TRANSFERT DE DONNÉES PERSONNELLES VERS LES ÉTATS-UNIS : DU SAFE HARBOR AU BOUCLIER DE PROTECTION DES DONNÉES. Début février, une communication importante de l’Union européenne a clarifié les nouvelles perspectives concernant le mécanisme de protection des données personnelles transférées d’Europe vers les États-Unis. Après que la Cour de justice de l’Union européenne a invalidé, en octobre dernier, le précédent cadre du Safe Harbor (datant de 2000), le jugeant inadéquat pour protéger la vie privée des citoyens européens, un nouvel accord transfrontalier est devenu nécessaire pour combler cette lacune. Ce nouvel accord, baptisé Bouclier de protection des données UE-États-Unis, mais dont les détails restent à préciser, a été salué par les autorités américaines, qui ont immédiatement assuré qu’il n’y aurait pas de surveillance de masse ou indiscriminée de la part des services de sécurité nationale. Il y a quelques jours, la Commission européenne a publié les détails de ce « bouclier de protection des données », ainsi qu’un projet de décision d’adéquation qui, une fois adopté, établira l’équivalence des niveaux de protection des données entre les États-Unis et l’Europe, et les textes constituant l’accord lui-même, reflétant les engagements du gouvernement américain. Mais ces promesses ont-elles été tenues ? Premièrement, des obligations plus strictes ont été imposées aux entreprises et les règles seront appliquées rigoureusement : les entreprises adhérant à l’accord seront soumises à des systèmes de surveillance et de contrôle stricts et pourront être sanctionnées financièrement ou exclues en cas de non-respect des exigences. Des garanties de transparence et des limitations pour les autorités publiques ont également été établies, ce qui signifie que, sauf dans des circonstances spécifiques (telles que la sécurité nationale), le contrôle généralisé des données ne sera plus possible. Les citoyens européens seront également protégés par divers recours. En premier lieu, le Médiateur indépendant, qui agit comme médiateur/défenseur des droits des citoyens, supervisera l’accès aux renseignements nationaux et traitera les plaintes et les demandes d’information, en évaluant la conformité avec la réglementation applicable. Si les citoyens constatent une utilisation illicite de leurs données, ils auront également la possibilité de contacter directement les entreprises, qui seront tenues de résoudre le litige dans un délai de 45 jours, ou leurs autorités nationales de protection des données, qui, en collaboration avec la Federal Trade Commission, s’efforceront de résoudre les problèmes. Enfin, un système d’arbitrage sera disponible comme autre recours possible. Par ailleurs, le fonctionnement du Privacy Shield fera l'objet d'un suivi systématique grâce à un mécanisme d'examen conjoint annuel entre la Commission européenne et le département du Commerce des États-Unis. Dans le cadre de ce système complexe de protection de la vie privée, le président Barack Obama a signé la semaine dernière la loi sur le recours judiciaire (Judicial Redress Act), qui, selon les États-Unis, devrait garantir aux Européens les mêmes droits à la vie privée et à la protection des données qu'aux Américains. Toutefois, en pratique, de nombreuses exceptions existent. La prochaine étape de l'élaboration de cet accord incombe désormais au comité composé de représentants des États membres et de l'Autorité européenne de protection des données (groupe de travail « Article 29 »), qui rendra son avis avant que le Collège ne prenne sa décision finale