- Le RGPD continue de s’appliquer matériellement au Royaume-Uni en tant que droit national sous la dénomination “UK GDPR” sur la base du European Union (Withdrawal) Act 2018.
- En outre, le Data Protection Act 2018 et les modifications apportées par le Data Protection, Privacy and Electronic Communications (EU Exit) Regulations 2019 restent applicables.
- Conformément à l’art. 27 UK GDPR, les responsables du traitement et les sous-traitants sans établissement au Royaume-Uni doivent désigner un représentant britannique distinct, même s’ils disposent d’un représentant européen.
Depuis le Brexit, la législation anglaise en matière de protection des données se compose essentiellement des éléments suivants :
- Le RGPD continue à s’appliquer matériellement, mais il ne s’agit plus d’un règlement européen, mais désormais d’un ” règlement sur la protection des données “.UK GDPR”, c’est-à-dire “Règlement (UE) 2016/679 […] tel qu’il fait partie de la législation de l’Angleterre et du Pays de Galles, de l’Écosse et de l’Irlande du Nord”.c’est-à-dire le droit national anglais. Cela résulte de Section 3 de la loi de l’Union européenne (Withdrawal) 2018.
- En outre, la législation anglaise de transposition s’applique, c’est-à-dire que le Loi sur la protection des données 2018.
- De plus, avec l’entrée en vigueur du Brexit, les Règlements 2019 sur la protection des données, la vie privée et les communications électroniques (amendements, etc.) (sortie de l’UE) sont entrées en vigueur. Elles contiennent principalement des modifications du UK GDPR et du Data Protection Act 2018.
Les règles relatives au représentant au Royaume-Uni, le UK Representative, donnent un exemple de l’interaction entre ces dispositions :
- L’article 27 du RGPD exige, dans certaines conditions, la désignation d’un représentant de l’UE.
- Cela s’applique également après le UK GDPR, désormais en tant que droit national anglais.
- Les Data Protection, Privacy and Electronic Communications (Amendments etc) (EU Exit) Regulations 2019 modifient toutefois le texte du RGPD. Selon le paragraphe 21 de l’annexe 1, l’article 27 du RGPD britannique doit être lu comme suit :
Article 27 Représentants des contrôleurs ou des processeurs non établis au Royaume-Uni
1) Lorsque l’article 3, paragraphe 2, s’applique, le contrôleur ou le processeur doit désigner par écrit un représentant au Royaume-Uni.
2) L’obligation énoncée au paragraphe 1 du présent article ne s’applique pas
(a) le traitement qui est occasionnel, qui n’implique pas, à grande échelle, le traitement de catégories particulières de données visées à l’article 9, paragraphe 1, ou le traitement de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l’article 10, et qui n’est pas susceptible d’entraîner un risque pour les droits et libertés des personnes physiques, compte tenu de la nature, du contexte, de l’étendue et des finalités du traitement ; ou
(b) une autorité ou un organisme public.
(paragraphe 3 supprimé)
4. le représentant doit être mandaté par le contrôleur ou le processeur pour être contacté, en plus ou à la place du contrôleur ou du processeur, par, notamment, le commissaire et les personnes concernées, sur toutes les questions relatives au traitement, aux fins d’assurer la conformité avec le présent règlement.
5. la désignation d’un représentant par le contrôleur ou le processeur ne préjuge pas des actions en justice qui pourraient être engagées contre le contrôleur ou le processeur lui-même.
Les responsables du traitement et les sous-traitants en dehors du Royaume-Uni doivent donc désigner un représentant du Royaume-Uni dans les conditions de l’art. 27 (UK-)GDPR, et ce même s’ils ont déjà désigné un représentant de l’UE. Des indications à ce sujet se trouvent à l’ICO. La Période de transition de 4 à 6 mois pour les transferts de données de l’EEE vers le Royaume-Uni rienL’obligation d’informer les autorités de protection des données ne concerne que l’adéquation ou l’admissibilité des transferts transfrontaliers, ce qui n’a rien à voir avec l’obligation de désignation.