Dans son arr\u00eat du 6 octobre 2015, la Cour Europ\u00e9enne de Justice (CEJ) avait jug\u00e9 dans l'affaire Schrems que la \"sph\u00e8re de s\u00e9curit\u00e9\" ou \"Safe Harbour principle\" \u00e9tabli par les USA \u00e9tait invalide et ne pouvait \u00eatre invoqu\u00e9e pour justifier le transfert de donn\u00e9es personnelles vers les USA.<\/p>\n\n\n\n
Pour rappel, avant le RGDP, la directive 95\/46 (et en Belgique la loi du 8 d\u00e9cembre 1992) fixait des conditions strictes au transfert hors de l'Union et imposait que le pays d'accueil garantisse un niveau de s\u00e9curit\u00e9 des donn\u00e9es \u00ab \u00e9quivalent \u00bb \u00e0 la protection accord\u00e9e dans l'Union.<\/p>\n\n\n\n
Un nombre limit\u00e9 de pays avaient \u00e9t\u00e9 reconnus comme remplissant ce crit\u00e8re, ce n'\u00e9tait pas le cas des USA.<\/p>\n\n\n\n
D\u00e8s lors, le d\u00e9partement du Commerce des USA et la Commission avait \u00e9tabli un cadre appel\u00e9 \"sph\u00e8re de s\u00e9curit\u00e9\" ou \"safe harbour principle\" permettant aux entreprises am\u00e9ricaines qui le souhaitaient de s'engager \u00e0 respecter diverses r\u00e8gles afin de garantir une protection \u00e9quivalente des donn\u00e9es. Ce m\u00e9canisme d'auto-r\u00e9gulation et d'auto-certification volontaire rendait donc valable un transfert vers les USA. Pr\u00e8s de 4.000 entreprises am\u00e9ricaines donc Microsoft ou Facebook avaient adh\u00e9r\u00e9 \u00e0 ces principes.<\/p>\n\n\n\n
Dans le cas de Facebook, tout utilisateur europ\u00e9en \u00e9tait tenu de souscrire un contrat avec Facebook Irlande une filiale de Facebook Inc la soci\u00e9t\u00e9 m\u00e8re am\u00e9ricaine. Or, une partie des donn\u00e9es personnelles des utilisateurs europ\u00e9ens de Facebook \u00e9tait transf\u00e9r\u00e9es vers Facebook Inc et ce, gr\u00e2ce \u00e0 la certification Safe Harbor. Monsieur Schrems, un citoyen autrichien, utilisateur de Facebook s'opposa \u00e0 ce transfert et d\u00e9posa une plainte afin qu'il soit interdit \u00e0 Facebook Irelande de transf\u00e9rer ses donn\u00e9es personnelles vers Facebook Inc.<\/p>\n\n\n\n
Dans son arr\u00eat de 2015 CEJ rejetait cette certification car les autorit\u00e9s am\u00e9ricaines avaient largement d\u00e9montr\u00e9 qu'elles faisaient fi des principes europ\u00e9ens en la mati\u00e8re, en exigeant que les entreprises am\u00e9ricaines m\u00eame certifi\u00e9es \"Safe harbor\" leur donnent acc\u00e8s sans limite \u00e0 leurs donn\u00e9es personnelles y compris provenant de l'Union.<\/p>\n\n\n\n
La CEJ constatait que le \"Safe harbor\" ne garantissait pas un niveau de protection \u00e9quivalent \u00e0 celui de l'Union. Elle pointait ainsi, justement, la trop grande tol\u00e9rance de la Commission par rapport aux USA. On rappellera d'ailleurs que dans l'affaire Swift, ladite Commission avait d\u00e9j\u00e0 accept\u00e9 une importante d\u00e9rogation aux r\u00e8gles europ\u00e9ennes.<\/p>\n\n\n\n
Certes la directive (comme le RGDP) pr\u00e9voyait que la commission puisse \"constater\" que suite \u00e0 des engagements internationaux n\u00e9goci\u00e9s un pays assure un niveau de protection \u00e9quivalent mais la CEJ reprochait \u00e0 la commission de ne pas avoir tenu compte des d\u00e9rives s\u00e9curitaires aux USA r\u00e9v\u00e9l\u00e9es notamment par l'affaire Snowden.<\/p>\n\n\n\n
Suite au rejet du \u00ab Safe harbour \u00bb, pour ne pas interrompre les flux de donn\u00e9es transatlantiques, une solution de secours fut rapidement mise en place sous la forme du \u00ab Privacy shield \u00bb c\u00e0d un m\u00e9canisme \u00e9labor\u00e9 en collaboration entre le d\u00e9partement du Commerce US et la Commission Europ\u00e9enne pour permettre aux entreprises y adh\u00e9rant de remplir les conditions de protection des donn\u00e9es. Il s\u2019agissait \u00e0 nouveau d\u2019un m\u00e9canisme d\u2019auto-certification.<\/p>\n\n\n\n
J\u2019avais \u00e0 l\u2019\u00e9poque d\u00e9j\u00e0 soulev\u00e9 que le Privacy Shield pr\u00e9sentait en substance le m\u00eame d\u00e9faut majeur que son ain\u00e9 le Safe Harbour \u00e0 savoir qu\u2019il ne limitait pas l\u2019acc\u00e8s aux donn\u00e9es par les autorit\u00e9s am\u00e9ricaines, \u201cd\u2019une mani\u00e8re qui satisfait \u00e0 des exigences essentiellement \u00e9quivalentes \u00e0 celles requises par le droit europ\u00e9en\u201d. De fait, le niveau de protection \u00ab \u00e9quivalent \u00bb n\u2019\u00e9tait donc pas assur\u00e9 par rapport aux autorit\u00e9s US.<\/p>\n\n\n\n
C\u2019est pr\u00e9cis\u00e9ment la raison pour laquelle la CEJ dans son arr\u00eat du 16 juillet 2020 a d\u00e9clar\u00e9 invalide le \u00ab Privacy shield \u00bb. Rien que de pr\u00e9visible donc.<\/p>\n\n\n\n
Est-ce \u00e0 dire que tout transfert de donn\u00e9es personnelles vers les USA devient impossible? Non, car le RGDP pr\u00e9voit que lorsque l'\u00e9tat \u00e9tranger n'assure pas un niveau de protection ad\u00e9quat, un transfert reste possible si (i) le travailleur y a consenti \u2013 apr\u00e8s avoir \u00e9t\u00e9 inform\u00e9 des risques, (ii) si ce transfert est n\u00e9cessaire \u00e0 l'ex\u00e9cution d'un contrat (par exemple une convention d'octroi d'options sur actions), (iii) si le transfert est n\u00e9cessaire \u00e0 la sauvegarde de l'int\u00e9r\u00eat vital de la personne ou encore (iv) si la soci\u00e9t\u00e9 concern\u00e9e a d\u00e9montr\u00e9 qu'elle assurait un niveau de protection \u00e9quivalent par exemple par des r\u00e8gles d\u2019entreprises contraignantes approuv\u00e9es ou le recours aux clauses standards.<\/p>\n\n\n\n
Il est vrai cependant que vu les transferts importants de donn\u00e9es personnelles au sein des groupes internationaux, les entreprises impliqu\u00e9es dans des transferts Union vers USA, feront bien de r\u00e9examiner leur pratique.<\/p>\n","protected":false},"excerpt":{"rendered":"Dans son arr\u00eat du 6 octobre 2015, la Cour Europ\u00e9enne de Justice (CEJ) avait jug\u00e9 dans l'affaire Schrems que la \"sph\u00e8re de s\u00e9curit\u00e9\" ou \"Safe Harbour principle\" \u00e9tabli par les USA \u00e9tait invalide et ne pouvait \u00eatre invoqu\u00e9e pour justifier...","protected":false},"author":2,"featured_media":2144,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[12],"tags":[],"class_list":["post-2118","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-articles-de-presse-fr"],"acf":[],"_links":{"self":[{"href":"https:\/\/dellaw.clients.indev.be\/fr\/wp-json\/wp\/v2\/posts\/2118","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/dellaw.clients.indev.be\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/dellaw.clients.indev.be\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/dellaw.clients.indev.be\/fr\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/dellaw.clients.indev.be\/fr\/wp-json\/wp\/v2\/comments?post=2118"}],"version-history":[{"count":3,"href":"https:\/\/dellaw.clients.indev.be\/fr\/wp-json\/wp\/v2\/posts\/2118\/revisions"}],"predecessor-version":[{"id":2381,"href":"https:\/\/dellaw.clients.indev.be\/fr\/wp-json\/wp\/v2\/posts\/2118\/revisions\/2381"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/dellaw.clients.indev.be\/fr\/wp-json\/wp\/v2\/media\/2144"}],"wp:attachment":[{"href":"https:\/\/dellaw.clients.indev.be\/fr\/wp-json\/wp\/v2\/media?parent=2118"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/dellaw.clients.indev.be\/fr\/wp-json\/wp\/v2\/categories?post=2118"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/dellaw.clients.indev.be\/fr\/wp-json\/wp\/v2\/tags?post=2118"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}