et ne solliciter ni n’accepter d’instructions de quiconque. Le commissaire doit également s’abstenir de tout acte incompatible avec ses fonctions et, pendant la durée de son mandat, n’exercer aucune activité professionnelle incompatible, rémunérée ou non.

(88) Les conditions relatives à la nomination et à la révocation du commissaire à l’information sont énoncées à l’annexe 12 de la DPA 2018. Le commissaire à l’information est nommé par Sa Majesté sur recommandation du gouvernement, dans le respect d’une concurrence loyale et ouverte. Le candidat doit justifier des qualifications et des compétences appropriées. Conformément au code de gouvernance pour les nominations publiques (83), un panel d’évaluation consultatif dresse une liste des candidats retenus. Avant que le secrétaire d’État au numérique, à la culture, aux médias et au sport ne rende sa décision finale, la commission spéciale compétente du Parlement doit procéder à un examen préalable minutieux. L’avis de la commission est ensuite rendu public (84).

(89) Le commissaire à l’information exerce ses fonctions pour un mandat d’une durée maximale de sept ans. Une personne ne peut être nommée qu’une seule fois à ce poste. Le commissaire à l’information peut être démis de ses fonctions par Sa Majesté à la suite d’une intervention des deux chambres du Parlement (85). Une demande de révocation du commissaire à l’information ne peut être présentée devant l’une des deux chambres du Parlement, sauf si un ministre de la Couronne a soumis un rapport indiquant que le commissaire à l’information a commis une faute grave et/ou qu’il ne remplit plus les conditions requises pour exercer les fonctions de commissaire (86).

(90) Le financement du commissaire à l’information provient de trois sources: i) les redevances pour la protection des données payées par les responsables du traitement, qui sont fixées par la réglementation du secrétaire d’État (87) [réglementation de 2018 sur la protection des données (redevances et informations)] et qui représentent entre 85 % et 90 % du budget annuel du bureau (88); ii) la subvention versée par le gouvernement au commissaire à l’information. Cette subvention sert principalement à financer les frais de fonctionnement du commissaire à l’information en ce qui concerne ses missions non liées à la protection des données (89); et iii) les frais facturés pour la prestation de services (90). À l’heure actuelle, de tels frais n’ont pas été facturés.

(91) Les fonctions générales du commissaire à l’information relatives au traitement de données à caractère personnel auquel s’applique le RGPD britannique sont définies à son article 57 et reflètent étroitement les règles correspondantes du règlement (UE) 2016/679. Ses fonctions consistent entre autres à contrôler l’application du RGPD britannique et à veiller au respect de celui-ci, à favoriser la sensibilisation du public, à traiter les réclamations introduites par les personnes concernées, à effectuer des enquêtes, etc. En outre, l’article 115 de la DPA 2018 décrit d’autres fonctions générales du commissaire, parmi lesquelles figurent le devoir de conseiller le Parlement, le gouvernement et d’autres institutions et organes sur les mesures législatives et administratives relatives à la protection des droits et libertés des personnes à l’égard du traitement des données à caractère personnel les concernant, et le pouvoir d’émettre, de sa propre initiative ou sur demande, des avis à l’attention du Parlement, du gouvernement ou d’autres institutions et organismes ainsi que du public, sur toute question relative à la protection des données à caractère personnel. Afin de préserver l’indépendance du pouvoir judiciaire, le commissaire à l’information n’est pas autorisé à exercer ses fonctions dans le cadre du traitement de données à caractère personnel par une personne ou une juridiction agissant dans l’exercice de la fonction juridictionnelle. Toutefois, la surveillance du pouvoir judiciaire est assurée par des organes spécialisés (voir les considérants 99 à 103).

2.6.2. Contrôle de l’application des règles, y compris les sanctions

(92) Les pouvoirs du commissaire à l’information sont décrits à l’article 58 du RGPD britannique, qui n’apporte aucune modification de fond à l’article correspondant du règlement (UE) 2016/679. La DPA 2018 fixe des règles complémentaires concernant les modalités d’exercice de ces pouvoirs. Le commissaire dispose notamment des pouvoirs suivants: a) ordonner au responsable du traitement et au sous-traitant (et dans certains cas à toute autre personne) de lui communiquer les informations nécessaires en délivrant un avis d’information (ci-après «avis d’information») (91); b) mener des enquêtes et réaliser des audits en émettant un avis d’évaluation, qui peut obliger le responsable du traitement ou le sous-traitant à autoriser le commissaire à pénétrer dans des locaux spécifiques, à inspecter ou à examiner des documents ou des équipements, à interroger les personnes chargées du traitement des données à caractère personnel pour le compte du responsable du traitement, etc. (ci-après «avis d’évaluation») (92); c) obtenir de toute autre manière l’accès aux documents, etc., des responsables du traitement et des sous-traitants, ainsi que l’accès à leurs locaux, conformément à l’article 154 de la DPA 2018 («pouvoirs d’accès et d’inspection»); d) exercer le pouvoir d’adopter des mesures correctrices, notamment au moyen d’avertissements et de rappels à l’ordre, ou ordonner au responsable du traitement/sous-traitant, par voie d’avis d’exécution, de prendre ou de s’abstenir de prendre des mesures spécifiques, notamment lui ordonner d’accomplir toute action visée à l’article 58, paragraphe 2), points c) à g) et j), du RGPD britannique (ci-après «avis d’exécution») (93); e) et infliger des amendes administratives sous la forme d’un avis de sanction (ci-après «avis de sanction») (94). Ce dernier peut également être délivré dans le cas où une autorité publique n’a pas respecté les dispositions du RGPD britannique (95).

(93) La politique d’action réglementaire de l’ICO décrit les circonstances dans lesquelles il émettra un avis d’information, d’évaluation, d’exécution ou de sanction (96). Un avis d’exécution délivré à la suite d’un manquement d’un responsable du traitement ou d’un sous-traitant peut uniquement imposer les exigences que le commissaire juge appropriées afin de remédier au manquement. Des avis d’exécution et de sanction peuvent être délivrés à un responsable du traitement ou à un sous-traitant dans le cas des violations visées au chapitre II (principes relatifs au traitement), aux articles 12 à 22 (droits de la personne concernée), aux articles 25 à 39 (obligations qui incombent aux responsables du traitement et aux sous-traitants) et aux articles 44 à 49 (transferts internationaux) du RGPD britannique. Un avis d’exécution peut également être délivré à un responsable du traitement qui n’a pas respecté l’obligation de payer la redevance fixée par les règlements adoptés en vertu de l’article 137 de la DPA 2018. En outre, un organisme chargé du suivi au titre de l’article 41 ou un prestataire de services de certification peut se voir délivrer un avis d’exécution s’il n’a pas respecté les obligations découlant du RGPD britannique. Un avis de sanction peut également être délivré à une personne qui ne s’est pas conformée à un avis d’information, à un avis d’évaluation ou à un avis d’exécution.

(94) L’avis de sanction oblige la personne à s’acquitter auprès du commissaire à l’information du montant indiqué dans l’avis. Pour décider s’il y a lieu de délivrer un avis de sanction à une personne et pour déterminer le montant de la sanction, le commissaire à l’information doit tenir compte des éléments énumérés à l’article 83, paragraphes 1 et 2, du RGPD britannique, lesquels sont identiques aux règles correspondantes du règlement (UE) 2016/679 (97). Conformément à l’article 83, paragraphes 4 et 5, le montant maximal des amendes administratives en cas de manquement aux obligations visées dans ces dispositions est respectivement de 8 700 000 GBP ou de 17 500 000 GBP. Dans le cas d’une entreprise, le commissaire à l’information peut également infliger des amendes correspondant à un pourcentage du chiffre d’affaires annuel mondial, si le montant est plus élevé. Comme dans les dispositions équivalentes du règlement (UE) 2016/679, ces montants sont fixés respectivement à 2 % et 4 % dans l’article 83, paragraphes 4 et 5. En cas de non-respect d’un avis d’information, d’un avis d’évaluation ou d’un avis d’exécution, le montant maximal de la sanction qui peut être imposée par voie d’avis de sanction s’élève à 17 500 000 GBP ou, dans le cas d’une entreprise, à 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.

(95) Le RGPD britannique, de même que la DPA 2018, a également renforcé d’autres pouvoirs du commissaire à l’information. Par exemple, le commissaire peut désormais procéder à des audits obligatoires auprès de l’ensemble des responsables du traitement et des sous-traitants au moyen des avis d’évaluation, tandis que, en vertu de la législation précédente, la loi de 1998 sur la protection des données, il ne disposait de ce pouvoir qu’à l’égard des autorités centrales et des organisations de santé, les autres entités et personnes devant accepter de se soumettre à un audit.

(96) Depuis l’introduction du règlement (UE) 2016/679, l’ICO traite environ 40 000 réclamations de personnes concernées par an (98) et, en outre, mène environ 2 000 enquêtes d’office (99). La majorité des réclamations sont liées aux droits d’accès aux données et à la communication des données. À l’issue de ses enquêtes, le commissaire prend des mesures répressives dans un large éventail de secteurs. Plus précisément, selon le dernier rapport annuel (2019-2020) du commissaire à l’information (100), le commissaire a émis 54 avis d’information, 8 avis d’évaluation, 7 avis d’exécution et 4 avertissements, a entamé 8 poursuites et a infligé 15 amendes au cours de la période de référence (101).

(97) Ces mesures comprennent plusieurs sanctions pécuniaires importantes imposées en vertu du règlement (UE) 2016/679 et de la DPA 2018. Le commissaire à l’information a notamment infligé, en octobre 2020, une amende de 20 millions de livres sterling à une compagnie aérienne britannique pour une violation de données concernant plus de 400 000 clients. À la fin du mois d'octobre 2020, une chaîne d’hôtel internationale s’est vu infliger une amende de 18,4 millions de livres sterling pour n’avoir pas veillé à la protection des données à caractère personnel de millions de clients et, en novembre 2020, un fournisseur de services britannique vendant des billets pour des manifestations en ligne a été condamné à verser une amende de 1,25 million de livres sterling pour n’avoir pas protégé les coordonnées bancaires de ses clients (102).

(98) Outre les pouvoirs d’application des règles du commissaire à l’information décrits au considérant 92, certaines violations de la législation en matière de protection des données constituent des infractions et peuvent par conséquent faire l’objet de sanctions pénales (article 196 de la DPA 2018). Ces infractions consistent, par exemple, à obtenir ou à divulguer sciemment ou imprudemment des données à caractère personnel sans le consentement du responsable du traitement, à obtenir la divulgation de données à caractère personnel à une autre personne sans le consentement du responsable du traitement (103), à réidentifier des informations qui constituent des données à caractère personnel anonymisées sans le consentement du responsable du traitement responsable de l’anonymisation de ces données (104), à empêcher, de manière intentionnelle, le commissaire d’exercer ses pouvoirs dans le cadre de l’inspection de données à caractère personnel conformément aux obligations internationales (105), à faire de fausses déclarations en réponse à un avis d’information, ou à détruire des informations en rapport avec des avis d’information et d’évaluation (106).

2.6.3. Surveillance du pouvoir judiciaire

(99) La surveillance du traitement des données à caractère personnel par les juridictions et les juges comporte deux dimensions. Lorsque le titulaire d’une fonction de juge ou une juridiction n’agit pas dans l’exercice de sa fonction juridictionnelle, la surveillance est assurée par l’ICO. Lorsque le responsable du traitement agit dans l’exercice de sa fonction juridictionnelle, l’ICO ne peut exercer ses fonctions de surveillance (107) et la surveillance est assurée par des organismes spéciaux. Cette approche correspond à celle adoptée dans le règlement (UE) 2016/679 (article 55, paragraphe 3).

(100) En particulier, dans le deuxième scénario, dans le cas des juridictions d’Angleterre et du pays de Galles et des tribunaux de première instance et supérieurs d’Angleterre et du pays de Galles, cette surveillance est assurée par le panel de protection des données judiciaires (108). En outre, le président de la Haute Cour et le Premier Président des tribunaux ont publié une déclaration de protection des données (109) qui définit les modalités de traitement des données à caractère personnel par les juridictions d’Angleterre et du pays de Galles dans le cadre de leur fonction juridictionnelle. Une déclaration similaire a été publiée par les autorités judiciaires d’Irlande du Nord (110) et d’Écosse (111).

(101) De plus, en Irlande du Nord, le président de la Haute Cour a nommé un juge de la Haute Cour en qualité de juge chargé de la surveillance des données (112). Il a également publié des orientations à l’intention des juges d’Irlande du Nord sur les mesures à prendre en cas de perte potentielle ou avérée de données et sur les modalités de gestion des problèmes qui en découlent (113).

(102) En Écosse, le Lord President (plus haut magistrat) a nommé un juge chargé de la surveillance des données pour enquêter sur toute réclamation fondée sur la protection des données. Ses fonctions sont décrites dans les règles relatives aux plaintes judiciaires qui correspondent à celles établies pour l’Angleterre et le pays de Galles (114).

(103) Pour finir, à la Cour suprême, l’un des juges de la Cour suprême est nommé pour surveiller la protection des données.

2.6.4. Recours

(104) En vue d’une protection adéquate et, en particulier, du respect de ses droits individuels, la personne concernée doit disposer de possibilités de recours administratif et juridictionnel effectif, y compris d’indemnisation.

(105) Premièrement, une personne concernée a le droit d’introduire une réclamation auprès du commissaire à l’information si elle considère qu’une violation du RGPD britannique a été commise en lien avec des données à caractère personnel la concernant (115). Le RGPD britannique conserve les règles prévues par l’article 77 du règlement (UE) 2016/679 relatives à ce droit, sans modifications de fond. Il en va de même pour les dispositions de l’article 57, paragraphe 1, point f), et de l’article 57, et paragraphe 2, qui décrivent les missions du commissaire dans le cadre du traitement des réclamations. Comme décrit aux considérants 92 à 98 ci-dessus, le commissaire à l’information a le pouvoir d’évaluer le respect du RGPD britannique et de la DPA 2018 par le responsable du traitement et le sous-traitant, de les obliger à prendre ou à s’abstenir de prendre les mesures nécessaires en cas de non-respect et d’infliger des amendes.

(106) Deuxièmement, le RGPD britannique et la DPA 2018 prévoient le droit à un recours contre le commissaire à l’information. Conformément à l’article 78, paragraphe 1, du RGPD britannique, toute personne concernée a le droit de former un recours juridictionnel effectif contre une décision juridiquement contraignante du commissaire qui la concerne. Dans le cadre du contrôle juridictionnel, le juge examine la décision contestée dans la réclamation et détermine si le commissaire à l’information a agi légalement ou non. En outre, conformément à l’article 78, paragraphe 2, du RGPD britannique, si le commissaire ne traite pas une réclamation introduite par la personne concernée de manière appropriée, (116) l’auteur de la réclamation a le droit de former un recours juridictionnel. Il peut demander au tribunal de première instance d’ordonner au commissaire de prendre les mesures appropriées pour donner suite à la réclamation ou de tenir l’auteur de la réclamation informé de son état d’avancement (117). En outre, toute personne qui reçoit l’un des avis susmentionnés (avis d’information, d’évaluation, d’exécution ou de sanction) délivré par le commissaire peut former un recours devant le tribunal de première instance (118). S’il considère que la décision du commissaire n’est pas conforme au droit ou que le commissaire à l’information aurait dû exercer son pouvoir discrétionnaire différemment, le tribunal doit faire droit au recours ou remplacer la décision du commissaire par un autre avis ou une autre décision que celui-ci aurait pu émettre ou prendre.

(107) Troisièmement, les personnes concernées peuvent former un recours juridictionnel contre les responsables du traitement et les sous-traitants directement devant les tribunaux en vertu de l’article 79 du RGPD britannique et de l’article 167 de la DPA 2018. Si, dans le cas d’une demande introduite par une personne concernée, une juridiction constate une violation des droits qui sont conférés à la personne concernée par la législation en matière de protection des données, elle peut ordonner au responsable du traitement, en ce qui concerne le traitement, ou au sous-traitant agissant pour le compte de celui-ci, de prendre ou de s’abstenir de prendre les mesures indiquées dans la décision.

(108) De plus, en vertu de l’article 82 du RGPD britannique et de l’article 168 de la DPA 2018, toute personne ayant subi un dommage matériel ou moral du fait d’une violation du RGPD britannique a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Les règles en matière de réparation et de responsabilité énoncées à l’article 82, paragraphes 1 à 5, du RGPD britannique sont identiques aux règles correspondantes du règlement (UE) 2016/679. En vertu de l’article 168 de la DPA 2018, un préjudice moral inclut également une souffrance. En vertu de l’article 80 du RGPD britannique, la personne concernée a également le droit de mandater un organisme ou une organisation de représentation pour qu’il introduise une réclamation en son nom auprès du commissaire (au titre de l’article 77 du RGPD britannique) et exerce en son nom les droits visés aux articles 78 (droit à un recours juridictionnel effectif contre le commissaire), 79 (droit à un recours juridictionnel effectif contre un responsable du traitement ou un sous-traitant) et 82 (droit à réparation et responsabilité) du RGPD britannique.

(109) Quatrièmement, en sus des différentes possibilités de recours décrites ci-dessus, toute personne qui considère que ses droits, y compris ses droits au respect de la vie privée et à la protection des données, ont été violés par une autorité publique peut demander réparation auprès des juridictions du Royaume-Uni au titre de la loi de 1998 sur les droits de l’homme (119). Une personne prétendant qu’une autorité publique a agi (ou propose d’agir) d’une manière qui est incompatible avec un droit reconnu par la convention et, par conséquent, illégale au sens de l’article 6, paragraphe 1, de la loi de 1998 sur les droits de l’homme, peut intenter une action contre cette autorité auprès de la juridiction compétente ou exercer les droits concernés dans toute procédure judiciaire, lorsqu’elle est (ou se prétend) victime d’un acte illégal.

(110) Si la juridiction constate le caractère illégal d’un acte de l’autorité publique, elle peut, dans la limite de ses pouvoirs, prendre toute mesure ou toute ordonnance qu’elle considère comme juste et appropriée (120). La juridiction peut également déclarer une disposition de droit primaire incompatible avec un droit reconnu par la convention.

(111) Enfin, après avoir épuisé les voies de recours internes, une personne physique peut obtenir réparation auprès de la Cour européenne des droits de l’homme en cas de violation des droits garantis par la convention européenne des droits de l’homme.

3. ACCÈS AUX DONNÉES À CARACTÈRE PERSONNEL TRANSFÉRÉES DE L’UNION EUROPÉENNE ET UTILISATION DE CELLES-CI PAR LES AUTORITÉS PUBLIQUES AU ROYAUME-UNI

(112) La Commission a également évalué le cadre juridique du Royaume-Uni en ce qui concerne la collecte et l’utilisation ultérieure des données à caractère personnel transférées à des opérateurs économiques au Royaume-Uni par les autorités publiques britanniques pour des motifs d’intérêt public, en particulier à des fins répressives et à des fins de sécurité nationale (ci-après l’«accès des pouvoirs publics»). Lorsqu’elle a évalué si les conditions dans lesquelles les pouvoirs publics accèdent aux données transférées vers le Royaume-Uni en vertu de la présente décision remplissaient le critère de l’«équivalence essentielle» conformément à l’article 45, paragraphe 1, du règlement (UE) 2016/679, tel qu’il est interprété par la Cour de justice de l’Union européenne à la lumière de la Charte des droits fondamentaux, la Commission a notamment pris en compte les critères suivants.

(113) En premier lieu, toute limitation du droit à la protection des données à caractère personnel doit être prévue par la loi et la base juridique qui permet l’ingérence dans ce droit doit définir elle-même la portée de la limitation de l’exercice du droit concerné (121).

(114) En second lieu, pour satisfaire à l’exigence de proportionnalité selon laquelle les dérogations à la protection des données à caractère personnel et les limitations de celle-ci doivent s’opérer dans les limites du strict nécessaire dans une société démocratique pour répondre à des objectifs spécifiques d’intérêt général équivalents à ceux reconnus par l’Union, la réglementation du pays tiers en cause permettant l’ingérence doit prévoir des règles claires et précises régissant la portée et l’application de la mesure en cause et imposant des exigences minimales, de telle sorte que les personnes dont les données ont été transférées disposent de garanties suffisantes permettant de protéger efficacement leurs données à caractère personnel contre les risques d’abus (122). Elle doit en particulier indiquer en quelles circonstances et sous quelles conditions une mesure prévoyant le traitement de telles données peut être prise (123), ainsi que soumettre le respect de ces exigences à une surveillance indépendante (124).

(115) En troisième lieu, cette législation doit être juridiquement contraignante en vertu du droit interne et ces exigences légales doivent revêtir un caractère non seulement contraignant pour les autorités, mais également opposable devant les juridictions contre les autorités du pays tiers en cause (125). En particulier, les personnes concernées doivent disposer de la possibilité d’exercer des voies de droit devant un tribunal indépendant et impartial afin d’avoir accès à des données à caractère personnel les concernant, ou d’obtenir la rectification ou la suppression de telles données (126).

3.1. Cadre juridique général

(116) En tant qu’exercice de l’autorité publique, l’accès des pouvoirs publics aux données au Royaume-Uni doit intervenir dans le respect total de la loi. Le Royaume-Uni a ratifié la convention européenne des droits de l’homme [voir le considérant 9 ci-dessus] et toutes les autorités publiques du Royaume-Uni sont tenues d’agir en conformité avec la convention (127). L’article 8 de la convention exige que toute ingérence dans le droit au respect de la vie privée soit prévue par la loi, soit nécessaire à l’une des finalités visées à l’article 8, paragraphe 2, et soit proportionnée par rapport à cette finalité. L’article 8 exige également que l’ingérence soit «prévisible», c’est-à-dire que sa base juridique soit claire et précise et que la législation contienne les garanties nécessaires pour prévenir les abus.

(117) En outre, dans sa jurisprudence, la Cour européenne des droits de l’homme a précisé que toute ingérence dans le droit au respect de la vie privée et à la protection des données devrait être soumise à un système de contrôle effectif, indépendant et impartial, prévu par un juge ou par un autre organe indépendant (128) (par exemple, une autorité administrative ou un organe parlementaire).

(118) Par ailleurs, les personnes physiques doivent bénéficier d’un recours effectif et la Cour européenne des droits de l’homme a expliqué que ce recours devait être offert par un organe indépendant et impartial qui a édicté son propre règlement de procédure, dont les membres doivent exercer ou avoir exercé de hautes fonctions judiciaires ou être des juristes chevronnés, et qu’il ne doit exister aucun obstacle probatoire à surmonter pour pouvoir saisir cette juridiction. Lors de leur examen des réclamations introduites par des particuliers, l’organe indépendant et impartial devrait avoir accès à tous les documents pertinents, y compris à des informations confidentielles. Enfin, il devrait avoir le pouvoir de remédier à la non-conformité (129).

(119) Le Royaume-Uni a également ratifié la convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (convention 108) et a signé, en 2018, le protocole d’amendement à la convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (appelé convention 108+) (130). Conformément à l’article 9 de la convention 108, il n’est possible de déroger aux principes généraux relatifs à la protection des données (article 5 – Qualité des données), aux règles régissant les catégories particulières de données (article 6 – Catégories particulières de données) et aux droits des personnes concernées (article 8 – Garanties complémentaires pour la personne concernée) que lorsqu’une telle dérogation, prévue par la loi de la Partie, constitue une mesure nécessaire dans une société démocratique à la protection de la sécurité de l’État, à la sûreté publique, aux intérêts monétaires de l’État ou à la répression des infractions pénales, ou à la protection de la personne concernée et des droits et libertés d’autrui (131).

(120) Par conséquent, du fait de son appartenance au Conseil de l’Europe, de son adhésion à la convention européenne des droits de l’homme et de sa soumission à la compétence de la Cour européenne des droits l’homme, le Royaume-Uni est soumis à un certain nombre d’obligations, consacrées par le droit international, qui encadrent le système d’accès aux données de ses pouvoirs publics sur la base de principes, de garanties et de droits individuels semblables à ceux garantis par le droit de l’Union et applicables aux États membres. Comme souligné au considérant 19, le respect permanent de ces instruments constitue donc un élément particulièrement important de l’évaluation sur laquelle est fondée la présente décision.

(121) En outre, la DPA 2018 prévoit des garanties et des droits spécifiques en matière de protection des données dans le cadre du traitement des données par les autorités publiques, notamment les autorités répressives et les agences de sécurité nationale.

(122) En particulier, le régime applicable au traitement des données à caractère personnel à des fins répressives est décrit à la partie 3 de la DPA 2018, qui a été adoptée afin de transposer la directive (UE) 2016/680. La partie 3 de la DPA 2018 concerne le traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces (132).

(123) La notion d’«autorité compétente» est définie à l’article 30 de la DPA comme une personne figurant sur la liste établie à l’annexe 7 de la DPA 2018, ainsi que comme toute autre personne, dans la mesure où elle exerce des fonctions statutaires pour l’une des fins répressives (133). Comme expliqué ci-dessous (voir le considérant 139), certaines autorités compétentes (par exemple l’Agence nationale de lutte contre la criminalité) peuvent faire usage, dans certaines conditions, des pouvoirs conférés par la loi de 2016 sur les pouvoirs d’enquête (IPA 2016). Dans ce cas, les garanties prévues par l’IPA 2016 s’appliqueront en plus de celles prévues par la partie 3 de la DPA 2018. Les services de renseignement [le service secret de renseignement (Secret Intelligence Service), le service de sécurité (Security Service) et le quartier général des communications (Government Communications Headquarters)] ne sont pas des «autorités compétentes» (134) au sens de la partie 3 de la DPA 2018 et, par conséquent, les règles qui y sont définies ne s’appliquent à aucune de leurs activités. Une partie spécifique de la DPA 2018 (partie 4) est consacrée au traitement des données à caractère personnel par les services de renseignement (pour plus de détails, voir le considérant 125).

(124) À l’instar de la directive (UE) 2016/680, la partie 3 de la DPA 2018 énonce les principes de licéité et de loyauté (135), de limitation de la finalité (136), de minimisation des données (137), d’exactitude (138), de limitation de la conservation (139) et de sécurité (140). La législation impose des obligations spécifiques de transparence (141) et confère aux personnes concernées un droit d’accès (142), de rectification et de suppression (143) et le droit de ne pas faire l’objet d’une prise de décision automatisée (144). Les autorités compétentes doivent également mettre en œuvre des mesures de protection des données dès la conception et par défaut, tenir un registre des activités de traitement et, pour certaines opérations de traitement, effectuer des analyses d’impact relatives à la protection des données et consulter au préalable le commissaire à l’information (145). Conformément à l’article 56 de la DPA 2018, elles sont tenues de démontrer la conformité du traitement. En outre, les autorités compétentes doivent mettre en place des mesures appropriées visant à garantir la sécurité du traitement (146) et elles sont soumises à des obligations spécifiques en cas de violation de données, notamment l’obligation de notifier une telle violation au commissaire à l’information et aux personnes concernées (147). À l’instar de ce que dispose la directive (UE) 2016/680, le responsable du traitement est également tenu (sauf s’il s’agit d’une juridiction ou d’une autre autorité judiciaire agissant dans l’exercice de sa fonction juridictionnelle) de désigner un délégué à la protection des données (DPD) (148) qui l’aidera à se conformer à ses obligations et à contrôler le respect de ces obligations (149). Par ailleurs, afin de garantir la continuité de la protection, la loi impose des exigences spécifiques relatives aux transferts internation