La Commission européenne a adopté, lundi 10 juillet, la décision d’adéquation établissant un nouveau cadre pour le transfert de données personnelles entre l’UE et les États-Unis.
Cette décision entérine le fait que le cadre négocié avec les États-Unis offre un niveau de protection adéquat aux données à caractère personnel transférées depuis l’UE. Les données européennes pourront, par conséquent, circuler librement vers les entreprises américaines participantes au cadre.
Le commissaire à la Justice, Didier Reynders, a salué une « avancée significative ». Et pour cause : les deux cadres précédents, Safe Harbour (EUROPE 11404/1) et Privacy Shield (EUROPE 12529/2), ont tous deux été invalidés par la Cour de Justice de l’UE (CJUE). Or, pour M. Reynders, le cadre actuel répond aux exigences de la CJUE, à savoir limiter l’utilisation des données européennes par les services de renseignement américains et introduire des mécanismes de recours efficaces pour les citoyens de l’UE.
Services de renseignement
Une des conclusions des arrêts de la CJUE sur les cadres légaux précédents est que l’utilisation des données n’était pas suffisamment encadrée pour répondre aux exigences de proportionnalité, dans la mesure où les citoyens non américains ne bénéficiaient pas de limitation ni de garanties.
Or, pour M. Reynders, avec l’ordre exécutif du 3 juillet du Président américain, Joe Biden, qui met à jour les procédures internes des agences de renseignement, « les exigences de nécessité et de proportionnalité sont désormais clairement définies par des garanties contraignantes et exécutoires ». Ainsi, avant d’accéder à des données personnelles transférées à des entreprises américaines depuis l’UE , les renseignements devront désormais pondérer des facteurs tels que la nature des données, la gravité de la menace, et l’impact probable sur les droits des individus concernés.
Mécanisme de recours
En outre, dans ses arrêts, la CJUE a estimé que les cadres précédents n’offraient pas de mécanisme de recours efficace et suffisamment indépendant pour les citoyens européens. Le cadre actuel introduit ainsi un mécanisme en deux étapes.
D’une part, les plaignants ne devront pas démontrer que les services de renseignement américains ont eu accès à leurs données pour que leur plainte soit recevable. Ils pourront déposer plainte gratuitement et dans leur langue, à travers leur autorité nationale de protection des données, qui les transmettra à « l’officier de protection des libertés civiles » aux États-Unis à travers le Comité européen de la protection des données (EPDB).
D’autre part, les individus pourront faire appel du verdict de l’officier américain auprès de la nouvelle Cour de révision de la protection des données, habilitée à prendre des décisions correctives contraignantes. Par exemple, elle pourra « ordonner la suppression des données qui auraient été collectées en violation des exigences de nécessité ou de proportionnalité », a précisé le commissaire. Les intérêts des plaignants seront représentés gratuitement par un avocat spécial disposant des autorisations de sécurité nécessaire et qui devra être entendu avant que la Cour ne puisse rendre un jugement.
Vers une nouvelle procédure devant la CJUE ?
Si le commissaire a défendu un cadre basé sur des principes « solides » et présentant des « progrès considérables », Max Schrems, le militant à l’origine des deux recours devant la CJUE, ne partage pas son analyse. Au travers de son association, Nyob, il a fait savoir qu’un nouveau recours « est prêt à être déposé » (https://aeur.eu/f/7zu ).
Il estime notamment que rien ne garantit une interprétation du terme « proportionnel » conforme à celle de la Charte des droits fondamentaux et, dès lors, une protection des utilisateurs européens contre la surveillance de masse. Tout comme le Parlement européen, il remet également en question l’indépendance et l’efficacité du mécanisme de recours (EUROPE 13161/2).
Tout en déclarant ne se faire « aucune illusion », M. Reynders a appelé à laisser le temps au nouveau cadre de faire ses preuves avant d’introduire une plainte à la CJUE. Il a également assuré que « la Commission sera particulièrement vigilante quant à la mise en œuvre de ce nouveau cadre juridique et n’hésitera pas à réagir en cas de problème ».
La décision d’adéquation adoptée (en anglais) : https://aeur.eu/f/7zt (Hélène Seynaeve)