Bruxelles, 29/02/2016 (Agence Europe) - La Commission européenne a présenté, lundi 29 février, son projet de décision d'adéquation visant à renouveler l'ancien cadre de transfert des données personnelles entre l'UE et les États-Unis, en l'occurrence le dispositif Safe Harbour, que la Cour de justice de l'UE avait invalidé le 6 octobre 2015 (EUROPE 11404).
Après en avoir présenté les grandes lignes le 2 février, la Commission a donc officialisé le projet de texte appelé « US/EU Privacy Shield » (EUROPE 11481), qu'elle a d'ailleurs envoyé dans la matinée aux autorités européennes de protection des données réunies dans le groupe Article 29. Celui-ci devrait remettre son avis final à la fin mars et le projet de décision d'adéquation, remplaçant l'ancienne décision datant de 2000, sera déjà envoyé en comitologie.
Si la Commission n'a pu donner de calendrier précis pour l'entrée en vigueur du 'bouclier', elle a insisté sur les nouvelles sauvegardes comme celles apportées aux programmes de surveillance de masse ou la création d'une Médiatrice indépendante dont l'une des fonctions sera de faire en sorte que chaque Européen ayant une plainte ou une requête à adresser dans ce domaine recevra, sinon une solution, une réponse satisfaisante.
La Commission est convaincue d'avoir négocié un texte plus solide non susceptible d'être attaqué devant la Cour de justice de l'UE, comme cela avait été le cas avec l'étudiant autrichien Max Schrems, à la base de l'annulation de 'Safe Harbour'. Évoquant des changements majeurs, elle met ainsi en avant des mécanismes de supervision plus efficaces, le Département du Commerce américain s'étant engagé à faire cette supervision pour les Européens et les compagnies américaines devant, non seulement se plier à ces principes de protection, mais aussi les appliquer aux transferts qu'elle pourraient effectuer vers d'autres pays tiers. Les compagnies auront 45 jours pour répondre aux requêtes ou aux plaintes des citoyens européens. (Un mécanisme d'arbitrage plus contraignant pourra intervenir en cas d'échec des modes de résolution alternatifs).
La Commission se réjouit d'avoir reçu des garanties écrites sur les objectifs, la durée du traitement des données personnelles ainsi que sur les possibilités d'accès des agences de sécurité nationales à ces données personnelles, en théorie traitées uniquement par des compagnies comme Google ou Facebook. Quant à l'accès aux données des autorités nationales de renseignement, il devrait ainsi être guidé par les principes de nécessité et de proportionnalité. Les États-Unis se sont engagés sur ce plan à offrir des voies de recours aux Européens et la Médiatrice (Catherine Novelli) pourra accéder à des éléments confidentiels.
La collecte en vrac de données - c'est-à-dire indéterminée et touchant tous les individus - sera toujours possible, mais elle sera l'exception et non plus la règle, assure la Commission. Elle sera permise si d'autres traitements plus ciblés ne sont pas possibles et devra répondre à six motifs, comme la lutte contre le terrorisme ou contre les activités de services de renseignement étrangers qui pourraient nuire aux intérêts américains. Cette garantie donnée par écrit par les États-Unis pourra être vérifiée annuellement dans le cadre du mécanisme annuel de révision conjointe du Privacy Shield qui devrait être l'occasion pour les deux parties de faire le point sur le respect par les compagnies des principes du nouveau dispositif, espère la Commission. Dans ce cadre, l'UE espère pouvoir peser sur son partenaire pour réparer d'éventuelles défaillances, comme le recours trop fréquent à la collecte en vrac de données.
Le système continuera toutefois de reposer sur l'auto-certification des entreprises, mais la Commission a promis qu'elle suspendrait presque immédiatement le dispositif, si jamais des défaillances continues étaient observées. Elle mise aussi sur la continuité dans l'application des dispositifs, dans la perspective d'un basculement de l'administration fédérale dans le camp des Républicains.
Max Schrems s'est dit dubitatif et s'est demandé lundi si ce nouveau bouclier pourra vraiment éviter une nouvelle fois le passage par la Cour de Luxembourg. (Solenn Paulic)