RGPD : la Commission européenne adopte un cadre de transfert de données avec les États-Unis

La Commission européenne a officialisé lundi (10 juillet) sa décision d’adoption du cadre de protection des données UE-États-Unis. Il fournit un cadre juridique novateur autorisant le transfert transatlantique des données, en cohérence avec le RGPD européen et après que les deux initiatives précédentes ont été invalidées par la justice.

La Commission européenne a publié son projet de décision d’adéquation des données avec les États-Unis en décembre, à la suite de la signature d’un décret par le président américain Joe Biden en octobre.

Les transferts de données à caractère personnel de l’UE vers les États-Unis ont été jugés illégaux par la Cour de justice de l’Union européenne dans deux cas de justices historiques. Dans le dernier verdict, Schrems II, les juges de l’UE ont souligné l’accès disproportionné et la protection inadéquate des données européennes détenues en masse par les services de sécurité américains, comme l’a révélé pour la première fois Edward Snowden en 2013.

Le décret américain a été conçu pour répondre à ces préoccupations, notamment en introduisant des garanties pour les données personnelles des résidents de l’UE en limitant l’accès des agences de renseignement américaines et en introduisant un mécanisme de recours indépendant.

Lors d’une conférence de presse, le commissaire européen à la Justice, Didier Reynders, a déclaré que « les données à caractère personnel peuvent désormais circuler librement et en toute sécurité de l’Espace économique [européen] vers les États-Unis ».

Décision sur le caractère adéquat des données

La semaine dernière, la secrétaire américaine du commerce, Gina Raimondo, a annoncé que tous les engagements pris pour mettre en œuvre le cadre de protection des données avaient été respectés, notamment en ce qui concerne le mécanisme de recours et les limitations imposées aux services de renseignement.

La semaine dernière également, les représentants nationaux de l’UE ont adopté à une large majorité la décision relative au caractère adéquat des données. Pour M. Reynders, la Commission a réalisé des « progrès significatifs » et atteint un juste équilibre entre sécurité collective et droits individuels.

Un ajout important au texte par rapport au projet initial est que chaque fois qu’une organisation ne se conforme pas aux demandes d’une autorité européenne de protection des données, l’affaire doit être signalée au Département du Commerce des États-Unis et à la Commission fédérale du commerce américaine.

Les conditions d’émission d’injonctions administratives à comparaître pour accéder aux données détenues par les entreprises aux États-Unis à des fins d’intérêt public et de mandats de perquisition ont été précisées.

En outre, la décision d’adéquation exige des services de renseignement qu’ils définissent la période de conservation spécifique et la justification, telle que le type d’informations détenues ou la nécessité de protéger une personne.

Les services de renseignement seront placés sous le contrôle de la Commission américaine de contrôle de la protection de la vie privée et des libertés civiles, qui aura accès à tous les documents pertinents, y compris les informations classifiées.

La Commission européenne réexaminera régulièrement la décision relative au caractère adéquat des données, un an après son entrée en vigueur. Elle examinera notamment le mécanisme de recours et la coopération entre les autorités américaines et européennes, ces dernières étant les premières à recevoir les plaintes.

Critiques

Cependant, la version finale de la décision d’adéquation n’a pas fait l’unanimité.

En février, le Comité européen de la protection des données (EDPB), qui regroupe toutes les autorités de protection des données de l’UE, a souligné plusieurs points à améliorer dans la décision d’adéquation des données, notamment en ce qui concerne les droits des personnes concernées, les transferts ultérieurs de données et la collecte temporaire de données en masse.

En outre, les régulateurs européens de la protection de la vie privée ont fait remarquer qu’il faudrait suivre de près la manière dont le mécanisme de recours fonctionnera dans la pratique et comment les principes de nécessité et de proportionnalité seront interprétés.

En particulier, le concept d’accès « proportionné » aux données pourrait ne pas être conforme à la charte des droits fondamentaux de l’UE, car c’est à la jurisprudence américaine de définir ce terme.

Le mécanisme de recours est un autre aspect controversé. Outre le délégué à la protection des libertés (Civil Liberties Protection Officer), il comprend une Cour d’examen de la protection des données (Data Protection Review Court), qui n’est toutefois pas totalement indépendante puisqu’elle relève de l’exécutif américain.

Schrems III ?

« Le simple fait d’annoncer que quelque chose est “nouveau”, “solide” ou “efficace” ne suffit pas devant la Cour de justice », a déclaré l’activiste autrichien Max Schrems, qui a cité les affaires en question, ajoutant qu’il faudrait également modifier la législation américaine en matière de surveillance pour que « cela fonctionne », mais ce n’est « tout simplement pas le cas ».

Interrogé sur un éventuel Schrems III, le commissaire M. Reynders a indiqué qu’il pensait qu’il serait utile de tester le nouveau système avant de le porter devant les tribunaux. Il a ajouté qu’il avait rencontré M. Schrems avant l’introduction du nouveau cadre, ainsi que d’autres parties prenantes.

M. Schrems s’attend à ce que la nouvelle version de la décision d’adéquation « revienne à la Cour de justice d’ici le début de l’année prochaine », qui pourrait alors « même suspendre le nouvel accord pendant qu’elle en examine la substance ».