À l'occasion de sa session plénière, lundi 4 novembre, le Comité européen de la protection des données (CEPD ou EDPB en anglais) a adopté un rapport sur le premier examen du cadre UE-États-Unis de protection des données (DPF), publié par la Commission européenne le 9 octobre dernier (EUROPE 13500/19).
L'EDPB se montre satisfait des progrès réalisés depuis l'adoption de la décision d'adéquation, en juillet 2023, bien que des améliorations soient encore possibles.
Globalement, l'EDPB estime que du côté des États-Unis, les mesures nécessaires à la bonne protection des données personnelles transférées ont effectivement été prises, mais qu'il reste du travail sur les mécanismes de recours pour les citoyens de l'UE ainsi que sur le traitement des plaintes.
L'EDPB encourage par ailleurs « l'élaboration de lignes directrices par les autorités américaines, clarifiant les exigences auxquelles les entreprises certifiées DPF devraient se conformer lorsqu'elles transfèrent des données à caractère personnel qu'elles ont reçues d'exportateurs de l'Union européenne ».
En ce qui concerne l'accès des autorités publiques américaines aux données à caractère personnel transférées de l'UE vers des organisations certifiées, l'EDPB déclare avoir concentré son examen sur la mise en œuvre effective des garanties introduites, telles que les principes de nécessité et de proportionnalité et le nouveau mécanisme de recours.
Sans évoquer de manquement, le comité renouvelle l'appel lancé à la Commission européenne pour qu'elle contrôle le fonctionnement pratique des différentes garanties et recommande également « de suivre les développements futurs liés à la loi américaine sur la surveillance du renseignement étranger (Foreign Intelligence Surveillance Act) ».
Enfin, l'EDPB recommande que le prochain réexamen de la décision d'adéquation entre l'UE et les États-Unis ait lieu dans un délai de trois ans au maximum.
Le DPF a été mis en place en 2023, après plusieurs années d'incertitudes liées à l'annulation par la Cour de Justice de l'UE des deux textes précédemment supposés garantir une protection des données personnelles européennes vers les États-Unis, le 'Privacy Shield' et le 'Safe Harbor'.
Voir le rapport : https://aeur.eu/f/e7g (Isalia Stieffatre)