Transfert de données entre l’Europe et les USA : un décret a été signé, et après ?

Un décret exécutif signé par les USA : de quoi s’agit-il ?

Nouvelle étape importante : Joe Biden, le président des États-Unis, vient de signer un décret exécutif après un accord de principe en mars dernier et plusieurs mois de concertation avec la Commission européenne.

Ce décret a pour objectif de mettre en place un nouveau cadre concernant les transferts de données personnelles entre les deux puissances économiques car depuis l’invalidation du Privacy Shield en 2020, il manque une réelle base légale pour exporter les données d’utilisateurs européens vers les États-Unis.

Dans le tweet ci-dessous, la présidente de la Commission européenne souligne l’importance de ce nouveau décret : « Une avancée importante pour une meilleure protection des données pour les citoyens et plus de sécurité juridique pour les entreprises – des deux côtés de l’Atlantique ! »

I welcome @POTUS signing the executive order for a new 🇪🇺🇺🇸 Data Privacy Framework.

An important step forward for better data protection for citizens and more legal certainty for businesses – on both sides of the Atlantic!

Now we will get to work on the adequacy decision. https://t.co/ZWxTX4Vwke

— Ursula von der Leyen (@vonderleyen) October 7, 2022

L’ONG NOYB fait déjà part de ses inquiétudes

Dans un blog post, l’ONG autrichienne NOYB (None Of Your Business), protectrice des données personnelles, indique : « Il est peu probable que le nouveau décret exécutif américain satisfasse le droit de l’Union européenne. »

Max Schrems, le président de NOYB explique aussi pourquoi selon lui ce décret ne respecte pas les exigences de la Cour de justice de l’Union européenne : « La CJUE a exigé que la surveillance américaine soit « proportionnée » au sens de l’article 52 de la Charte des droits fondamentaux (CFR) et qu’il y ait accès à un recours judiciaire , comme l’exige l’article 47 CFR. Le nouveau décret exécutif de Biden semble échouer sur les deux exigences. » Ce ne sont que les premiers constats de l’ONG, qui continuera de commenter les prochaines étapes, et de les contester si nécessaire.

Pour rappel, en début d’année, NOYB avait également porté plainte auprès des autorités européennes telles que la CNIL, estimant que les transferts de données européennes vers les États-Unis via Google Analytics, ne respectaient pas les règles européennes. La CNIL avait alors reconnu que l’usage de Google Analytics était une violation du RGPD.

L’accord final n’aura sûrement pas lieu avant mi-2023

Le décret exécutif a été signé par les États-Unis mais cela n’est qu’une première étape vers un cadre juridique acté pour le transfert des données entre les deux continents. Car au-delà du décret, il reste à savoir si le texte final sera validé par l’Europe et respectera bien les standards européens de protection des données.

Ainsi, au cours des prochains mois, la Commission européenne va réaliser tout un processus de ratification, notamment auprès de l’European Data Protection Board. Selon un responsable européen, il faudra certainement attendre le printemps 2023 pour des décisions finales concernant cet accord transatlantique.