Archives par mot-clé : Etats-Unis

La « taxe GAFA » imposée par plusieurs pays, dont la France, pourrait coûter très cher aux annonceurs

Publié le par

Google va répercuter à partir du 1er mai en France des « coûts d’exploitation » de 2% pour compenser la taxe GAFA. En Espagne aussi. D’autres pays y ont déjà droit, jusqu’à 5%de hausse : Le Royaume-Uni, l’Autriche et la Turquie. L’OCDE espère un accord international d’ici mi-2021.

Google Ads commencera à facturer de nouveaux frais supplémentaires pour les annonces diffusées dans certains pays. « A compter du 1er mai 2021, des coûts d’exploitation liés à la réglementation de 2% seront ajoutés à votre facture ou relevé pour les annonces diffusées en France. Les coûts d’exploitation liés à la réglementation sont ajoutés pour couvrir une partie des coûts associés au respect de la réglementation concernant la taxe sur les services numériques en France », a prévenu Google début mars sur le support en ligne de Google Ads (1).

Un « protectionnisme-mendiant » (Google)
Et Google de préciser : « Les frais supplémentaires seront ajoutés à vos frais Google Ads à la fin de chaque mois, et le montant correspondant sera prélevé à la date de facturation suivante ». Cette répercussion de la « taxe GAFA » sur les acteurs de la publicité est aussi mise en place en Espagne, à la même date et avec le même taux d’augmentation tarifaire. Au Royaume-Uni, même punition : depuis le 1er novembre 2020, une taxe de 2 % sur les services numériques est facturée pour les annonces diffusées dans ce pays.
En Autriche, la facture est encore plus salée puisque, depuis le 1er novembre 2020, il s’agit d’une taxe de 5 % sur les services numériques ajoutée aux factures ou relevés pour les annonces diffusées en Autriche. La Turquie y a même droit : depuis le 1er novembre 2020, 5% sont ajoutés. « Ces frais supplémentaires découlent de la nouvelle taxe sur les services numériques dans ce pays », justifie à chaque fois Google. La TVA sera facturée en plus de ces nouveaux frais supplémentaires.
Pour l’Union des marques (ex-Union des annonceurs), dirigée par Jean-Luc Chetrit, qui regroupe en France 142 membres (2), la décision de Google est regrettable. L’organisation professionnelle des annonceurs a aussitôt organisé le 17 mars dernier « une session de “questions/réponses” avec les représentants de Google ». Et ce, « compte-tenu de l’importance de cette décision et de ses conséquences potentielles pour la communication des marques ». En France, la « taxe GAFA » a été instaurée pour la première fois en Europe par une loi promulguée en juillet 2019. Cette « taxe sur les services numériques » (3) vise les géants du Net dont le chiffre d’affaires mondial dépasse les 750 millions d’euros, le prélèvement est de 3% du chiffre d’affaires réalisé dans l’Hexagone s’il dépasse les 25 millions d’euros « au titre des services fournis en France ». Sur l’année 2019, cette taxe GAFA chère au ministre français de l’Economie et des finances, a rapporté 400 millions d’euros environ et sans doute davantage sur 2020 malgré les menaces de représailles de l’ancienne administration Trump (4).
Emboîtant le pas de son voisin, l’Espagne a adopté en octobre 2020 une même taxe de 3 %. Google plaide pour une « taxe internationale » qui soit négociée au niveau de l’Organisation de coopération et de développement économiques (OCDE). Karan Bhatia (photo), vice-président en charge des affaires gouvernementales et publiques de Google, avait encore plaidé dans ce sens le 25 février dernier sur un blog officiel du géant du Net : « Certains des pays qui imposent ces taxes ciblées affirment qu’elles contribuent à donner un élan à une réforme fiscale internationale plus vaste. Mais ces taxes sur les services numériques compliquent les efforts pour parvenir à un accord équilibré qui fonctionne pour tous les pays – elles ne font que revendiquer des revenus qui seraient autrement imposés aux Etats-Unis. Nous encourageons ces gouvernements à réduire ce qui est essentiellement des tarifs ou, au minimum, les suspendre pendant que les négociations se poursuivent », avait-t-il tenté de raisonner les pays instaurant une taxe GAFA (5). En vain.
Et Karan Bhatia d’enfoncer le clou : « Laissée sur la trajectoire actuelle, la discorde fiscale pourrait rapidement donner lieu à un protectionnisme “mendiant-ton-voisin” [beggar-thy-neighbor] qui affaiblirait la coopération sur de nombreuses questions ».

Les Etats-Unis renoncent au « safe harbour »
Autant l’administration Trump avait mis des battons dans les roues de l’OCDE dans le processus de réforme de la fiscalité des entreprises multinationales, provoquant à l’automne dernier l’échec des négociations, autant l’administration Biden semble disposée à trouver un accord d’ici le prochain « G20 Finance » réunissant du 9 et 10 juillet prochains les ministres des Finances et les gouverneurs des banques centrales. La nouvelle secrétaire au Trésor américain, Janet Yellen, a assuré le 26 février dernier, lors d’un G20 Finance en visioconférence, que les Etats-Unis étaient prêts à négocier des droits d’imposition entre pays de production et pays de consommation (premier pilier) et un taux minimum au niveau mondial (deuxième pilier). Elle a annoncé que Washington renonçait au principe de « safe harbour » qui, s’il avait été maintenu, aurait permis aux géants du numérique d’accepter ou pas le nouveau régime fiscal. Ce verrou est levé.

Janet Yellen d’accord avec Bruno Le Maire
Les représailles envisagées par l’administration Trump à l’encontre de produits français, en leur appliquant des droits de douane supplémentaires, avaient été suspendues juste avant la fin du mandat de Donald Trump. Avant même sa prise de fonction en janvier, Janet Yellen avait admis que « [cette taxe] permettrait de percevoir une juste part des entreprises, tout en maintenant la compétitivité de nos entreprises et en diminuant les incitations (…) aux activités offshore». Le ministre français de l’Economie, des Finances et de la Relance, Bruno Le Maire, s’est félicité de « l’engagement de la secrétaire d’Etat [au Trésor américain, Janet Yellen] en faveur d’une participation active des équipes américaines aux discussions sur la fiscalité au sein de l’OCDE, en vue d’un accord international d’ici la fin du semestre ». L’optimisme est de retour.
Ironie du calendrier : un premier Etat américain, le Maryland, a adopté le 12 février dernier une taxe sur la publicité en ligne où dominent Google et Facebook. Ce qui devrait lui rapporter 250 millions de dollars par an. Mais des voix se sont élevées aux Etats-Unis pour pointer le risque que cette taxe numérique soit répercutée sur les petites et moyennes entreprises faisant de la publicité sur Internet. Une action en justice a même été lancée conjointement par la chambre de commerce américaine (US Chamber of Commerce), l’organisation professionnelle NetChoice, ainsi que la Computer & Communications Industry Association (CCIA) et l’Internet Association (IA) (6).
Les négociations fiscales au sein de l’OCDE – auxquelles participent 137 pays dans le cadre de l’initiative BEPS (voir encadré ci-contre) visant à mettre un terme aux pratiques d’évasion fiscale des entreprises (7) – portent sur tous les secteurs d’activité, mais tous les regards se tournent vers les GAFAM. « Le numérique est la priorité des priorités, c’est pourquoi tous nos efforts porteront sur le fait de s’assurer que nous trouvions un accord sur le pilier un et deux. Notre but est d’avoir un projet d’accord global à la toute fin de juin, voire la première semaine de juillet, et que cet accord soit ensuite validé par le G20 », a déclaré début mars Pascal de Saint-Amans, directeur du centre de politique et d’administration fiscales de l’OCDE. Si les grands argentiers des vingt nations les plus riches du monde réussissaient à se mettre d’accord d’ici fin juin 2021 (alors que le G7, lui, se sera réuni du 11 au 13 juin), cela serait l’aboutissement de discussions engagées à partir de 2015. Ce serait aussi une victoire pour la France qui a été aux avant-postes de cette taxe GAFA. Mais si les négociations de l’OCDE échouaient, il n’est pas exclu que l’Union européenne (UE) mettre en place sa propre taxe GAFA. La Commission européenne prépare le terrain : elle mène une consultation publique jusqu’au 12 avril prochain sur la taxation numérique. « L’UE a besoin d’un cadre réglementaire et fiscal moderne et stable pour répondre de manière appropriée aux évolutions et aux défis de l’économie numérique. Le Conseil européen a chargé la Commission (européenne) de présenter des propositions relatives à des ressources propres supplémentaires. La taxe numérique est l’une d’entre elles » explique-t-on à Bruxelles (8).
Cette consultation publique alimentera les travaux en cours sur la proposition de taxe numérique attendue pour «mi- 2021 ». Selon la Commission européenne, « la nouvelle initiative contribuera à résoudre la question de la fiscalité équitable liée à la numérisation de l’économie et, dans le même temps, vise à ne pas interférer avec les travaux en cours au niveau du G20 et de l’OCDE sur une réforme du cadre international de l’impôt sur les sociétés ». Le risque de télescopage est grand.

Digital Services Tax (DST) en vue en Europe
Malgré le projet de Digital Services Tax (DST) à l’échelle de l’UE, plusieurs pays européens – France, Autriche, Italie, République tchèque, Espagne et, avant le Brexit, le Royaume-Uni – ont instauré des taxes unilatérales, lesquelles ont provoqué un patchwork européen et des tensions commerciales avec les Etats-Unis sous l’administration Trump. En 2019, le représentant au Commerce des Etats-Unis (USTR) avait dénoncé une « fiscalité discriminatoire » à l’égard des entreprises américaines. Le gouvernement français avait suspendu un temps la perception de sa « taxe GAFA » avant de reprendre son recouvrement. @

Charles de Laubier

Les « Spac », ces entreprises dites « chèques en blanc », attirent de plus en plus de grands patrons

Publié le par

Xavier Niel, Matthieu Pigasse et Pierre-Antoine Capton en ont constitué une fin 2015 pour lever des fonds à la Bourse de Paris, avec Mediawan ; Craig McCaw, fondateur de McCaw Cellular dans les années 1990 puis de Clearwire, est le dernier en date à se lancer au Nasdaq à New York, avec Colicity.

Les « Spac » – Special Purpose Acquisition Company – ont le vent en poupe. Ces « sociétés d’acquisition à vocation spécifique » est un statut particulier qui permet à une coquille vide au départ – et sans activité commerciale – de levers des fonds en Bourse, sans vraiment savoir si ses ambitions de fusions et d’acquisitions aboutiront. Mais les gendarmes de la Bourse, comme la SEC aux Etats-Unis ou l’AMF en France, n’en ont cure. Seuls importent les fondateurs.

Colicity à la conquête des TMT
C’est en réalité un « chèque en blanc », d’où leur surnom anglo-saxon de « blank check company », que l’on fait à des hommes d’affaires dont la signature vaut en elle-même son pesant d’or. Comme celle de Craig McCaw (photo), qui a fait fortune au début des années 1990 avec McCaw Cellular, pionnier des opérateurs mobiles nationaux aux Etats-Unis. Il a fait fortune en revendant son entreprise à AT&T en 1994 pour la coquette somme de 11,5 milliards de dollars (1). Le nouveau milliardaire rachètera ensuite en 2004 Clearwire, un opérateur américain de réseaux fixes et mobiles pour petites et moyennes entreprises, pionnier là aussi de l’accès à Internet sans fil (dont le Wimax et la VoIP). Il en fut le président jusqu’en 2010, Sprint Nextel rachetant deux ans après Clearwire.
Plus de dix ans après, l’entrepreneur dans l’âme Craig McCaw continue d’investir. Cette fois, il a lancé le 24 février dernier l’introduction en Bourse à New York de sa nouvelle société Colicity. Il s’agit d’une Spac qu’il préside, dont l’ambition affichée est de conquérir « les secteurs des technologies, des médias et des télécommunications » – ce que les investisseurs appellent les TMT – à coup de fusions, d’acquisitions, de rachats ou d’échanges d’actions, de réorganisations ou encore de regroupements.
Le vétéran des télécoms Craig McCaw (71 ans) comptait, avec son IPO (2), lever en deux jours 300 millions de dollars au Nasdaq, soit 30.000.000 unités au prix de 10 dollars (souvent le montant de l’action fixé dans le cadre d’une Spac). Cet appel aux investisseurs était valable jusqu’au 26 février mais « la société a accordé aux preneurs fermes une option d’achat de jusqu’à 4.500.000 unités supplémentaires [l’équivalent de 45 millions de dollars de plus] de 45 jours au prix de l’appel public à l’épargne initial pour couvrir les surallocations, le cas échéant » – soit jusqu’au 12 avril prochain. Pour autant, difficile d’en savoir plus sur les réelles intentions de la Spac de Craig McCaw. C’est d’ailleurs le propre d’une Spac : le prospectus est censé être disponible auprès de Goldman Sachs qui, avec PJT Partners (spin off de Blackstone), participe à l’opérateur de « chèque en blanc ». Colicity, c’est comme une lampe-torche allumée dans le noir complet, comme le suggère la vidéo d’accueil du site web de l’entreprise (3). Le directeur de l’investissement de Colicity est le financier « Media & Telecom» Randy Russel (4), qui travaille pour une autre société d’investissement contrôlée par Craig McCaw : Pendrell. Celle-ci avait repris l’opérateur satellitaire ICO Global Communications après sa faillite en 1999. Colicity est en fait la deuxième Spac parrainée par Pendrell. La première Spac était Holicity, laquelle société – présidée aussi par le magnat américain des télécoms – vient d’annoncer la reprise et la mise en Bourse au Nasdaq de l’opérateur par satellite Astra (5) pour plus de 2 milliards de dollars (6). La Spac Colicity investira-t-elle aussi dans des réseaux mobiles et satellitaires ? L’avantage d’une Spac est en tout cas de permettre de lever des fonds dès sa création ex nihilo sur les marchés financiers sans avoir à procéder à une introduction en Bourse classique, donc la complexité et la rigidité habituelles. Les démarches auprès des gendarmes boursiers sont simplifiées et le coût de l’IPO minime. L’on comprend que le trio français Niel- Pigasse-Capton ait opté pour cette formule attractive pour constituer en décembre 2015 Mediawan, une Spac qui a levé 250 millions d’euros sur l’Euronext à Paris. Sept acquisitions plus tard, ce groupe est devenu « l’un des principaux studios indépendants de contenus audiovisuels en Europe » (production audiovisuelle, distribution de contenus, édition de chaînes et services digitaux). Fin 2020, Mediawan a bouclé l’acquisition de Lagardère Studios. A terme, la nouvelle Mediawan Alliance créée par le trio absorbera Mediawan qui sera retiré de la cote.

Les Spac ont levé 78 Mds de $ en 2020
D’autres personnalités ont joué sur cet effet de levier de la Spac : le rappeur et producteur Jay-Z, également cofondateur et premier actionnaire du service de streaming musical Tidal (que le fondateur de Twitter, Jack Dorsey, veut racheter), s’en sert pour investir dans le cannabis légal aux Etats-Unis. Selon Refinitiv, 2020 a été l’année des Spac avec plus de 78 milliards de dollars (7) levés par l’ensemble des Spac dans tous les domaines. @

Charles de Laubier

De « Red Rupert » à « Blue Rupert » : l’héritier de gauche devenu magnat de droite

Publié le par

Lorsque son père meurt d’un cancer, il a 21 ans et doit quitter Oxford en Angleterre, où il étudie au Worcester College (université d’Oxford) et où il a développé une sensibilité de gauche (membre au Parti travailliste), avec comme surnom « Red Rupert ». De retour au pays, le jeune Rupert va reprendre en main les affaires de son père Keith Murdoch, qui, proche des conservateurs (1), fut journaliste et patron de presse influent dans les années 1920 (Melbourne Herald, The Register, Adelaide News, The Daily Mail, …).

Le chinois Huawei face à l’hypocrisie « sécurité nationale » des Américains et des Européens

Publié le par

Alors que 2021 marque les dix ans de l’adhésion de la Chine à l’Organisation mondiale du commerce (OMC), Huawei Technologies est plus que jamais décidé à contester les décisions prises, au nom d’une soi-disant « sécurité nationale », à son encontre aux Etats-Unis et en Europe principalement.

La Chine est membre de l’Organisation mondiale du commerce (OMC) depuis le 11 décembre 2001. Cela va faire dix ans cette année (1). Mais son fleuron technologique Huawei ira-t-il jusqu’à porter plainte contre les pays qui l’évincent de leur marché ? Sachant que les énormes avantages présumés dont bénéficie la firme de Shenzhen dans l’Empire du Milieu (fonciers, aides d’Etat à la R&D, crédit à l’exportation, prêts bancaires, …) pourraient aussi être contestés par ces mêmes pays.

Décisions de la FCC, « inconstitutionnelles » ?
Pour l’heure, le géant chinois des télécoms – troisième fabricant mondial de smartphones et numéro un mondial des réseaux 5G – est devant la justice américaine pour démontrer le caractère « inconstitutionnel » de la décision prise à son encontre fin 2020 par l’administration Trump qui l’a mis sur liste noire au nom de la « sécurité nationale ». La firme fondée par Ren Zhengfei (photo), il y a près de 35 ans (2), a plaidé dans ce sens le 8 février dernier devant une cour d’appel de la Nouvelle-Orléans, tout en dénonçant une mesure prise sans « preuves substantielles » par la Federal Communications Commission (FCC) le 10 décembre (3) et « préjudiciable à l’industrie américaine ». Surtout, cette décision n’a pas laissé le temps à l’entreprise chinoise sanctionnée de se défendre avant.
La procédure de Huawei en appel est enregistrée sous le numéro 21-60089 et la déposition d’une quinzaine de pages (4) est datée du 8 février. C’est la seconde fois que Huawei conteste devant ce même tribunal une décision de la FCC. Une précédente décision de la FCC, datée celle-ci du 22 novembre 2019, interdit aux entreprises américaines d’utiliser les subventions des contribuables pour financer les achats de la technologie 5G de Huawei. La firme de Shenzhen conteste depuis lors les allégations selon lesquelles elle entretient des liens avec le gouvernement chinois qui pourraient compromettre la sécurité des réseaux américains. Huawei dément aussi les affirmations d’experts qui l’accusent d’avoir mis en place des « backdoors » (portes dérobées) et autres « loopholes » (failles) susceptibles de permettre aux autorités chinoises de procéder à des écoutes illégales ou d’organiser des fuites de données personnelles. Ren Zhengfei s’inscrit en faux contre tout cela. Cette procédure est toujours en cours. Dans un e-mail adressé à l’agence Bloomberg, la FCC a déclaré qu’elle continuera à défendre sa décision de 2019 en se fondant sur « un ensemble substantiel de preuves » recueillies « par [ellemême] et par de nombreux organismes de sécurité nationale des Etats-Unis ». Le 9 février, soit le lendemain de la nouvelle déposition de « Huawei Technologies USA, Inc./Huawei Technologies Co., Ltd. » à la Nouvelle-Orléans, le fondateur Ren Zhengfei (76 ans) a assuré de Chine que « la capacité de survie de [son groupe] s’est accrue » malgré les attaques répétées de Washington, tout en espérant « une politique d’ouverture » de l’administration Biden. PDG de Huawei Technologies, ce Chinois détient seulement « un peu plus de 1 % des actions de Huawei Investment », le reste du capital appartenant à l’« Union of Huawei Investment & Holding Co., Ltd. » qui administre un plan d’actionnariat salarié dans lequel environ 104.500 sur les 194.000 employés du géant des télécoms y participent. Mais les sanctions américaines contre le fleuron chinois, sur fond de tensions commerciales entre Washington et Pékin, ont en fin d’année 2020 pesé sur les ventes de smartphones (chute à deux chiffres de ses ventes sur un an au quatrième trimestre 2020, d’après le cabinet d’études Canalys), bien que Huawei se soit tout de même maintenu en troisième position mondiale – derrière Samsung et Apple (5). Et ce, après avoir pu en 2018 et en 2019 détrôner la marque à la pomme de la seconde place (6).
Mais en raison des restrictions imposées par Donald Trump, Ren Zhengfei a été contraint de céder en novembre dernier sa marque de smartphones d’entrée de gamme, Honor, dont les ventes étaient jusqu’alors comptabilisées dans les performances de Huawei. Sur l’année 2020, il s’est vendu dans le monde 188,5 millions de smartphones Huawei (7), ce qui a correspondu à une baisse de 22 % sur un an (8).

En France, toujours le « en même temps »
Pendant ce temps-là, au pays du « en même temps » où le président de la République assure qu’il n’y a pas discrimination envers les industriels chinois comme Huawei (9), le Conseil constitutionnel a validé le 5 février la loi « anti- Huawei » en France, pourtant contestée par SFR et Bouygues Telecom (10). Les sages du Palais-Royal ont repris le même refrain que l’ex-administration Trump : « risques d’espionnage, de piratage et de sabotage » et « préserver les intérêts de la défense et de la sécurité nationale ». Huawei prévoit quand même d’installer dans l’Est de la France une usine… @

Charles de Laubier

Brexit : entre l’Union européenne et le Royaume-Uni, les données personnelles sont entre deux eaux

Publié le par

Le RGPD sur la protection des données personnelles en Europe reste applicable à leurs transferts vers le Royaume-Uni jusqu’au 1er juillet 2021. Mais, depuis le début de l’année, la « Cnil » britannique ne peut plus être « chef de file ». En tout cas, il faut anticiper avec ce « pays tiers ».

Par Christiane Féral-Schuhl*, avocate associée, cabinet Féral-Schuhl/Sainte-Marie

A l’heure où le Brexit devient réalité, la question du transfert des données personnelles entre l’Union européenne (UE) et le Royaume-Uni (RU) mérite une attention particulière. Pas d’urgence absolue puisque le règlement européen sur la protection des données RGPD reste applicable au Royaume-Uni de manière transitoire jusqu’au 1er juillet 2021. A noter toutefois que, depuis le 1er janvier 2021, le mécanisme du « guichet unique » ne sera plus effectif par le biais de l’Information Commissioner’s Office (ICO), la « Cnil » britannique.

RGPD, applicable jusqu’au 1er juillet 2021
Ainsi, à moins qu’une décision d’adéquation ne soit accordée au Royaume-Uni par la Commission européenne d’ici mi- 2021, les transferts de données personnelles vers le Royaume-Uni devront être encadrés par les outils prévus par le RGPD. Autant s’en préoccuper dès à présent ! Concrètement, jusqu’au 1er juillet 2021, le Royaume-Uni est toujours considéré comme un Etat membre de l’UE dans le cadre des transferts de données. Si aucune modification n’est requise dans l’immédiat pour continuer à transférer des données personnelles avec le territoire britannique, l’autorité de contrôle britannique ICO recommande aux entreprises britanniques ayant des activités transfrontalières avec les Vingt-sept d’anticiper tout risque potentiel d’interruption des transferts.
L’accord de commerce et de coopération entre l’UE et le RU, conclu le 24 décembre 2020 et en vigueur depuis le 1er janvier 2021, prévoit, en matière de protection des données à caractère personnel, que le RGPD demeure applicable pour une durée maximum de six mois. Cet accord a fait suite à une période transitoire qui courait depuis un premier accord de retrait trouvé le 31 janvier 2020 à minuit. Car les textes européens étant alors encore applicables, cet accord n’ouvrant en réalité qu’une période de transition s’étalant jusqu’au 31 décembre 2020. Rappelons que c’est à la suite du référendum du 23 juin 2016 que le Royaume-Uni a actionné la procédure de retrait de l’Union européenne prévue par l’article 50 du Traité de l’UE. Cette décision en faveur du Brexit (pour « British Exit ») a donné lieu à de nombreuses discussions afin d’organiser cette sortie effective du Royaume-Uni. L’accord conclu entre le RU et l’UE a conduit à l’exclusion de l’autorité britannique du mécanisme de guichet unique. Ce mécanisme permet aux entreprises opérant des traitements transfrontaliers (entre plusieurs Etats membres) de centraliser leur communication avec une seule autorité qualifiée alors de « chef de file » (1). Cette autorité n’est pas choisie par l’entreprise mais correspond à celle du pays dans lequel se situe l’établissement principal de l’entreprise en question. En France, c’est la Commission nationale de l’informatique et des libertés (Cnil). Au Royaume- Uni, c’est l’Information Commissioner’s Office (ICO).
La fin du guichet unique pour le Royaume-Uni signifie donc que les entreprises qui effectuaient des traitements transfrontaliers et qui avaient l’ICO comme autorité chef de file ne pourront plus bénéficier de ce mécanisme. Seuls les responsables de traitement ou sous-traitants ayant un établissement principal au sein de l’Espace économique européen (EEE) pourront continuer de bénéficier du guichet unique, avec pour autorité chef de file, celle du pays dans lequel est implanté ledit établissement. Concernant les entreprises exclusivement basées au Royaume-Uni, il est important de rappeler que le caractère extraterritorial du champ d’application du RGPD rend ce dernier applicable dès lors que les activités de traitement sont liées à une offre de bien ou de service destinée à des personnes concernées de l’Union européenne ou au suivi du comportement de ces personnes. Dès lors, ces entreprises britanniques seront tenues de désigner un représentant au sein de l’Union européenne conformément à l’article 27 du RGPD. Une fois le délai de transition expiré, il faudra appréhender les transferts au Royaume-Uni comme des transferts vers un pays tiers, c’est-à-dire comme un pays situé en dehors de l’EEE.

Une « décision d’adéquation » avec le RU ?
Cependant, le Royaume-Uni, en sa qualité d’ancien Etat membre de l’UE, dispose déjà d’un important arsenal juridique en matière de protection des données avec des dispositifs tels que le « Data Protection Act » ou encore le « Privacy and Electronic Communication Regulations ». Ces textes de loi reprenant déjà la majorité des dispositions du RGPD, il apparaît possible que la Commission européenne autorise de façon générale l’ensemble des transferts de données vers le Royaume-Uni à travers une « décision d’adéquation ». Tel sera le cas si la Commission européenne considère que le Royaume-Uni offre toujours un niveau de protection au moins équivalent à celui exigé au sein de l’UE. Pour autant, il convient de rester vigilant car les dernières déclarations du Premier ministre Boris Johnson annonce une évolution de la législation interne dans le sens d’un assouplissement de cette dernière. L’hypothèse d’une décision d’adéquation semble ainsi s’éloigner notamment compte tenu de l’appartenance du Royaume-Uni au « Five Eyes », alliance des services secrets britanniques, canadiens, australiens, américains et néo-zélandais.

Sinon, explorer les « garanties appropriées »
On rappellera que cette alliance à cinq (également désignée par FVEY), qui remonte à l’époque de la Guerre froide, permet aux agences de renseignement de ces cinq pays de se demander respectivement d’intercepter des communications de leurs citoyens. Ce partage d’informations et de données alerte de plus en plus les institutions et l’opinion publique, notamment depuis les révélations d’Edward Snowden en 2013. Selon ce lanceur d’alerte, les Etats contourneraient leur propre législation nationale en demandant aux membres de l’alliance de collecter des informations pour leur compte, et ce sur le fondement de cet accord. En 2014, la Commission européenne avait publié un rapport (2) confirmant le fait que les agences de renseignement néo-zélandaises et canadiennes auraient coopéré avec la National Security Agency (NSA) dans le cadre du programme Five Eyes et potentiellement partagé activement des données personnelles de citoyens de l’UE. Si l’option « décision d’adéquation » devait être écartée, il conviendra alors d’explorer d’autres solutions, notamment les « garanties appropriées » prévues par le RGPD. Il s’agit soit des clauses contractuelles types (CCT) à insérer dans le contrat entre l’importateur et l’exportateur de données (3), soit des règles d’entreprise contraignantes (BCR) qui désignent les règles internes de protection des données applicables entre exportateur et importateur de données au sein d’un groupe d’entreprise (4), soit encore d’outils tels que : code de conduite, mécanisme de certification, instrument juridique contraignant entre autorités publiques, etc (5).
Le RGPD prévoit également certaines dérogations exceptionnelles. L’organisation souhaitant transférer des données en dehors de l’EEE pourrait ainsi faire valoir l’une de ces dérogations à condition que le transfert ait un caractère exceptionnel (ni régulier, ni structurel) et qu’aucun autre cadre juridique ne puisse être utilisé. Tel est le cas lorsque la personne concernée consent au transfert de ses données ou lorsque le transfert de données est nécessaire à la conclusion ou à l’exécution d’un contrat ou encore lorsque le transfert est nécessaire par exemple à l’exercice des droits de la défense dans le cadre de procédures judiciaires. On notera cependant que, dans tous les cas, il appartient au responsable de traitement et au destinataire des données de vérifier, préalablement à tout transfert, si le pays tiers permet en pratique d’assurer un niveau de protection essentiellement équivalent à celui garanti dans l’UE par le RGPD, et notamment que les personnes concernées disposent de droits opposables et de voies de droit effective (6). Cette règle a été rappelée par la Cour de justice de l’Union européenne (CJUE), dans son arrêt « Schrems II » (7) du 16 juillet 2020. On rappellera que, dans cette affaire, Maximillian Schrems, défenseur autrichien de la protection des données personnelles, avait sollicité l’interdiction ou la suspension du transfert de ses données personnelles par Facebook Ireland à la maison mère Facebook Inc. établie aux Etats-Unis. Ce dernier considérait que la législation américaine ne permettait pas en pratique de protéger adéquatement les données personnelles détenues sur son territoire contre l’accès des autorités publiques et qu’il n’y avait pas de recours efficace pour les personnes concernées européennes. La CJUE étant particulièrement regardante sur l’effectivité des droits des personnes concernées ainsi que sur leur exercice, c’est précisément ce qui a fondé l’invalidation du « Privacy Shield » au sein de cette décision.
De même, si la CJUE a confirmé la validité des clauses contractuelles types comme outil de transfert, il est important de préciser que ces clauses ne lient pas les autorités des pays tiers, en raison de leur caractère contractuel. Ainsi, dans les situations où la législation de ces pays compromettrait en pratique le niveau de protection adéquat que ces outils garantissent, la CJUE incite à prévoir des mesures supplémentaires. De nature technique, contractuelle ou organisationnelle selon les recommandations du Contrôleur européen de la protection des données (CEPD), ces mesures permettraient d’assurer l’effectivité des « garanties appropriées » au sein de ces systèmes juridiques (8). Toutefois, en fonction des caractéristiques du transfert de données envisagé, et de l’évaluation de la législation du pays tiers faite par l’importateur et l’exportateur des données, si aucune mesure supplémentaire efficace ne peut être mise en œuvre pour garantir le niveau de protection équivalent, il conviendra de renoncer au transfert.

Considérer le RU comme « pays tiers »
En conclusion, si le RGPD reste applicable aux transferts de données vers le Royaume-Uni jusqu’au 1er juillet 2021, il n’est certainement pas trop tôt pour anticiper la suite. En l’absence d’une décision d’adéquation avant cette date butoir, les transferts de données devront être considérés comme ayant pour destination un pays tiers. De ce fait, il est d’ores et déjà recommandé d’identifier les traitements en question pour, le jour venu, adopter l’une des solutions évoquées à l’aune de la future législation britannique. @

* Christiane Féral-Schuhl, ancienne présidente
du Conseil national des barreaux (CNB)
après avoir été bâtonnier du Barreau de Paris,
est l’auteure de « Cyberdroit » paru aux éditions Dalloz.