Le 10 juillet 2023, la Commission européenne a adopté une décision d’adéquation concernant les Etats-Unis. Désormais, les données à caractère personnel peuvent circuler librement vers les entités états-uniennes adhérant à ce cadre de protection, sans qu'il soit nécessaire de mettre en place des garanties supplémentaires.
Troisième essai. Après le Safe Harbor en 2000 et le Privacy Shield en 2016, la Commission européenne a adopté le 10 juillet 2023 un nouvel accord permettant le transfert de données personnelles vers certaines entités situées aux Etats-Unis.
Un niveau de protection équivalent à celui du RGPD
Dans la décision d’adéquation du 10 juillet 2023, la Commission juge que les modifications récemment apportées à la législation américaine permettent désormais de garantir un niveau de protection "adéquat", c’est-à-dire similaire à celui de l'Union européenne. Les données personnelles peuvent donc être transférées vers les Etats-Unis en toute sécurité.
Cette position fait suite aux changements introduits dans la loi américaine par un executive order signé en octobre 2022 par le président Biden, visant à limiter l'accès des services de renseignement américains aux données situées dans l’Union européenne à ce qui est nécessaire et proportionné.
L’adhésion obligatoire des entités états-uniennes au cadre de protection mis en place
Pour pouvoir transférer librement des données personnelles vers une entité américaine, il faudra néanmoins s’assurer que cette dernière a bien adhéré au cadre de protection instauré par la décision d’adéquation. Cette adhésion suppose notamment un engagement, de la part de l’entité américaine, à respecter un ensemble détaillé d'obligations en matière de protection de la vie privée, parmi lesquelles l’obligation de supprimer les données lorsqu'elles ne sont plus nécessaires à la finalité pour laquelle elles ont été collectées.
La liste des entités "agréées" - c’est-à-dire ayant adhéré au nouveau cadre de protection - sera gérée par le ministère américain du commerce. Elle n‘a pas encore été rendue publique à ce jour.
Un transfert libre
Avec cet accord, les entreprises européennes peuvent de nouveau transférer des données personnelles vers les Etats-Unis, sans qu’il soit nécessaire de recourir à aucune autre garantie supplémentaire. Notamment, il ne sera plus obligatoire d’inclure des clauses contractuelles types dans les contrats conclus avec des sous-traitants américains – sous réserve que ces derniers figurent sur la liste susmentionnée des entités ayant adhéré au nouveau cadre de protection.
En pratique, cette décision entraîne une simplification de la contractualisation pour encadrer les transferts de données vers les Etats-Unis.
Un renvoi prochain à la CJUE ?
Toute personne dont les données personnelles seront transférées dans le cadre du nouvel accord pourra introduire un recours auprès des autorités de protection des données ou des tribunaux, notamment devant la Cour de justice de l’Union européenne (CJUE).
Il est probable que l’accord du 10 juillet 2023 fasse l’objet d’un tel recours. En effet, Max Schrems, président de l’association "noyb", a déjà annoncé qu’il ne considérait pas ce nouvel accord d’adéquation comme une véritable avancée mais comme une simple "copie" du Privacy Shield. Ainsi, selon lui, cette décision devrait être invalidée pour les mêmes raisons que celles ayant conduit à l’abrogation du Privacy Shield, liées à la portée extraterritoriale des lois de surveillance américaine (plus pour de détails, vous pouvez consulter notre article "Invalidation du Privacy Shield : à propos de la décision de la CJUE C-311/18 du 16 juillet 2020"). La CJUE aurait alors la possibilité de suspendre le mécanisme de la décision d’adéquation pendant la durée de la procédure.
La saga du transfert de données vers les Etats-Unis n’est donc pas encore terminée.
Flash info Technologie, média & communications | Transfert de données personnelles vers les Etats-Unis : Un nouvel accord | 17 juillet 2023
Technologie, Media et Communication dans notre cabinet d’avocats :
Si les avancées technologiques constituent de formidables opportunités, elles sont également un vecteur de risques pour les entreprises. Dans cet environnement évolutif, notre cabinet d’avocats met à votre disposition sa fine compréhension des nouvelles technologies, son expertise reconnue en matière de propriété intellectuelle ainsi que sa parfaite maîtrise du droit des contrats.
|
|
|
