Ceci est un extrait de l’article récemment publié par la présidente du Center for Information Policy Leadership (« CIPL »), Bojana Bellamy. pièce dans le blog IAPP « Privacy Perspectives », et sont les opinions de l’auteur.

Les transferts internationaux de données continuent d’être un problème juridique et de conformité majeur pour les organisations européennes et mondiales, nécessitant une réévaluation continue et des ressources croissantes.

Dans ses récentes orientations de décembre 2022, le comité européen de la protection des données (le « EDPB ») a fourni un projet d’orientations avec des interprétations et des exigences mises à jour concernant l’utilisation du mécanisme de transfert des règles d’entreprise contraignantes (« BCR »). Ce faisant, l’EDPB a raté une occasion d’aborder les BCR de manière systématique, stratégique et avant-gardiste, et de permettre à cet important mécanisme de transfert d’évoluer en un outil plus évolutif, puissant et pertinent à l’échelle mondiale pour des transferts de données internationaux durables.

Il est grand temps de reconsidérer et de faire évoluer les BCR à la lumière du RGPD et des nouvelles lois, ainsi que des nombreux nouveaux développements dans les transferts internationaux de données en Europe et au-delà. Pour réaliser de manière efficace et efficiente le potentiel des RBC, les décideurs doivent :

1. Promouvoir, motiver et reconnaître leur nature particulière. La Commission européenne, le CEPD et les autres autorités de contrôle devraient promouvoir de manière proactive l’adoption à grande échelle des BCR et rendre plus facile et plus attrayante l’obtention de l’approbation des BCR par les groupes d’entreprises de toutes tailles. Les exigences des BCR ne peuvent pas être plus strictes que pour d’autres mécanismes de transfert et doivent refléter la nature unique de ce mécanisme de transfert.
2. Simplifiez et même transformez le processus d’approbation. Pour faciliter leur utilisation plus large, les BCR doivent être évolutives et configurables pour les organisations de toutes tailles et structures d’entreprise. Les autorités de protection des données doivent lire la charge administrative globale et les délais du processus de demande de RCB et fournir des critères clairs et réalisables.
3. Garantir une approche fondée sur les risques pour les évaluations des risques. Les BCR représentent un engagement contraignant envers un niveau uniforme de protection de la vie privée dans l’ensemble d’un groupe d’entreprises. Les décideurs doivent donc veiller à ce que les orientations et les exigences relatives aux évaluations des risques de transfert dans le cadre des BCR n’aient pas de normes plus élevées que d’autres mécanismes de transfert, telles que les clauses contractuelles types. Au lieu de cela, la même approche contextuelle basée sur les risques devrait s’appliquer aux BCR. Sinon, les entreprises qui ont investi dans un niveau de conformité plus élevé, c’est à direLes BCR sont effectivement pénalisées et découragées de le faire à l’avenir.
4. Rendre les BCR interopérables et mutuellement reconnues entre les juridictions. À l’heure actuelle, les organisations sont confrontées à un processus redondant consistant à passer par la même procédure d’approbation des BCR dans l’UE et au Royaume-Uni sans aucune différence dans les exigences de fond. Une reconnaissance mutuelle informelle devrait être étendue au Royaume-Uni, tout comme l’expansion passée pour la Suisse, par exemple. En outre, la Global Privacy Assembly devrait travailler sur un projet de reconnaissance mutuelle, en tout ou en partie, pour les BCR approuvées dans des pays hors de l’UE en vertu de lois similaires sur la protection des données, comme le Brésil, Singapour et l’Australie.
5. Reconnaître les transferts des BCR vers les entreprises approuvées par les BCR. Aujourd’hui, les groupes d’entreprises disposant de BCR ne peuvent s’appuyer sur les BCR que pour les transferts de données intragroupe, c’est à dire, aux responsables du traitement et aux sous-traitants au sein du groupe de sociétés. Étant donné que les BCR sont examinées et approuvées par les régulateurs dans le cadre du RGPD et représentent un programme de conformité complet qui offre un niveau élevé de protection des données pour toutes les données une fois qu’elles entrent dans un groupe d’entreprises, les entreprises avec des BCR devraient être en mesure de faciliter les transferts vers d’autres sociétés approuvées par les BCR. .

Un nombre croissant de juridictions adoptent des dispositions similaires aux BCR. Cela représente une opportunité urgente pour les décideurs politiques d’encourager l’adoption des BCR, en gardant un œil sur l’accessibilité pour les organisations de toutes tailles et la reconnaissance mutuelle entre les organisations approuvées par les BCR au sein de la même juridiction et au-delà.