LE TRANSFERT DE DONNÉES PERSONNELLES VERS LES ÉTATS-UNIS : DE LA RELEVÉE DE SÉCURITÉ AU BOUCLIER DE PROTECTION DES DONNÉES

Début février, une communication importante de l'Union européenne a apporté de nouvelles perspectives concernant le mécanisme de protection des données personnelles transférées d'Europe vers les États-Unis. Après que la Cour de justice de l'Union européenne a invalidé, en octobre dernier, le précédent cadre de la sphère de sécurité (datant de 2000), le jugeant insuffisant pour protéger la vie privée des citoyens européens, un nouvel accord transfrontalier est devenu nécessaire pour combler cette lacune. Ce nouvel accord, baptisé Bouclier de protection des données UE-États-Unis, mais dont les contours restent encore flous, a été salué par les autorités américaines, qui ont immédiatement assuré qu'aucune surveillance de masse ou indiscriminée ne serait exercée par les services de sécurité nationale. Il y a quelques jours, la Commission européenne a publié les détails de ce « bouclier de protection des données », ainsi qu'un projet de décision d'adéquation qui, une fois adopté, établira des niveaux équivalents de protection des données entre les États-Unis et l'Europe, et les textes constituant l'accord proprement dit, reflétant les engagements du gouvernement américain. Mais ces promesses ont-elles été tenues ? Premièrement, des obligations plus strictes ont été imposées aux entreprises et les règles seront appliquées rigoureusement : les entreprises adhérant à l’accord seront soumises à des systèmes de surveillance et de contrôle stricts et pourront être sanctionnées financièrement, voire interdites, en cas de non-respect des exigences. Des garanties de transparence et des limitations pour les autorités publiques ont également été établies, ce qui signifie que, sauf circonstances exceptionnelles (telles que la sécurité nationale), un contrôle généralisé des données ne sera plus possible. Les citoyens européens bénéficieront également de différentes voies de recours. En premier lieu, le Médiateur indépendant, agissant en tant que médiateur/défenseur des droits civiques, supervisera l’accès aux renseignements nationaux et traitera les plaintes et les demandes d’information, en évaluant la conformité avec la réglementation applicable. Si les citoyens constatent une utilisation illicite de leurs données, ils pourront également contacter directement les entreprises concernées, qui seront tenues de résoudre le litige dans un délai de 45 jours, ou leur autorité nationale de protection des données, qui, en collaboration avec la Commission fédérale du commerce (FTC), s’efforcera de résoudre les problèmes soulevés. Enfin, un système d’arbitrage pourra constituer une option supplémentaire. Par ailleurs, le fonctionnement du Bouclier de protection des données fera l'objet d'un suivi systématique grâce à un mécanisme d'examen conjoint annuel entre la Commission européenne et le département du Commerce des États-Unis. Dans le cadre de ce système complexe de protection de la vie privée, le président Barack Obama a signé la semaine dernière la loi sur le recours judiciaire (Judicial Redress Act), qui, selon les États-Unis, devrait garantir aux Européens les mêmes droits à la vie privée et à la protection des données qu'aux Américains ; toutefois, dans la pratique, de nombreuses exceptions existent. La prochaine étape de la mise en œuvre de cet accord incombe désormais au comité composé de représentants des États membres et de l'Autorité européenne de protection des données (groupe de travail « Article 29 »), qui rendra son avis avant que le Collège ne prenne une décision finale.