C 15/220
FR
Journal officiel de l'Union européenne
12.1.2022
Vendredi 21 mai 2021
C. considérant que le Royaume-Uni a toujours été un partenaire commercial important de nombreux États membres de l’Union ainsi qu’un proche allié dans le domaine de la sécurité; que l’Union et le Royaume-Uni devraient poursuivre cette coopération étroite malgré le retrait du Royaume-Uni de l’Union, car cela sera bénéfique pour les deux parties; D. considérant que les entreprises européennes ont besoin de clarté et de sécurité juridiques, étant donné que la capacité de transférer des données à caractère personnel par-delà les frontières se révèle de plus en plus importante pour tous les types d’entreprises qui proposent des biens et des services sur la scène internationale; qu’une décision d’adéquation portant sur le Royaume-Uni au titre du RGPD s’avère de la plus haute importance, étant donné que de nombreuses entreprises européennes font des affaires outre-Manche, étant entendu notamment que le Brexit est encore très récent et que les flux de données au sein de l’Union n’ont pas fait l’objet de restrictions; considérant que l’absence d’adoption d’un cadre d’adéquation fiable risquerait d’engendrer des perturbations dans les transferts commerciaux transfrontières, entre l’Union européenne et le Royaume-Uni, de données à caractère personnel, ainsi que des coûts de mise en conformité élevés; E. considérant que l’accord de commerce et de coopération comporte un certain nombre de garanties et de conditions concernant l’échange de données à caractère personnel pertinentes dans le domaine répressif; que les négociations relatives aux flux de données à caractère personnel ont été menées parallèlement aux négociations sur l’accord de commerce et de coopération, mais n’ont pu être finalisées avant la fin de la période de transition au 31 décembre 2020; qu’une «clause passerelle» a été incluse dans l’accord de commerce et de coopération à titre de solution provisoire, subordonnée à l’engagement du Royaume-Uni de ne pas modifier son régime actuel de protection des données, afin de garantir la continuité des flux de données à caractère personnel entre le Royaume-Uni et l’Union jusqu’à l’adoption d’une décision d’adéquation; que la période initiale de quatre mois a été prolongée et s’achèvera à la fin du mois de juin 2021; F. considérant que l’évaluation réalisée par la Commission avant de présenter son projet de décision d’exécution n’était pas achevée, ni pleinement conforme aux exigences de la Cour de justice en matière d’évaluation de l’adéquation, ce qui a été mis en exergue par le comité européen de la protection des données dans ses avis sur l’adéquation, dans lesquels il recommande à la Commission d’évaluer plus avant certains aspects spécifiques du droit et de la pratique du Royaume-Uni relatifs à la collecte en masse, la divulgation outre-mer et les accords internationaux dans le domaine de l’échange de renseignements, l’utilisation ultérieure des informations collectées à des fins répressives et l’indépendance des commissaires judiciaires; G. considérant que certains aspects de la législation ou des pratiques du Royaume-Uni n’ont pas été pris en considération par la Commission, ce qui a donné lieu à des projets de décisions d’exécution qui ne sont pas conformes au droit de l’Union; que l’article 45 du RGPD dispose que, «lorsqu’elle évalue le caractère adéquat du niveau de protection, la Commission tient compte, en particulier, de […] la législation pertinente, tant générale que sectorielle, y compris en ce qui concerne la sécurité publique, la défense, la sécurité nationale et le droit pénal ainsi que l’accès des autorités publiques aux données à caractère personnel, de même que la mise en œuvre de ladite législation, les règles en matière de protection des données, les règles professionnelles et les mesures de sécurité, y compris les règles relatives au transfert ultérieur de données à caractère personnel vers un autre pays tiers ou à une autre organisation internationale qui sont respectées dans le pays tiers ou par l’organisation internationale en question, la jurisprudence», et des «engagements internationaux pris par le pays tiers ou l’organisation internationale en question, ou d’autres obligations découlant de conventions ou d’instruments juridiquement contraignants ainsi que de sa participation à des systèmes multilatéraux ou régionaux, en particulier en ce qui concerne la protection des données à caractère personnel», ce qui inclut les accords internationaux dans d’autres domaines impliquant un accès à des données ou le partage d’informations, et nécessite donc une évaluation desdits accords internationaux; H. considérant que la Cour de justice a clairement indiqué dans son arrêt Schrems I que «lors de l’examen du niveau de protection offert par un pays tiers, la Commission est tenue d’apprécier le contenu des règles applicables dans ce pays résultant de la législation interne ou des engagements internationaux de celui-ci ainsi que la pratique visant à assurer le respect de ces règles, cette institution devant, conformément à l’article 25, paragraphe 2, de la directive 95/46/CE, prendre en compte toutes les circonstances relatives à un transfert de données à caractère personnel vers un pays tiers» (point 75); I. considérant qu’en ce qui concerne les États membres, les activités des services de renseignement et le partage avec des pays tiers sont exclus du champ d’application du droit de l’Union en vertu des traités, puisque ces activités s’inscrivent dans la nécessaire évaluation de l’adéquation du niveau de protection des données à caractère personnel offert par des pays tiers, ainsi que cela a été confirmé par la Cour de justice dans les arrêts Schrems I et II; J. considérant que les normes en matière de protection des données reposent non seulement sur la législation en vigueur, mais également sur l’application de ces lois dans la pratique, et que, lors de la préparation de sa décision, la Commission n’a évalué que la législation, mais pas son application réelle dans la pratique;