Le transfert de données au sein de diverses juridictions permet aux entreprises internationales d’harmoniser leurs activités commerciales à l’échelle mondiale. De nouveaux accords en matière de transfert et de protection des données vont donc être nécessaires pour éviter un effet disruptif sur les entreprises du Royaume-Uni et de l’UE.

Le UK Data Protection Act (DPA) est aujourd’hui dépassé, largement considéré comme moins rigoureux que la directive actuelle de l’UE sur la protection et le respect des données privées. Elle est elle-même bien en deçà du futur et très strict Règlement général sur la protection des données de l’UE (plus connu sous ses acronymes de RGPD, en anglais GDPR), qui entrera en vigueur en mai 2018. Celui-ci est basé sur le principe du respect de la confidentialité des données dès la conception des processus qui y font appel (« data privacy by design »). Sujet clé dans toutes les conversations des directions informatiques actuelles, ce règlement régira toutes les entités qui collectent, traitent, consultent, partagent, stockent, hébergent ou transmettent des données européennes à caractère personnel à l’intérieur et en dehors de l’Europe.

Pour l’heure, le Royaume-Uni semble prêt à l’appliquer. Mais les entreprises britanniques qui interagissent de quelque façon que ce soit avec des citoyens de l’UE et vice versa ne peuvent en aucun cas se permettre d’attendre la mise en place d’un cadre réglementaire par le gouvernement britanniques et doivent impérativement réévaluer la façon dont elles se conforment aux cadres réglementaires en vigueur. Elles doivent développer leur propre approche, en auditant les réglementations des pays avec lesquels elles traitent et en s’assurant qu’elles peuvent s’y conformer.

Les entreprises qui opèrent des échanges de toute nature avec le Royaume-Uni ont également tout intérêt à examiner scrupuleusement les niveaux de service et les engagements des prestataires de services auxquels elles confient leurs data. A fortiori lorsqu’elles utilisent des services dans le Cloud. Elles doivent se demander où leurs data seront stockées physiquement, où celles-ci pourront être déplacées, qui pourrait être amené à les manipuler et surtout comment ces données pourraient, le cas échéant, être rapatriées en interne ou chez un autre fournisseur de services. En effet, de quelles options bénéficieront-elles quand de nouvelles lois en matière de confidentialité des données les obligeront à changer de fournisseur de données ? Avec, à la clé, le fait de pouvoir garder le contrôle de leurs données. Celles-ci s’apparentent à une police d’assurance : à condition de les gérer correctement, une entreprise doit être en mesure de les conserver à vie afin de préserver sa latitude stratégique.

L’enjeu de l’application de la réglementation RGPD dépasse l’évitement des pénalités, tout aussi conséquentes soit elles. Elle sera clé pour attirer ou sécuriser de nouveaux clients, qui seront eux-mêmes très attentifs à la façon dont leurs fournisseurs et partenaires appliquent cette réglementation. Mais elle aura aussi un impact sur le niveau de compétitivité des entreprises et sur la pérennité des relations des entreprises européennes avec le Royaume-Uni. Les conséquences du Brexit ne sont « qu’un » paramètre supplémentaire mais très important dans cette équation complexe, qu’il sera essentiel de résoudre.