C 253/2
FR
Journal officiel de l’Union européenne
18.7.2023
CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES Résumé de l’avis du contrôleur européen de la protection des données sur la recommandation de décision du Conseil autorisant l’ouverture de négociations concernant des disciplines relatives au commerce numérique avec la République de Corée et avec Singapour (2023/C 253/02) (Le texte complet de l'avis en anglais, français et allemand est disponible sur le site Internet du CEPD https://edps.europa. eu)
Le 14 avril 2023, la Commission européenne a publié une recommandation de décision du Conseil autorisant l’ouverture de négociations concernant des disciplines relatives au commerce numérique avec la République de Corée et avec Singapour.
Cette recommandation a pour objectif d’autoriser la Commission à ouvrir des négociations avec la République de Corée et avec Singapour en vue d’établir des disciplines contraignantes en matière de commerce de biens et de services réalisé par voie électronique.
Ces négociations peuvent porter sur les flux de données transfrontières circulant en toute confiance, les exigences de localisation des données et la protection des données à caractère personnel.
Le CEPD rappelle que, la protection des données à caractère personnel étant un droit fondamental dans l’Union, elle ne peut faire l’objet de négociations dans le cadre des accords commerciaux de l’Union.
Les dialogues sur la protection des données et les négociations commerciales avec les pays tiers peuvent se compléter, mais doivent suivre des voies distinctes.
Les flux de données à caractère personnel entre l’UE et les pays tiers devraient être rendus possibles en recourant aux mécanismes prévus par la législation de l’UE en matière de protection des données.
Le CEPD rappelle que, en 2018, la Commission a approuvé les dispositions horizontales relatives aux flux transfrontaliers de données et à la protection des données à caractère personnel dans les négociations commerciales.
Le CEPD estime que ces dispositions aboutissent à un compromis équilibré entre les intérêts publics et privés, car elles permettent à l’UE de faire face au protectionnisme des pays tiers en matière de commerce numérique, tout en veillant à ce que les accords commerciaux ne puissent pas être utilisés pour remettre en cause le niveau de protection élevé garanti par la Charte des droits fondamentaux de l’UE et la législation de l’UE en matière de protection des données à caractère personnel.
Le CEPD comprend, à la lecture de la recommandation, que les négociations sur les flux de données et la protection des données devraient être ouvertes en vue de convenir de dispositions qui soient cohérentes avec ces dispositions horizontales.
Par souci de clarté, le CEPD recommande de faire expressément référence à ces dispositions horizontales.
En outre, s’agissant plus spécifiquement de la République de Corée, le CEPD note que la Commission a déjà octroyé à ce pays un constat d’adéquation en 2021.
Par conséquent, les transferts de données à caractère personnel réalisés par un responsable ou par un sous-traitant dans l’Espace économique européen (EEE) vers des organisations en République de Corée couvertes par la décision d’adéquation peuvent se dérouler sans que des autorisations supplémentaires ne soient nécessaires.
Dès lors, le CEPD recommande d’expliquer plus en détail pourquoi, malgré la décision d’adéquation, de nouvelles négociations sur les flux transfrontaliers de données et la protection des données sont jugées nécessaires dans le cas de la République de Corée.
De plus, le CEPD comprend les directives de négociation et les dispositions horizontales comme autorisant, dans des cas dûment justifiés, des mesures qui obligeraient les responsables ou les sous-traitants à stocker des données à caractère personnel dans l’UE/EEE.
Le CEPD rappelle que, conjointement avec l’EDPB, il a récemment recommandé que les responsables du traitement et les sous-traitants, établis dans l’UE/EEE et traitant des données de santé électroniques à caractère personnel relevant du champ d’application de la proposition de règlement de la Commission sur l’espace européen des données de santé, soient tenus de stocker ces données dans l’UE/EEE, sans préjudice de la possibilité de transférer des données de santé électroniques à caractère personnel conformément au chapitre V du RGPD.
Pour éviter toute ambiguïté, le CEPD recommande de préciser expressément dans les directives de négociation que les règles négociées ne doivent pas empêcher l’UE ou les États membres d’adopter, dans des cas dûment justifiés, des mesures qui obligeraient les responsables ou les sous-traitants à stocker les données à caractère personnel dans l’UE/EEE.