Adéquation de l’Office européen de brevets et extension des décisions d’adéquation pour le Royaume-Uni : le CEPD adopte deux avis

Adéquation de l’Office européen de brevets

À la demande de la Commission européenne, le CEPD a rendu un avis sur le projet de décision d’adéquation de la Commission concernant l’Office européenne des brevets (OEB). Une fois formellement adoptée par la Commission, il s’agira de la première décision d’adéquation concernant une organisation internationale et non un pays ou un territoire.

Une décision d’adéquation est une décision adoptée par la Commission européenne sur la base de l’article 45 du RGPD, qui établit qu’un pays tiers (c’est-à-dire un pays non lié par le RGPD) ou une organisation internationale assure un niveau de protection adéquat des données personnelles.

La décision d’adéquation a pour effet de permettre le transfert, sans exigences supplémentaires, de données personnelles depuis les organismes soumis au RGPD vers le pays tiers ou l’organisation internationale concernés. La liste des décisions d’adéquation adoptées par la Commission européenne est disponible sur son site web.

Dans son avis, le CEPD note que le cadre de protection des données de l’OEB est largement aligné sur le cadre de protection des données de l’Union européenne, y compris en ce qui concerne les droits de personnes concernées et principes généraux.

Prolongation de 6 mois des décisions d’adéquation pour le Royaume-Uni

Le CEPD a aussi rendu un avis sur la proposition de la Commission européenne de prolonger de 6 mois les deux décisions d'adéquation du Royaume-Uni - l'une adoptée au titre du RGPD et l'autre au titre de la directive en matière de protection des données dans le domaine répressif -, qui doivent expirer le 27 juin 2025.

Ces décisions avaient été adoptées par la Commission européenne en juin 2021 à la suite du Brexit. Des clauses d’expiration avaient été introduites dans chacune des décisions pour anticiper un éventuel changement radical du cadre juridique en matière de protection des données après le Brexit.

La prolongation des décisions d’adéquation jusqu'au 27 décembre 2025 devrait permettre à la Commission européenne d’évaluer le cadre juridique tel qu’il sera éventuellement modifié par un projet de loi, introduit au Parlement britannique en octobre 2024 et toujours en cours de discussion.

Dans son avis, le CEPD reconnaît la nécessité de cette extension limitée et souligne son caractère exceptionnel dû aux développements législatifs en cours au Royaume-Uni. Le CEPD rappelle la validité de ses remarques dans ses précédents avis 14/2021 et 15/2021 concernant le niveau de protection des données au Royaume-Uni et invite la Commission européenne à en tenir compte dans ses évaluations futures. Il rappelle également l'obligation de la Commission européenne de suivre tous les développements pertinents au Royaume-Uni pendant la période de prolongation.