Transfert des données entre Europe et USA : nouvelle étape vers un cadre légal

Un pas de plus vers l’accord entre l’Europe et les USA pour la circulation des données

Nouveau rebondissement : la Commission européenne vient de lancer le processus d’adoption de la décision d’adéquation concernant le cadre de protection des données entre l’Europe et les USA. Pour rappel, une décision d’adéquation est un processus prévu par l’article 45 du RGPD, qui autorise et permet de transférer des données à caractère personnel depuis l’UE vers un autre pays, tout en assurant un niveau de protection identique.

Concrètement, ce projet de décision d’adéquation fait suite à la signature du décret du 7 octobre dernier par Joe Biden (qui impose notamment une limite d’accès aux données par les services de renseignements américains), ainsi qu’aux règlements adoptés par Merrick Garland, le procureur général des États-Unis, qui ont permis de transposer l’accord de principe signé en mars 2022, et d’imposer les nouvelles obligations des entreprises américaines dans la loi. L’objectif : trouver un nouveau cadre légal après l’invalidation du Privacy Shield en 2020, et permettre enfin la circulation des données entre l’Europe et les États-Unis.

Avec cette décision d’adéquation, la Commission européenne estime donc que le cadre juridique américain « offre des garanties comparables à celles de l’UE » et conclut que « les États-Unis assurent un niveau de protection adéquat des données à caractère personnel transférées de l’UE vers des entreprises américaines. »

Procédure d’adoption de la décision d’adéquation : quelles sont les prochaines étapes ?

Assisterons-nous donc prochainement à un accord définitif entre les USA et l’Europe ? Rien n’est moins sûr.

En effet, le projet de décision d’adéquation va devoir passer par une procédure d’adoption. Pour cela, le projet a été transmis au Comité européen de la protection des données (CEPD), qui intervient notamment auprès de la Cour de justice de l’Union européenne (CJUE), pour obtenir son avis. La Commission devra ensuite obtenir l’approbation d’un comité constitué par les représentants des États membres de l’Union européenne. À noter également que le Parlement européen dispose « d’un droit de regard » sur l’ensemble des décisions d’adéquation. Beaucoup d’acteurs doivent donc encore intervenir avant d’espérer un accord…

Toutefois, dès lors que la décision d’adéquation sera adoptée, « les entités européennes pourront transférer des données personnelles aux entreprises participantes aux États-Unis, sans avoir à mettre en place des garanties supplémentaires en matière de protection des données ». Néanmoins, l’accord sera régulièrement examiné par la Commission européenne, les autorités européennes de protection des données et les autorités américaines, afin de vérifier sa conformité et le respect des règles du cadre juridique dans le temps. Le premier examen devrait avoir lieu l’année suivant l’acceptation de la décision d’adéquation.

Les inquiétudes toujours présentes

L’ONG autrichienne NOYB (None Of Your Business) qui lutte contre la protection des données personnelles, et son président Max Schrems n’ont pas manqué de réagir à cette annonce en exprimant leurs doutes. NOYB estime que la loi américaine actualisée (Executive Order 14086) ne semble pas répondre aux exigences concernant les restrictions d’accès aux données des services de renseignements, et estime qu’il y a toujours une « surveillance massive ».

Ainsi, l’ONG déclare : « Il semble évident que toute « décision d’adéquation » de l’UE basée sur le décret 14086 ne satisfera probablement pas la CJUE. Cela signifie que le troisième accord entre le gouvernement américain et la Commission européenne pourrait échouer ».

La décision finale de cet accord n’est pas attendue avant le printemps 2023.