La Commission européenne a annoncé, mardi 17 juillet, la conclusion des négociations entre l'UE et le Japon sur le transfert des données personnelles (EUROPE 12063). L’annonce a été faite juste avant la signature des accords de partenariat stratégique et de partenariat économique à Tokyo (voir autre nouvelle).
L'accord conclu prévoit une reconnaissance mutuelle d'un niveau équivalent de protection des données par l'UE et le Japon. Une fois adopté, il permettra aux données personnelles, échangées à des fins tant commerciales que répressives, de circuler d'un territoire à l'autre sans être soumises à des garanties ni à des autorisations supplémentaires.
La modernisation de la législation japonaise a « accru la convergence entre les deux systèmes », explique la Commission, en reconnaissant notamment la protection des données comme un droit fondamental.
L’UE a par ailleurs obtenu du Japon une série de garanties supplémentaires à appliquer aux données des Européens transférées dans le pays. La définition japonaise des « données sensibles » sera notamment élargie et le transfert ultérieur des données des Européens du Japon vers un autre pays tiers sera soumis à un niveau de protection plus élevé.
Le Japon a également accepté d'établir un système de traitement et de résolution des plaintes des Européens, sous la supervision de l'autorité japonaise de protection des données.
« Le plus grand espace au monde de transferts de données en toute sécurité »
À Tokyo, le président de la Commission européenne, Jean-Claude Juncker, s’est félicité de cet accord qui créera « le plus grand espace au monde de transferts de données en toute sécurité », a-t-il estimé sur Twitter.
« Même si l'UE a déjà pris des décisions unilatérales d'adéquation avec plusieurs autres pays, c'est la première fois que l'UE et un pays tiers se sont mis d'accord sur une reconnaissance réciproque du niveau adéquat de protection des données », a expliqué la Commission.
L’UE a en effet déjà adopté des décisions d’adéquation pour plusieurs territoires tels qu’Andorre, Guernesey, Jersey, les îles Féroé, l’île de Man, Israël, la Suisse, l’Argentine, l’Uruguay, la Nouvelle-Zélande ou encore le Canada et les États-Unis.
Les décisions pour le Canada et les États-Unis ne sont en effet que des décisions d’adéquation « partielles ». Pour le Canada, la décision ne s’applique qu’aux entités privées visées par loi nationale sur la protection des renseignements personnels, tandis que pour les États-Unis, seules les entreprises qui s'engagent à respecter les principes du ‘Privacy Shield’ bénéficient de transferts de données plus faciles.
Avec les révélations sur le scandale ‘Cambridge Analytica’, ce dernier est d’ailleurs mis à mal depuis plusieurs mois (EUROPE 12056).
« Avec les incertitudes actuelles liées aux transferts de données et aux litiges en cours en Europe, la détermination de l'adéquation pour le Japon est une bouffée d'air frais. La flexibilité évidente de la reconnaissance mutuelle contribue à apaiser les tensions sur les flux de données et pourrait servir de modèle pour les futures déterminations d'adéquation », a estimé Thomas Boué, directeur général de l’association The Business Software Alliance.
Prochaines étapes. Les deux parties se sont engagées à achever les procédures internes nécessaires pour l'adoption du constat d'adéquation d’ici l’automne 2018.
De son côté, la Commission va maintenant lancer le processus d’adoption prévu par le règlement GDPR, qui suppose d'obtenir l'avis du Comité européen de la protection des données (EDPB) et le feu vert des représentants des États membres de l'UE, en amont de l'adoption formelle par la Commission.
La Commission procédera à un premier réexamen du dispositif deux ans après son adoption, puis tous les quatre ans. (Marion Fontana)