Brexit britannique et conséquences sur la gestion des données pour les entreprises américaines en Europe

L'impact du vote du Royaume-Uni en faveur du retrait de l'Union européenne

Cette décision pourrait avoir des conséquences considérables pour les entreprises internationales, qui devront repenser leurs politiques de gestion des données. Si le Royaume-Uni fait partie de l'UE, il dispose des mêmes lois sur la souveraineté des données que les autres pays de l'UE. Lorsque le Royaume-Uni se séparera de l'UE, ces lois changeront. Les entreprises américaines opérant en Europe pourraient avoir à gérer un ensemble de lois sur la confidentialité des données pour le Royaume-Uni et un autre pour les pays membres de l'UE. Cette question aura un impact à la fois sur les fournisseurs de services gérés et en nuage, qui devront peut-être proposer des options supplémentaires à leurs clients pour héberger leurs données en Europe, et sur les utilisateurs finaux des entreprises, qui devront peut-être reconsidérer l'endroit où leurs données sont stockées en Europe.

Avec un nombre croissant d'entreprises exposées au risque de violation de données, la conformité à la législation sur la protection des données est un enjeu de plus en plus important. Les entreprises ayant des activités au Royaume-Uni doivent s'assurer qu'elles sont conscientes des conséquences potentielles de la conformité, en particulier en ce qui concerne le nouveau Règlement général sur la protection des données (RGPD) de l'Union européenne.Il est peu probable que le Royaume-Uni mette en œuvre une législation conforme au RGPD. Il est peu probable que le Royaume-Uni mette en œuvre une législation conforme au GDPR. Les entreprises opérant uniquement au Royaume-Uni avec des clients britanniques, et stockant des données uniquement au Royaume-Uni, ne devraient donc pas avoir à mettre en œuvre des changements significatifs dans leurs processus de protection des données. Toutefois, les entreprises américaines opérant également au sein de l'UE devront toujours veiller au respect du GDPR pour les données de leurs clients européens, et devraient donc envisager de prendre les mesures décrites ci-dessous.En quittant l'UE, le Royaume-Uni disposerait d'un certain nombre d'options pour assurer la conformité avec les réglementations européennes :

• Le Royaume-Uni pourrait demander le statut de "juridiction adéquate" - actuellement détenu par un certain nombre de pays, dont le Canada, Israël, la Suisse et l'Uruguay - ce qui impliquerait que les lois britanniques offrent une "équivalence essentielle" en matière de protection des données.
• Le Royaume-Uni pourrait également demander à adhérer à l'Association européenne de libre-échange (AELE) ou à l'Espace économique européen (EEE), ce qui impliquerait que le Royaume-Uni dispose d'une législation conforme au GDPR, qu'il mette en œuvre le GDPR ou qu'il fournisse des garanties supplémentaires d'équivalence essentielle.
• Il est très probable que le Royaume-Uni cherche à conclure un accord régissant les transferts de données sur le modèle du bouclier de protection de la vie privée UE-États-Unis. Selon ce modèle, les entreprises seraient tenues de s'assurer que les données des clients de l'UE sont traitées conformément aux réglementations du GDPR.

Dispositions provisoires Pendant un certain temps, les entreprises internationales devront probablement s'appuyer sur les clauses contractuelles types (CCN) et les règles d'entreprise contraignantes (REC) - les mécanismes juridiques de l'UE pour les transferts de données. En concluant ces accords, les entreprises seront tenues de traiter les données des citoyens de l'UE conformément au GDPR, en respectant les conditions décrites ci-dessus, ainsi qu'en se conformant à toutes les obligations légales dans les limites des SCC et BCR. Dans de tels cas, les entreprises doivent être conscientes de ce qui suit :

\
• Les entreprises devront traiter les données des citoyens de l'UE conformément au GDPR. Cela signifie qu'elles devront prendre les mêmes mesures que si le Royaume-Uni reste dans l'UE. Les entreprises doivent se référer aux conseils ci-dessus sur la conformité au GDPR, qui ne s'appliqueront pas aux données des citoyens britanniques.
• Les entreprises seront tenues d'avoir des locaux dans l'UE qui sont responsables du traitement des données de l'UE. Cela implique la désignation d'un bureau au sein de l'UE en tant que bureau principal de l'entreprise. Ce bureau rendra compte à l'autorité de contrôle du pays dans lequel il est basé au nom de l'ensemble de l'entreprise, en tant qu'autorité principale de cette dernière.
• Les entreprises devront mettre en place des alternatives juridiques au GDPR afin d'éviter toute interruption de service. L'UE a déjà publié deux séries de modèles de CSC, qui peuvent être utilisés mot pour mot si nécessaire ; toutefois, toute modification nécessaire doit être approuvée par l'autorité de protection des données de l'État membre concerné. Les entreprises devraient collaborer avec leur service juridique pour s'assurer que les CSC et les BCR sont conformes à la législation de l'UE.

Si le Royaume-Uni n'harmonise pas ses règles avec celles de l'UE, les entreprises américaines risquent de ne plus pouvoir traiter les données des consommateurs européens au Royaume-Uni, à moins qu'elles n'adoptent des politiques suggérées par l'UE ou approuvées par une autorité de protection des données de l'UE. Cela pourrait avoir un impact sur les entreprises qui souhaitent utiliser des centres de données au Royaume-Uni, même comme solution de secours si leurs centres de données dans d'autres pays de l'UE tombent en panne. Les entreprises régionales d'informatique en nuage sont particulièrement vulnérables aux complications d'une région réglementaire divisée. Les entreprises de cloud computing fonctionnent plus efficacement lorsqu'elles peuvent facilement transférer des charges d'un centre de données à un autre. La restriction des types de données pouvant être stockées dans des lieux spécifiques entrave cette flexibilité. Sources du contenu : Financial Times, Bloomberg, Control Risks, Network World, TechWeek Europe