Introduction
Le 6 mai 2025, le Comité européen de la protection des données (EDPB) a publié plusieurs avis importants concernant le transfert international de données personnelles. Il a émis un avis favorable sur un projet de décision d’adéquation pour l’Organisation européenne des brevets (OEB) et soutenu la prolongation temporaire de l’adéquation du Royaume-Uni pour six mois supplémentaires.
Ces avis ouvrent la voie à des décisions formelles de la Commission européenne qui permettront de sécuriser juridiquement les transferts de données vers ces entités tout en respectant les exigences du RGPD.
Avis favorable pour l’Organisation européenne des brevets
Une structure intergouvernementale désormais reconnue
L’OEB est une organisation internationale créée par la Convention sur le brevet européen, distincte de l’Union européenne. Bien qu’en dehors du cadre de l’UE, elle joue un rôle clé dans la gestion des droits de propriété intellectuelle en Europe.
L’EDPB a estimé que les garanties mises en place par l’organisation étaient suffisantes pour garantir un niveau de protection équivalent à celui exigé par le RGPD. Cet avis favorable constitue une étape préalable nécessaire avant l’adoption formelle d’une décision d’adéquation par la Commission européenne.
Conséquences pratiques pour les entreprises
Une fois la décision d’adéquation formellement adoptée par la Commission européenne, les données personnelles transférées vers l’OEB ne nécessiteront plus de mécanismes de transfert supplémentaires tels que les clauses contractuelles types ou les règles d’entreprise contraignantes.
Cette simplification administrative représente un gain de temps et de ressources considérable pour les entreprises et les inventeurs qui interagissent régulièrement avec l’OEB. Toutefois, les autres obligations du RGPD continueront de s’appliquer à ces transferts.
Prolongation de l’adéquation pour le Royaume-Uni
Une extension de six mois
L’EDPB a également soutenu la prolongation temporaire de l’adéquation du Royaume-Uni. Initialement prévue pour expirer en juin 2025, l’adéquation est désormais susceptible d’être étendue jusqu’à la fin de l’année, sous réserve de l’adoption formelle par la Commission européenne.
Cette prolongation s’explique par la nécessité pour la Commission d’évaluer en profondeur les récentes évolutions législatives britanniques en matière de protection des données, notamment les modifications apportées au UK GDPR et au Data Protection Act.
Pourquoi ce suivi est important
Depuis sa sortie de l’Union européenne, le Royaume-Uni est soumis à un examen régulier sur sa conformité aux standards européens en matière de protection des données. Cette surveillance accrue s’inscrit dans le contexte post-Schrems II, où les exigences en matière de transferts internationaux ont été considérablement renforcées.
L’EDPB rappelle que cette extension est conditionnée au maintien d’un niveau de protection adéquat. Si des divergences significatives apparaissaient, l’adéquation pourrait être remise en question, ce qui aurait des conséquences importantes pour les flux de données entre l’UE et le Royaume-Uni.
Intégration de l’autorité de Bosnie-Herzégovine en tant qu’observatrice
Un signal d’ouverture du cadre européen
Le Comité a également accepté que l’autorité de protection des données de Bosnie-Herzégovine obtienne un statut d’observateur au sein de l’EDPB. Ce statut est généralement accordé aux pays candidats à l’adhésion à l’UE ou à l’Espace économique européen.
Cette décision marque une étape vers un rapprochement réglementaire avec les standards européens et témoigne de la volonté d’harmonisation des législations en matière de protection des données au-delà des frontières de l’UE.
Implications pour les entreprises et les responsables de traitement
Simplification des transferts internationaux
Les décisions d’adéquation constituent le mécanisme de transfert le plus simple prévu par le RGPD. Elles permettent aux entreprises de transférer des données personnelles sans avoir à mettre en place des garanties supplémentaires, ce qui représente un allègement administratif significatif.
Toutefois, les entreprises doivent rester vigilantes quant aux évolutions futures, car les décisions d’adéquation font l’objet d’un réexamen périodique et peuvent être révoquées si les conditions ne sont plus remplies.
Maintien des autres obligations du RGPD
Il est important de souligner que les décisions d’adéquation ne dispensent pas les entreprises de respecter les autres obligations du RGPD, notamment en matière de licéité du traitement, de transparence, de minimisation des données et de sécurité.
Points clés à retenir
- L’EDPB a émis un avis favorable sur un projet de décision d’adéquation pour l’OEB
- La décision d’adéquation du Royaume-Uni devrait être prolongée de six mois
- Ces avis doivent être suivis de décisions formelles de la Commission européenne
- Les décisions d’adéquation simplifient considérablement les transferts internationaux de données
- La Bosnie-Herzégovine se rapproche des standards européens en matière de protection des données
Conclusion
Les avis émis par l’EDPB constituent des développements significatifs pour faciliter les transferts internationaux de données tout en maintenant un niveau élevé de protection. Une fois formalisées par la Commission européenne, ces décisions d’adéquation offriront une sécurité juridique accrue aux entreprises et organisations qui transfèrent des données personnelles vers l’OEB et le Royaume-Uni.
Ces évolutions témoignent de l’importance croissante de la protection des données dans les relations internationales et de la volonté de l’UE d’étendre son influence normative au-delà de ses frontières, tout en veillant à ce que les données des citoyens européens bénéficient d’une protection adéquate où qu’elles soient transférées.