Un an après son lancement, le dispositif Privacy Shield (ou ‘bouclier de sécurité’) continue d’offrir un niveau de protection adéquat des données des Européens transférées à des fins commerciales vers des entreprises établies aux États-Unis. Mais sa mise en œuvre peut être améliorée, a estimé la Commission européenne dans son premier rapport annuel sur le fonctionnement du dispositif, mercredi 18 octobre.
Dans l'ensemble, le rapport souligne que les autorités américaines ont mis en place les structures et procédures nécessaires pour garantir le bon fonctionnement du dispositif, notamment en matière de traitement des plaintes. À ce jour, aucune plainte individuelle n’a été déposée auprès des 28 autorités nationales de protection des données et très peu de plaintes sont à recenser du côté américain, a rapporté un haut fonctionnaire européen.
Le fonctionnement de la procédure de certification a également été jugé satisfaisant. Plus de 2400 entreprises sont à présent certifiées par le ministère américain du Commerce, c’est plus que pendant les dix années d'application de son prédécesseur, le dispositif Safe Harbour, a indiqué la commissaire européenne à la Justice, Vĕra Jourová, devant la presse.
Sur l'accès des autorités publiques américaines aux données à caractère personnel à des fins de sécurité nationale, le rapport indique que les garanties nécessaires prévues par les États-Unis sont encore en place.
Selon les informations dont dispose la Commission, entre janvier et juin 2016, le géant américain Facebook aurait reçu entre 500 et 999 demandes d'accès aux données personnelles par les autorités de surveillance, touchant entre 13000 et 13499 comptes d’utilisateurs. Examinés à la lumière du nombre total d’utilisateurs, soit près de 2 milliards, le nombre de comptes affectés par les demandes d’accès du gouvernement aux données personnelles reste limité, selon l’institution européenne.
Recommandations pour l’avenir du dispositif. Afin d’améliorer sa mise en œuvre du Privacy Shield, la Commission attend du côté américain un suivi plus proactif et régulier du respect, par les entreprises, de leurs obligations.
L’UE souhaite également que la protection des ressortissants non américains, inscrite dans la directive présidentielle n°28, figure clairement dans la section 702 de la loi américaine sur la surveillance et le renseignement étranger (FISA), qui fait actuellement l’objet d’une réforme. À ce sujet, la commissaire a indiqué être en contact étroit avec les membres du Congrès américain et attendre une réponse de leur part d’ici la fin de l’année.
Sur l’épineuse question du médiateur permanent, la Commission réitère son appel à une désignation « dans les meilleurs délais » de celui-ci, ainsi que des personnes appelées à occuper les postes vacants au sein du Conseil américain de surveillance de la vie privée et des libertés civiles, sans toutefois fixer de date butoir.
De son côté, la Commission s’engage à sensibiliser davantage les citoyens européens à la manière d'exercer leurs droits dans le cadre de ce dispositif, notamment en ce qui concerne le dépôt de plaintes.
Selon ce même haut fonctionnaire, la réussite du dispositif Privacy Shield pourrait être étendue à d’autres partenaires commerciaux de l’UE, notamment le Japon, avec lequel un accord de libre-échange doit être finalisé. Tokyo vient d’ailleurs d’adopter un acte sur la protection des données qui s’inspire fortement des normes européennes.
Mais cette réussite pourrait d'ores et déjà être remise en cause par la Cour de justice de l'UE (CJUE), qui pourrait avoir à examiner l'adéquation de la protection des données des européens dans un autre cadre. En effet, début octobre, la Haute Cour de justice irlandaise a demandé à la CJUE de se prononcer sur la possibilité, pour l’autorité irlandaise de protection des données, de suspendre ou interdire le transfert de données personnelles des utilisateurs de Facebook Ireland vers les États-Unis, en raison de garanties insuffisantes sur le respect de la vie privée (EUROPE 11875). Reconnaissant qu’il s’agit certes d’un « premier défi », la commissaire a néanmoins indiqué qu’elle restait confiante quant à la future position de la Cour.
Une première évaluation qui ne convainc pas le BEUC. À l’issue des trois jours de réunions entre autorités européennes et américaines sur cette évaluation, qui se sont tenues fin septembre à Washington (EUROPE 11867), plusieurs parties prenantes restaient inquiètes de la collecte et l’exploitation des données des citoyens européens par les agences américaines de renseignement (EUROPE 11865).
Interrogé par EUROPE suivant la publication du rapport, le Bureau Européen des Unions de Consommateurs (BEUC) estime que la plupart des lacunes relevées, l'année dernière, par les autorités européennes de protection des données n'ont pas été corrigées et que d'autres éléments importants de l'accord ne sont même pas en place. Ainsi, pour l'organisation, conclure que le dispositif « fonctionne bien » est « plutôt surprenant ».
Le rapport doit maintenant être transmis au Parlement européen et au Conseil mais aussi au groupe de travail ‘article 29’ des autorités de protection des données et, s’agissant d’un rapport unilatéral de la Commission, également aux autorités américaines. (Marion Fontana)