EY désigne l’organisation mondiale des sociétés membres d’Ernst & Young Global Limited, lesquelles sont toutes des entités juridiques distinctes, et peut désigner une ou plusieurs de ces sociétés membres. Ernst & Young Global Limited, société à responsabilité limitée par garanties du Royaume-Uni, ne fournit aucun service aux clients.
-
Notre équipe spécialisée dans le cyberjuridique peut aider votre organisation à se prémunir contre les sanctions réglementaires et le risque de réputation dans le domaine numérique. En savoir plus.
Lire plus
2. Ce qui change par rapport à la précédente décision d’adéquation appelée « Privacy Shield »
Dans sa décision Schrems II du 16 juillet 2020 (aff. C-311/18), la CJUE avait invalidé la décision de la Commission européenne reconnaissant l’adéquation du bouclier de protection de la vie privée conclu avec les Etats-Unis (le « Privacy Shield »), considérant que celui-ci ne fournissait pas :
- Les garanties nécessaires pour limiter l'accès des autorités publiques américaines aux données personnelles des personnes concernées dans l'UE, compte tenu des lois américaines en vigueur sur la surveillance.
- Une protection judiciaire efficace contre les programmes de surveillance américains et un recours effectif, pour les personnes localisées sur le territoire de l’UE, devant un organisme offrant des garanties substantiellement équivalentes à celles exigées par le droit européen. À cet égard, la CJUE précisait que la mise en place d’une médiation ne pouvait remédier à ces lacunes dans la mesure où ce mécanisme ne peut être considéré comme un « tribunal » (au sens de l'article 47 de la Charte des droits fondamentaux de l'Union européenne), notamment en ce qui concerne son (in)dépendance vis-à-vis de l'exécutif.
En réponse à cette invalidation, le président des États-Unis, Joe Biden, a adopté le 7 octobre 2022, un décret présidentiel (executive order) pour renforcer les garanties concernant la collecte et l’utilisation des données personnelles par les services de renseignement américains. Ce décret consacre la reconnaissance des principes de nécessité et de proportionnalité dans le cadre de l’accès des autorités nord-américaines aux données, et introduit un nouveau mécanisme de recours indépendant et impartial auprès d’une cour de contrôle de la protection des données (chargée d’examiner et de résoudre les plaintes concernant l’accès à leurs données par les autorités américaines chargées de la sécurité nationale). Cette cour aura notamment le pouvoir d’enquêter sur les plaintes déposées par les citoyens européens, elle pourra collecter des informations pertinentes auprès des agences de renseignement, et prendre des décisions correctives contraignantes. Dès lors, si des données ont été collectées en violation des garanties prévues par l’executive order précité, la Cour pourra ordonner la suppression de ces données. Cet executive order constitue, en conséquence, un élément-clé du nouveau dispositif d’encadrement des accès aux données par les autorités publiques nord-américaines, qui répond aux réserves soulevées par la décision Schrems II.
3. Les effets collatéraux du cadre de protection des données UE-États-Unis bénéficiant aux autres mécanismes d’encadrement des transferts vers les Etats-Unis
Les entreprises nord-américaines qui n’adhérent pas au nouveau cadre de protection des données UE-États-Unis demeurent soumises à la mise en place des autres mécanismes de transfert prévus par le RGPD.
En effet, à défaut de décision d’adéquation, les organismes soumis au RGPD doivent s’appuyer sur des mécanismes de transfert pour garantir un niveau suffisant et approprié de protection des données personnelles. Il s’agit principalement :
- des « clauses contractuelles types » qui sont des modèles de contrats de transfert de données personnelles adoptés par la Commission européenne qui constituent des garanties appropriées spécifiques prévues par le RGPD ;
- des règles d'entreprise contraignantes ou « Binding Corporate Rules » en anglais (BCR) proposées par l'importateur non européen (sociétés du même groupe s'agissant des « BCR responsables de traitements » ou prestataire s'agissant des « BCR sous-traitants ») ;
- des codes de conduite et des mécanismes de certification, qui doivent l’un et l’autre être assortis de l'engagement contraignant et exécutoire pris par le responsable du traitement ou le sous-traitant dans le pays tiers d'appliquer les garanties appropriées, y compris en ce qui concerne les droits des personnes concernées.
A cet égard, on relèvera qu’en application de l’arrêt Schrems II de la CJUE du 16 juillet 2020 (précité), quel que soit le véhicule de transfert utilisé, il revient désormais à l'exportateur des données d'évaluer la législation du pays de destination, afin de déterminer si les garanties fournies par les clauses contractuelles ou autres outils de transfert mis en place peuvent être respectées dans la pratique. Autrement dit, l’exportateur doit vérifier que le niveau de protection requis par le droit européen y est respecté.
En effet, la CJUE a validé l'utilisation des clauses types encadrant les transferts hors UE (communément appelées « Clauses Contractuelles Types » ou « CCT »), tout en soulignant la nécessité de veiller à ce que des mécanismes efficaces soient mis en place pour assurer le respect d'un niveau de protection équivalent à celui accordé par le RGPD et la Charte des droits fondamentaux de l'Union européenne.
Ainsi, comme mentionné plus haut, l’exportateur des données doit vérifier si la législation du pays destinataire garantit le respect du niveau de protection requis par le droit européen. Si ce n'est pas le cas, il doit mettre en œuvre des mesures supplémentaires pour compenser les lacunes des systèmes juridiques dudit pays en termes de protection des données. Si l’exportateur des données conclut qu'un niveau de protection des données efficace et équivalent au droit européen ne peut être assuré, il doit suspendre ou mettre fin au transfert.
La bonne nouvelle pour les organismes européens transférant des données aux Etats-Unis est que les garanties mises en place par le gouvernement des Etats-Unis dans le domaine de la sécurité nationale (y compris le mécanisme de recours) s'appliquent à tous les transferts de données effectués par des entités publiques ou privées soumises au RGPD vers des organisations situées aux États-Unis. Ces garanties sont donc applicables, quel que soit l’outil de transfert utilisé (clauses contractuelles types ou règles d’entreprise contraignantes par exemple), et cela allège les obligations s’imposant aux exportateurs de données européens s’agissant des transferts transatlantiques.