Le Privacy Shield ou lâadoption laborieuse du frĂȘle successeur du Safe Harbor
AprĂšs des mois dâincertitude quant Ă lâavenir des transferts de donnĂ©es transatlantiques, lâaccord conclu entre la Commission europĂ©enne et les Etats-Unis (le « Privacy Shield »), devant se substituer au Safe Harbor, a finalement Ă©tĂ© adoptĂ© par la Commission europĂ©enne le 12 juillet dernier. Les transferts de donnĂ©es depuis lâUE vers les Etats Unis opĂ©rĂ©s avec des entreprises amĂ©ricaines certifiĂ©es auprĂšs des autoritĂ©s amĂ©ricaines comme Ă©tant conformes aux principes du Privacy Shield seront donc autorisĂ©s. On reste malgrĂ© tout loin dâune promesse de jours heureux et tranquilles.Â
Le Groupe de lâArticle 29 (« G29 », rassemblant lâensemble des CNILs europĂ©ennes) donnera bientĂŽt sa position sur la nouvelle version de cet accord. Si le G29 adopte une position mitigĂ©e sur la dĂ©cision dâadĂ©quation de la Commission europĂ©enne, la prĂ©tendue soliditĂ© du Privacy Shield sera sĂ©rieusement affectĂ©e.
Le 6 octobre 2015, les transferts de donnĂ©es entre lâUE et les Etats-Unis sont violemment attaquĂ©s par la Cour de Justice de lâUnion EuropĂ©enne (CJUE). Dans le prolongement des rĂ©vĂ©lations dâEdward Snowden, la CJUE invalide le Safe Harbor, outil juridique employĂ© depuis 2000 par environ 4.000 entreprises pour opĂ©rer des transferts des donnĂ©es depuis lâUnion EuropĂ©enne vers les Etats-Unis (arrĂȘt Schrems).
Peu aprĂšs, le Groupe de lâArticle 29 donne trois mois aux autoritĂ©s et gouvernements europĂ©ens pour dĂ©finir un nouvel outil de transfert de donnĂ©es UE/US qui soit conforme aux exigences dĂ©finies rĂ©cemment par la CJUE.
Le 2 fĂ©vrier 2016, le CollĂšge des Commissaires europĂ©ens donne son feu vert Ă lâaccord politique nĂ©gociĂ© entre la Commission europĂ©enne et les Etats-Unis afin dâencadrer les transferts de donnĂ©es EU/US, dĂ©sormais appelĂ© Privacy Shield. Le contenu du projet de dĂ©cision dâadĂ©quation de la Commission europĂ©enne sur le Privacy Shield est alors rendu public le 29 fĂ©vrier.
Lâenthousiasme de la Commission europĂ©enne nâest pourtant pas partagĂ© par lâensemble des institutions europĂ©ennes. Le 13 avril dernier, le G29 a Ă©mis de nombreuses rĂ©serves quant Ă lâefficacitĂ© et la soliditĂ© rĂ©elles du Privacy Shield, signalant lâexistence de zones dâombres voire dâincohĂ©rences dans un texte qui peine Ă limiter la surveillance de masse indiscriminĂ©e reprochĂ©e aux Etats Unis.
En mai 2016, aprĂšs la demande du Parlement europĂ©en de poursuivre les nĂ©gociations pour amĂ©liorer le projet dâaccord, le contrĂŽleur europĂ©en de la protection des donnĂ©es signalait le risque sĂ©rieux que le Privacy Shield soit lui aussi invalidĂ© par la CJUE.
Un accord renégocié, adopté et aussitÎt critiqué
Le 8 juillet dernier, une version modifiĂ©e du Privacy Shield a Ă©tĂ© validĂ©e par le comitĂ© de lâarticle 31, composĂ© des reprĂ©sentants des Etats membres de lâUE. Certains Etats Membres ont toutefois prĂ©fĂ©rĂ© sâabstenir et nâont donc pas approuvĂ© cette version de lâaccord.
La Commission EuropĂ©enne a ensuite adoptĂ© formellement le 12 juillet dernier une dĂ©cision dâadĂ©quation reconnaissant au Privacy Shield un niveau de protection essentiellement Ă©quivalent aux exigences europĂ©ennes. Il faut dĂ©sormais attendre que le Privacy Shield soit notifiĂ© aux Etats membres de lâUE pour que ce mĂ©canisme entre en vigueur. Les entreprises amĂ©ricaines souhaitant utiliser cet outil juridique pourront se faire certifier Ă partir du 1er aoĂ»t prochain.
Satisfaits de cette dĂ©cision, les Commissaires europĂ©ens Ansip et Jourova ont dĂ©clarĂ© que les rĂ©serves soulevĂ©es par le groupe de lâArticle 29 avaient Ă©tĂ© prises en compte dans la nouvelle version du Privacy Shield. La Commission a ainsi annoncĂ© que les Etats-Unis avaient fourni des garanties Ă©crites excluant la possibilitĂ© dâopĂ©rer des surveillances de masse systĂ©matiques sur les donnĂ©es transfĂ©rĂ©es dans le cadre du Privacy Shield.
Si VÄra JourovĂĄ estime que le Privacy Shield est « fondamentalement diffĂ©rent du Safe harbor », nombreux sont ceux, Ă commencer par Max Schrems, qui demeurent sceptiques sur la nature protectrice de ce nouvel accord. La remise en cause du Privacy Shield devant les juridictions europĂ©ennes nâest donc clairement pas Ă exclure.
A ce titre, la Quadrature du Net, association de dĂ©fense des droits et libertĂ©s des citoyens sur Internet estime que la dĂ©cision a Ă©tĂ© « adoptĂ©e dans la plus grande prĂ©cipitation » et « ne rĂ©pond pas aux inquiĂ©tudes exprimĂ©es ». Selon elle, le Privacy Shield nâaurait aucun intĂ©rĂȘt dans la mesure oĂč cette dĂ©cision ne se substitue pas aux « alternatives moins contraignantes actuellement en vigueur que sont par exemple les clauses contractuelles types (SCCs) ou les rĂšgles internes dâentreprises (BCR) ».Â
Le G29 nâavait par ailleurs pas cachĂ© ses doutes quant Ă la capacitĂ© de ces outils Ă garantir un niveau de protection suffisant aux donnĂ©es transfĂ©rĂ©es aux Etats-Unis Ă la lumiĂšre des exigences posĂ©es par la CJUE dans lâarrĂȘt Schrems. Le Groupe de lâArticle 29 Ă©tudie actuellement la dĂ©cision adoptĂ©e par la Commission europĂ©enne. Sa position, qui devrait normalement ĂȘtre officialisĂ©e lors dâune rĂ©union prĂ©vue le 25 juillet prochain, est donc vivement attendue. Elle peut avoir une influence significative sur lâenvie ou non des entreprises dâutiliser ce nouveau mĂ©canisme juridique Ă lâavenir.
Cette tribune est proposée par Annabelle Richard et Anne-Sophie Mouren, avocats Pinsent Masons
Le Privacy Shield ou lâadoption laborieuse du frĂȘle successeur du Safe Harbor was originally published on JDCHASTA SAS