Le cadre transatlantique pour la protection des données personnelles remplacera-t-il le Bouclier de Protection des Données UE-États-Unis ?

Après presque deux ans de négociations poussées, la Commission européenne et les États-Unis se sont mis d’accord sur un nouveau cadre transatlantique pour la protection des données personnelles. L’accord garantit que les données transférées aux États-Unis sont protégées de manière adéquate, en réponse à l’arrêt de la Cour de justice de l’UE (Schrems II) sur la sécurité des transferts de données, l’économie numérique compétitive et la coopération économique, qui a invalidé le Bouclier de Protection des Données.

Grâce à ce nouveau cadre, les données pourront circuler librement et en toute sécurité entre l’UE et les entreprises américaines participantes. Le nouveau cadre garantit que :

• l’accès aux données par les services de renseignement américains est limité à ce qui est nécessaire et proportionné, donc légitime, pour protéger la sécurité nationale ;
• les agences de renseignement américaines adopteront des procédures pour garantir que les objectifs de sécurité nationale n’ont pas d’impact disproportionné sur la protection de la vie privée et des droits civils des individus ;
• les plaintes des ressortissants de l’UE concernant l’accès par les agences de renseignement américaines à leurs données seront examinées et résolues par un nouveau système de recours à deux niveaux ; une cour d’examen de la protection des données, composée de personnes extérieures au gouvernement américain, statuera sur les accusations comprises dans ce nouveau cadre ;
• les entreprises traitant des données transférées depuis l’UE doivent toujours se conformer à l’obligation d’autocertifier leur adhésion aux principes par l’intermédiaire du ministère du Commerce des États-Unis ;
• des mécanismes spécifiques de suivi et de révision seront mis en œuvre.

Ce nouveau cadre offrira une base stable pour les transferts de données transatlantiques, essentiels pour préserver les droits des individus et permettre le commerce transatlantique dans tous les secteurs de l’économie, y compris les petites et moyennes entreprises.

Le Comité européen de la protection des données (CEPD) a reçu favorablement l’annonce de l’accord politique de principe entre la Commission européenne et les États-Unis le 25 mars. Dans une déclaration officielle du CEPD, plusieurs choses ont été remarquées :

1. Le CEPD souligne que cette annonce n’établit pas un cadre juridique permettant aux exportateurs de données de l’EEE d’envoyer des données aux États-Unis. Par conséquent, les exportateurs de données doivent continuer à prendre les mesures appropriées pour se conformer à la jurisprudence de la Cour de justice de l’Union européenne (CJUE), notamment la décision Schrems II du 16 juillet 2020.
2. Le CEPD analysera attentivement les améliorations que le nouveau cadre pourrait apporter à la lumière du droit européen, de la jurisprudence de la CJUE et des recommandations antérieures du Conseil.
3. Le CEPD examinera si les données personnelles collectées à des fins de sécurité nationale sont limitées à ce qui est strictement nécessaire et approprié.
4. Le CEPD examinera également dans quelle mesure le mécanisme de recours indépendant nouvellement annoncé respecte le droit des citoyens de l’EEE à un recours effectif et à un procès équitable.
5. Le CEPD évaluera si toute nouvelle organisation créée dans le cadre de ce mécanisme a accès aux informations pertinentes, y compris aux données personnelles, et si elle peut prendre des décisions contraignantes sur les services de renseignement.
6. Le CEPD examinera également si les décisions ou l’inaction de cette autorité peuvent être contestées en justice.