Les gouvernements britannique et américain ont récemment convenu d'établir un nouveau pont de données, basé sur la nouvelle loi britannique sur les données, afin de faciliter le flux de données personnelles entre les deux pays. Cet accord représente une extension britannique du cadre de confidentialité des données convenu entre l'UE et les États-Unis en 2022.
Le pont de données offrira plusieurs avantages aux entreprises et organisations britanniques, notamment l'accélération des processus, la réduction des coûts et l'augmentation des opportunités de commerce international. En 2021, 93 % des exportations de services du Royaume-Uni reposaient sur des données, avec plus de 79 milliards de livres sterling exportées vers les États-Unis. Par supprimer les lourdes formalités administratives, le pont de données devrait stimuler la croissance économique dans les deux pays.
Du point de vue de la réglementation et de la conformité, les entreprises et organisations britanniques doivent se préparer à ce nouvel accord et comprendre ses implications.
Préparation du nouvel accord : exigences réglementaires et de conformité
L'extension britannique du cadre de confidentialité des données crée un « pont de données » entre le Royaume-Uni et les États-Unis, éliminant les clauses contractuelles coûteuses pour les entreprises britanniques transférant des données personnelles à des prestataires de services américains. Les entreprises britanniques doivent comprendre les exigences liées à l’établissement du pont de données afin de répondre aux normes réglementaires et de conformité.
L'accord Data Bridge entre le Royaume-Uni et les États-Unis a un impact sur les pratiques de traitement des données et de confidentialité des entreprises britanniques. Il protège les personnes concernées au Royaume-Uni, réduit les coûts de conformité et offre une flexibilité dans la gestion des données personnelles. Cependant, des défis et des risques surviennent, notamment des inquiétudes quant à son impact sur l'application de la décision d'adéquation au RGPD au Royaume-Uni.
Dans le cadre du nouveau pont de données, les entreprises américaines autorisées à participer au cadre pourront recevoir des données personnelles du Royaume-Uni. Le test d'adéquation au titre du RGPD britannique exige que le secrétaire d'État soit convaincu que les normes britanniques de protection des données en vertu du RGPD britannique ne sont pas compromises lorsque des données personnelles sont transférées vers un autre pays..
Afin de s'aligner sur les normes réglementaires et de conformité, les entreprises et organisations britanniques doivent comprendre les exigences qui doivent être respectées avant que le pont de données puisse être établi. Ils doivent également explorer leurs obligations de conformité en vertu du nouvel accord et prendre des mesures pour s'aligner sur ces normes.
Implications pour les pratiques de traitement des données et de confidentialité des entreprises britanniques
L’accord a pour objectif de protéger les personnes concernées au Royaume-Uni, de favoriser le commerce et de réduire les dépenses de conformité. Il introduit une plus grande flexibilité dans le transfert de données personnelles entre le Royaume-Uni et les États-Unis. Néanmoins, cela comporte également des défis et des risques, notamment des implications potentielles sur la décision britannique d'adéquation du RGPD et sur l'accord entre le Royaume-Uni et les États-Unis sur l'accès aux données électroniques pour lutter contre la criminalité grave.
James Castro-Edwards, avocat en matière de confidentialité des données chez Arnold & Porter, explique que le Data Bridge UK-US est une extension britannique du Data Privacy Framework (DPF) UE-États-Unis, conçu comme un moyen de transférer des données personnelles depuis le L’UE aux États-Unis.
« Comme le Royaume-Uni n'est plus membre de l'UE, les entreprises britanniques ne pourront pas automatiquement s'appuyer sur le DPF pour permettre les transferts de données personnelles vers les États-Unis, si et quand le DPF sera adopté. Le Data Bridge Royaume-Uni-États-Unis vise à permettre aux entreprises britanniques de transférer des données personnelles vers les États-Unis sans nécessiter de garanties telles que les clauses contractuelles types ou « SCC » », explique-t-il.
« Cependant, les entreprises doivent se rappeler que le pont de données entre le Royaume-Uni et les États-Unis dépend de l'évaluation du pont de données par le Royaume-Uni et de la finalisation de travaux techniques supplémentaires, ainsi que de la désignation du Royaume-Uni par les États-Unis comme « État éligible » en vertu du décret 14086. »
Relations avec l'UE : naviguer à l'intersection des réglementations britanniques, américaines et européennes en matière de données
L'accord Data Bridge entre le Royaume-Uni et les États-Unis aura un impact sur les relations des entreprises britanniques avec les pays de l'UE. L'UE a rendu des décisions d'adéquation à la fois pour le RGPD de l'UE et pour la directive relative à l'application des lois (LED), garantir le flux ininterrompu de données entre le Royaume-Uni et l’UE dans la majorité des cas. Pour s'aligner sur ces décisions, le Royaume-Uni a intégré les dispositions du RGPD de l'UE dans sa législation nationale, connue sous le nom de UK GDPR.
Les entreprises britanniques doivent se conformer aux deux ensembles de réglementations, ce qui peut s'avérer difficile en raison des différences d'approche. Alors que l’UE dispose d’une loi complète sur la confidentialité des données, le RGPD, les États-Unis adoptent une approche plus fragmentée avec diverses réglementations spécifiques à certains secteurs.
Dans l'UE, la Le RGPD garantit des réglementations cohérentes pour protéger les données personnelles dans les États membres, définissant les droits individuels et imposant des obligations aux entreprises. En revanche, les États-Unis ne disposent pas d’une loi fédérale unique et complète pour les données personnelles, s’appuyant sur des lois fédérales et étatiques spécifiques à un secteur comme la HIPAA pour les informations médicales. Cette approche fragmentée peut rendre difficile pour les entreprises britanniques de s’y retrouver et de se conformer aux réglementations américaines en matière de données.
Pour maintenir leur conformité, les entreprises britanniques doivent analyser les différences entre les réglementations britanniques, américaines et européennes en matière de données et élaborer des stratégies pour se conformer aux deux ensembles de réglementations. Cela peut impliquer de comprendre et de respecter les dispositions du RGPD britannique, qui intègre les dispositions du RGPD de l'UE..
Cependant, Casey Ellis, fondateur et directeur technique de Bugcrowd, estime que pour les entreprises britanniques, le RGPD est déjà intégré à leurs opérations.
«Je pense que le Royaume-Uni bénéficie par défaut de droits acquis dans le RGPD, mais il essaie évidemment de régler sa propre version. Je ne m'attends pas à ce qu'une version du RGPD propre au Royaume-Uni soit si différente du RGPD », dit-il.
« Compte tenu de tout le travail accompli pour mettre en œuvre les normes de l'UE, le fait que l'UE soit une partie commerciale du Royaume-Uni est assez pertinent et le fait que les gens s'orientent vers cela depuis si longtemps. Alors vraiment, la question est : que diable font les États-Unis et comment pouvons-nous nous connecter de ce côté-ci de l’étang ?
"Comment les États-Unis réfléchissent-ils réellement à la manière dont ils peuvent mener des affaires avec le Royaume-Uni du point de vue des données sans se heurter accidentellement aux politiques qui pourraient être coûteuses d'un point de vue commercial ou préjudiciables du point de vue de la vie privée", prévient Ellis.
Regarder vers l’avenir : maximiser les avantages et garantir la conformité
L'accord aura un impact significatif sur les pratiques des entreprises britanniques en matière de traitement des données et de confidentialité. Il protégera les droits des personnes concernées au Royaume-Uni et réduira les coûts de conformité associés aux mécanismes de transfert alternatifs, favorisant ainsi le commerce et l’innovation.
Pour préparer l'accord, les entreprises britanniques doivent comprendre les conditions préalables à l'établissement du pont de données et évaluer leurs obligations de conformité. Pour maximiser les avantages de l'accord, les entreprises britanniques devraient analyser son impact sur le traitement des données, les pratiques de confidentialité et la flexibilité dans la gestion des données personnelles entre les deux pays. Ils doivent également identifier les défis et les risques potentiels et élaborer des stratégies pour se conformer aux réglementations britanniques, américaines et européennes en matière de données.
