DE L UNION EUROPEENNE VERS LES USA : ETAT DES LIEUX. En un seul coup d œil. L accord Son domaine Son statut

Transcription

1 TRANSFERT DES DONNEES A CARACTERE PERSONNEL DE L UNION EUROPEENNE VERS LES USA : ETAT DES LIEUX En un seul coup d œil L accord Son domaine Son statut Privacy shield (remplacera le Safe Harbor) Umbrella Agreement Judicial Redress Act Transfert de données à caractère personnel entre entreprises Transfert et traitement des données à caractère personnel à des fins d ordre public en matière policière et judiciaire pénale Permet aux citoyens de l UE de saisir les tribunaux américains pour faire valoir leurs droits au respect de la vie privée en cas d utilisation abusive concernant des données transférées vers les USA à des fins d ordre public En cours d analyse par la Commission européenne En cours de négociation Adopté Concrètement et en l état actuel des projets de textes, si vous transférez des données à caractère personnel de France vers les USA, vous devez : - Pour un transfert intra-groupe : conclure des Binding Corporate Rules («BCR») ou un accord contractuel conforme aux préconisations de la Commission européenne avec l entité destinataire des données ; - Pour un transfert vers une entité tierce : seule la solution de l accord contractuel est envisageable. 1

2 En quelques mots Les USA ne présentant pas de niveau de protection adéquat dans le cadre des transferts de données à caractère personnel en provenance de l Union Européenne (UE), différents mécanismes légaux ont été mis en place de longue date afin d encadrer ces transferts de l UE vers les USA (les Clauses Contractuelles Types, les règles internes d entreprise ou BCR, et enfin le Safe Harbor). Le Safe Harbor a récemment été invalidé par la Cour de Justice de l Union européenne («CJUE») dans sa décision dite Schrems rendue le 6 octobre La Commission européenne a donc été amenée à négocier un nouvel accord avec les autorités gouvernementales américaines, le Privacy Shield. L UE et les USA sont convenus d un accord de principe qui se trouve aujourd hui au stade de l analyse par la Commission européenne afin de s assurer qu il est adéquat aux exigences de l UE quant au niveau de protection des données à caractère personnel par le pays recevant des données en provenance de l UE. La négociation d un accord-cadre, Umbrella Agreement, est également menée en parallèle entre l UE et les USA et concerne quant à elle la question du transfert et du traitement des données personnelles à des fins d ordre public en matière pénale. Le calendrier d adoption de ces deux accords s est accéléré notamment depuis la promulgation aux USA du Judicial Redress Act qui permet aux citoyens de l UE (comme cela est déjà permis pour les citoyens américains devant les cours européennes) de saisir les tribunaux américains pour faire valoir leurs droits au respect de la vie privée en cas d utilisation abusive concernant des données transférées vers les USA à des fins d ordre public. 2

3 Pour en savoir plus Le Privacy Shield La directive 95/46/CE sur la protection des données à caractère personnel 1 interdit le transfert de données hors de l UE sauf si cet Etat assure un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux. Les USA ne disposant pas de loi globale sur la protection de données, la Commission européenne et les autorités gouvernementales américaines ont négocié les principes du Safe Harbor reconnus ensuite par la décision de la Commission européenne rendu le 26 juillet comme présentant un niveau de protection adéquat pour les transferts de données à caractère personnel de l UE vers les entreprises américaines adhérant à ces principes. Ce mécanisme était déclaratoire et reposait sur une auto-certification des entreprises. La Federal Trade Commission (FTC) était chargée de la mise en œuvre de ces principes sur le territoire américain. C est alors que l action d un jeune homme, Maximilian Schrems, a mis à mal ce fonctionnement en en révélant son inadéquation aux exigences européenne en matière de respect de la vie privée et des données de chacun. A la suite des révélations d Edward Snowden sur la surveillance massive d internet, un ressortissant autrichien s inquiète du traitement de ses données par Facebook et saisit alors 1 La directive 95/46/CE du Parlement européen et du Conseil relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (également appelée "directive sur la protection des données") constitue l'acte législatif de base, au niveau de l'ue, dans le domaine de la protection des données. Il s'agit d'un instrument-cadre, en ce sens que la directive est mise en œuvre au moyen des lois nationales adoptées dans les États membres de l'ue. La loi n du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, a été modifiée par la loi du 6 août 2004 afin de transposer en droit français les dispositions de la directive 95/46/CE. Les articles 68 à 70 de cette loi informatique et libertés énoncent les règles relatives aux transferts internationaux de données. 2 Décision 2000/520/CE de la Commission du 26 juillet 2000 conformément à la directive 95/46/CE du Parlement européen et du Conseil relative à la pertinence de la protection assurée par les principes de la «sphère de sécurité» et par les questions souvent posées y afférentes, publiés par le ministère du commerce des États-Unis d'amérique. 3

4 l autorité irlandaise 3 d une plainte lui demandant de suspendre le transfert de ses données à caractère personnel vers les USA aux motifs que les pratiques de ce pays ne permettaient pas la garantie d une protection suffisante de ses données. L autorité irlandaise a rejeté sa plainte considérant que le transfert de données était encadré par les principes du Safe Harbor. La Haute Cour de Justice irlandaise, saisie alors de l affaire, interrompt la procédure et interroge la Cour de Justice de l Union Européenne («CJUE») sur le fait de savoir si l autorité de contrôle est liée par la décision 2000/520/CE de la Commission européenne validant le Safe Harbor, ou si la CJUE pouvait contester cette décision suite à sa requête. La CJUE a estimé qu elle avait la compétence exclusive pour apprécier la validité d un acte de l UE et a invalidé la décision de la Commission adoptée en 2000 (décision dite Schrems 4 ). Selon la CJUE, ce mécanisme d auto-certification devait reposer sur des procédures de contrôle efficaces. Elle a également estimé que le mécanisme d adéquation du Safe Harbor n était pas conforme au droit européen en ce qu il ne permettait pas de garantir, de manière effective, un niveau de protection adéquat des données à caractère personnel. En conséquence de quoi, tout transfert de données à caractère personnel effectué sur la base du Safe Harbor devait être considéré désormais comme illégal. Le 15 octobre 2015, le G29 (groupe des autorités de contrôle européennes) a adopté une position commune enjoignant les Etats membres de l UE, les institutions et les autorités américaines, de trouver des solutions pour combler le vide juridique causé par cet arrêt. Le projet «Privacy Shield» a ainsi été boosté. Le Privacy Shield constitue un accord politique négocié entre l UE et les USA sur un nouveau cadre portant sur les échanges transatlantiques de données à caractère personnel à des fins commerciales. Les USA et l UE négocient depuis plus de deux ans mais l arrêt de la CJUE a accéléré le rythme des négociations. Par un communiqué du 2 février 2016, la Commission européenne a annoncé avoir trouvé un accord avec les USA. Les négociations du Privacy Shield sont donc avancées mais cet accord ne pourra entrer en vigueur sans la publication par la Commission européenne d une décision d adéquation 3 Facebook ayant son siège social européen à Dublin. 4 CJUE, , Aff. C-362/14, Maximillian S. c/ Data Protection Commissioner. 4

5 démontrant que les conditions de cet accord sont équivalentes aux normes de protection des données applicables à l UE. Une "décision d'adéquation" est une décision adoptée par la Commission européenne sur la base de l'article 25, paragraphe 6, de la directive 95/46/CE, qui établit qu'un pays tiers assure un niveau de protection adéquat des données à caractère personnel en raison de sa législation interne ou des engagements internationaux qu'il a souscrits. Une fois cette décision adoptée 5, des données à caractère personnel pourront être transférées des 28 Etats membres de l UE (et des trois pays membres de l Espace économique européen : Norvège, Liechtenstein et Islande) vers ce pays tiers sans aucune autre restriction. Les décisions relatives à la pertinence de la protection sont adoptées selon la "procédure de comité", qui comprend les étapes suivantes: - la Commission présente une proposition; - le groupe de travail "Article 29" 6 rend un avis; - le comité de l'article 31 7 rend un avis adopté à la majorité qualifiée des États membres; - le Parlement européen et le Conseil peuvent, à tout moment, demander à la Commission de maintenir, modifier ou retirer la décision d'adéquation au motif qu'elle excède les compétences d'exécution prévues par la Directive; et - le collège des membres de la Commission adopte la décision. Le groupe de travail "Article 29" a accueilli favorablement ce nouvel accord mais a rappelé 8 qu il appréciera si ce dernier est de nature à apporter quatre garanties : - Le traitement doit être fondé sur des règles claires, précises et accessibles ; 5 À ce jour, la Commission a adopté sept décisions de ce type. 6 Le groupe de travail "Article 29" est le nom abrégé du groupe de travail sur la protection des personnes à l'égard du traitement des données à caractère personnelles institué par l'article 29 de la directive 95/46/CE. Il fournit à la Commission européenne des avis indépendants sur des questions concernant la protection des données et contribue à l'élaboration de politiques harmonisées dans ce domaine au niveau des États membres de l'ue. 7 Le comité de l'article 31 a été institué par l'article 31 de la directive 95/46/CE. Il est composé de représentants des États membres, qui participent à la prise de décision dans les cas où la directive requiert l'approbation des États membres. À titre d'exemple, le comité participe à la procédure d'adoption des décisions d'adéquation. 8 Communiqué de presse du 3 février

6 - Un juste équilibre doit être trouvé entre les finalités pour lesquelles les données sont collectées et traitées et les droits des individus ; - Un système indépendant doit être mis en place pour assurer de manière effective les contrôles nécessaires ; - Des voies de recours effectives devant des juridictions indépendantes doivent être créées. Le Privacy Shield s appuie sur des principes de respect de la vie privée (Privacy principles) que les entreprises doivent respecter et sur des engagements concernant la mise en œuvre du dispositif (contenus dans les Annexes de cet accord). Les autorités américaines ont ainsi donné des assurances formelles que cet accord serait appliqué de façon rigoureuse et que les services nationaux de sécurité ne se livraient à aucune surveillance de masse. Quatre garanties sont essentiellement prévues : - Mise en place de mécanisme de surveillance des entreprises avec possibilité de sanctions ; - Encadrement strict et transparence sur les conditions d accès aux données par les autorités américaines à des fins de sécurité nationale ; - Protection effective des citoyens de l UE avec possibilités de recours (obligation pour les entreprises visées de répondre aux plaintes sous 45 jours et accès à un mécanisme de règlement extrajudiciaire sans frais, en dernier recours) ; - Mécanisme de réexamen annuel conjoint (Commission européenne et Ministère américain du commerce) du fonctionnement du bouclier de protection, et ce notamment afin de tenir compte des évolutions législatives et technologiques. Les sociétés américaines devront notamment s inscrire sur une "Privacy Shield List " et certifier tous les ans qu elles remplissent les critères de protection des données. Les USA se sont engagés à maintenir cette liste à jour et également à s assurer que les sociétés retirées de cette liste continuent à respecter leurs obligations concernant les données reçues antérieurement à leur retrait de cette liste. EU/US Data protection Umbrella agreement Parallèlement au Privacy Shield, un accord-cadre, Umbrella Agreement, a finalement été trouvé entre l UE et les USA sur la question du transfert et du traitement des données à 6

7 caractère personnel à des fins d ordre public en matière policière et judiciaire pénale. Cet accord instaure un cadre global de protection aux fins de coopération entre les services européens et américains dans le cadre des transferts des données à caractère personnel entre l UE et les USA aux fins de la prévention, de la détection, de la recherche et de la poursuite d infractions pénales, y compris les actes terroristes. Cet accord cadre ne constitue pas une base juridique, ni une décision concernant le caractère adéquat de la protection mais définira les conditions et les garanties de légalité entourant les transferts dans ces domaines. Judicial Redress Act Le Judicial Redress Act a été promulgué le 24 février 2016 aux Etats-Unis. Cette loi sur le recours juridictionnel permettra aux citoyens de l UE de saisir les tribunaux américains pour faire valoir leurs droits au respect de la vie privée en cas d utilisation abusive concernant des données transférées vers les USA à des fins d ordre public. Cette loi étendra également aux citoyens de l UE les droits dont jouissent les citoyens et résidents américains en vertu de la loi de 1974 sur le respect de la vie privée (Privacy Act). 7