Le Privacy Shield n\u2019est plus. Le successeur du Safe Harbor a \u00e9t\u00e9 invalid\u00e9 par la Cour de Justice de l\u2019Union europ\u00e9enne (CJUE), par un arr\u00eat en date du 16 juillet 2020 dit \u00ab Schrems II \u00bb (C\u2011311\/18) [1].<\/p>\n
<\/p>\n
Le \u00ab Bouclier de protection des donn\u00e9es \u00bb, mieux connu sous le nom de \u00ab Privacy Shield \u00bb, est un m\u00e9canisme d\u2019auto-certification pour les entreprises \u00e9tablies aux \u00c9tats-Unis qui avait \u00e9t\u00e9 reconnu par la Commission europ\u00e9enne comme offrant un niveau de protection ad\u00e9quat aux donn\u00e9es \u00e0 caract\u00e8re personnel transf\u00e9r\u00e9es<\/strong> par une entit\u00e9 europ\u00e9enne vers des entreprises \u00e9tablies aux \u00c9tats-Unis [2].<\/p>\n <\/p>\n Ce m\u00e9canisme, qui avait \u00e9t\u00e9 mis en place en 2016 en cons\u00e9quence de l\u2019invalidation du Safe Harbor [3], \u00e9tait par cons\u00e9quent consid\u00e9r\u00e9 comme offrant des garanties juridiques appropri\u00e9es pour de tels transferts de donn\u00e9es, et comme permettant aux responsables de traitement en Union europ\u00e9enne de transf\u00e9rer des donn\u00e9es \u00e0 caract\u00e8re personnel vers les entreprises \u00e9tablies aux \u00c9tats-Unis ayant adh\u00e9r\u00e9 au Privacy Shield.<\/p>\n <\/p>\n La Commission europ\u00e9enne avait d\u2019ailleurs rappel\u00e9 cette position dans son rapport annuel du 23 octobre 2019 o\u00f9 elle confirmait \u00ab\u00a0que les \u00c9tats-Unis continuent de garantir un niveau suffisant de protection des donn\u00e9es \u00e0 caract\u00e8re personnel transf\u00e9r\u00e9es de l’UE vers les soci\u00e9t\u00e9s participantes des \u00c9tats-Unis au titre du bouclier de protection des donn\u00e9es<\/em>\u00a0\u00bb.<\/p>\n <\/p>\n C\u2019est n\u00e9anmoins la position inverse que vient d\u2019adopter la CJUE<\/strong>, saisie de plusieurs questions pr\u00e9judicielles, notamment sur la validit\u00e9 de la d\u00e9cision d\u2019ad\u00e9quation pr\u00e9cit\u00e9e concernant le Privacy Shield. Cette d\u00e9cision est \u00e9galement l\u2019occasion pour la CJUE de venir confirmer la validit\u00e9 de la d\u00e9cision de la Commission europ\u00e9enne ayant adopt\u00e9 les clauses contractuelles types pour le transfert de donn\u00e9es \u00e0 caract\u00e8re personnel vers des sous-traitants \u00e9tablis dans des pays tiers [4], tout en rappelant le pouvoir d\u2019appr\u00e9ciation des autorit\u00e9s de contr\u00f4les \u00e0 cet \u00e9gard.<\/p>\n <\/p>\n Aux termes de la d\u00e9cision de la CJUE, cette derni\u00e8re a estim\u00e9 que les exigences du droit am\u00e9ricain, et en particulier certains programmes permettant l’acc\u00e8s des autorit\u00e9s publiques am\u00e9ricaines aux donn\u00e9es \u00e0 caract\u00e8re personnel transf\u00e9r\u00e9es de l\u2019Union europ\u00e9enne vers les \u00c9tats-Unis \u00e0 des fins de s\u00e9curit\u00e9 nationale, entra\u00eenent des limitations de la protection des donn\u00e9es \u00e0 caract\u00e8re personnel qui ne sont pas circonscrites de mani\u00e8re \u00e0 satisfaire \u00e0 des exigences essentiellement \u00e9quivalentes \u00e0 celles requises par le droit de l’Union europ\u00e9enne, et que cette l\u00e9gislation n’accorde pas aux personnes concern\u00e9es un droit \u00e0 un recours effectif et un acc\u00e8s \u00e0 tribunal impartial et ind\u00e9pendant.<\/p>\n <\/p>\n Du fait de l\u2019ampleur de l\u2019atteinte port\u00e9e aux droits fondamentaux des personnes dont les donn\u00e9es sont transf\u00e9r\u00e9es vers ce pays tiers, la CJUE a d\u00e9clar\u00e9 la d\u00e9cision d’ad\u00e9quation du Privacy Shield invalide<\/strong>.<\/p>\n <\/p>\n Par ailleurs, la CJUE, apr\u00e8s avoir examin\u00e9 la d\u00e9cision de la Commission europ\u00e9enne relative aux clauses contractuelles types la juge valide. Toutefois, la CJUE ajoute que cette validit\u00e9 d\u00e9pend de la question de savoir si cette d\u00e9cision comporte des m\u00e9canismes efficaces permettant, en pratique, d’assurer le respect du niveau de protection essentiellement \u00e9quivalent \u00e0 celui garanti au sein de l’Union Europ\u00e9enne par le RGPD<\/strong> et de suspendre ou d\u2019interdire les transferts de donn\u00e9es personnelles op\u00e9r\u00e9s au moyen de telles clauses en cas de violation de ces clauses ou d’impossibilit\u00e9 de les respecter. \u00c0 cet \u00e9gard, la CJUE rappelle que cette d\u00e9cision\u00a0:<\/p>\n – impose \u00e0 l\u2019exportateur et \u00e0 l\u2019importateur de donn\u00e9es l’obligation de v\u00e9rifier, pr\u00e9alablement \u00e0 tout transfert hors Union europ\u00e9enne, en prenant en compte les circonstances du transfert, si le niveau de protection est respect\u00e9 dans le pays tiers concern\u00e9 ;<\/p>\n – exige que l’importateur de donn\u00e9es informe l’exportateur de donn\u00e9es de toute incapacit\u00e9 \u00e0 se conformer aux clauses types de protection des donn\u00e9es et, le cas \u00e9ch\u00e9ant, \u00e0 toute mesure compl\u00e9mentaire \u00e0 celles pr\u00e9vues par les clauses, l’exportateur de donn\u00e9es \u00e9tant alors, en contrepartie, tenu de suspendre le transfert de donn\u00e9es et\/ou de r\u00e9silier le contrat avec l’importateur de donn\u00e9es.<\/p>\n <\/p>\n La CJUE ajoute que les garanties appropri\u00e9es, les droits opposables et les voies de droit effectives requis par le RGPD doivent assurer que les droits des personnes dont les donn\u00e9es \u00e0 caract\u00e8re personnel sont transf\u00e9r\u00e9es vers un pays tiers sur le fondement de clauses types de protection des donn\u00e9es b\u00e9n\u00e9ficient d\u2019un niveau de protection substantiellement \u00e9quivalent \u00e0 celui garanti au sein de l\u2019Union europ\u00e9enne. Elle pr\u00e9cise qu\u2019\u00e0 cet effet l\u2019\u00e9valuation du niveau de protection assur\u00e9 dans le contexte d\u2019un tel transfert doit, notamment, prendre en consid\u00e9ration tant les stipulations contractuelles convenues entre le responsable du traitement ou son sous-traitant \u00e9tablis dans l\u2019Union europ\u00e9enne et le destinataire du transfert \u00e9tabli dans le pays tiers concern\u00e9 que, en ce qui concerne un \u00e9ventuel acc\u00e8s des autorit\u00e9s publiques de ce pays tiers aux donn\u00e9es \u00e0 caract\u00e8re personnel ainsi transf\u00e9r\u00e9es, les \u00e9l\u00e9ments pertinents du syst\u00e8me juridique de celui-ci.<\/p>\n <\/p>\n Enfin, elle pr\u00e9cise que l\u2019autorit\u00e9 de contr\u00f4le comp\u00e9tente est tenue de suspendre ou d\u2019interdire un transfert de donn\u00e9es vers un pays tiers fond\u00e9 sur des clauses types de protection des donn\u00e9es adopt\u00e9es par la Commission, lorsque cette autorit\u00e9 de contr\u00f4le consid\u00e8re, \u00e0 la lumi\u00e8re de l\u2019ensemble des circonstances propres \u00e0 ce transfert, que ces clauses ne sont pas ou ne peuvent pas \u00eatre respect\u00e9es dans ce pays tiers et que la protection des donn\u00e9es transf\u00e9r\u00e9es requise par le droit de l\u2019Union ne peut pas \u00eatre assur\u00e9e par d\u2019autres moyens<\/strong>, \u00e0 d\u00e9faut pour le responsable du traitement ou son sous-traitant \u00e9tablis dans l\u2019Union d\u2019avoir lui-m\u00eame suspendu le transfert ou d\u2019avoir mis fin \u00e0 celui-ci.<\/p>\n <\/p>\n Le Comit\u00e9 europ\u00e9en de la protection des donn\u00e9es (CEPD) a publi\u00e9 une premi\u00e8re analyse de cette d\u00e9cision de la CJUE (via des FAQ) le 23 juillet 2020 [5]. En tout \u00e9tat de cause, il r\u00e9sulte de cette d\u00e9cision que :<\/p>\n <\/p>\n – l\u2019arr\u00eat de la CJUE a un effet imm\u00e9diat<\/strong>, cette derni\u00e8re ayant invalid\u00e9 la d\u00e9cision d\u2019ad\u00e9quation du Privacy Shield sans en maintenir les effets;<\/p>\n – dor\u00e9navant, tout transfert de donn\u00e9es \u00e0 caract\u00e8re personnel effectu\u00e9 \u00e0 l\u2019attention d\u2019un organisme aux Etats-Unis et fond\u00e9 sur le fait que cet organisme a adh\u00e9r\u00e9 au Privacy Shield est consid\u00e9r\u00e9 comme n\u2019\u00e9tant pas encadr\u00e9 par des garanties appropri\u00e9es et doit donc \u00eatre consid\u00e9r\u00e9 comme ill\u00e9gal<\/strong> ;<\/p>\n – tout organisme qui communique des donn\u00e9es \u00e0 un organisme aux Etats-Unis sur la base des clauses contractuelles types \u00e9mises par la Commission europ\u00e9enne (ou \u00ab CCT \u00bb) doit tout de m\u00eame s\u2019assurer, au moyen d\u2019une \u00e9valuation approfondie des circonstances du transfert et des mesures suppl\u00e9mentaires d\u00e9ploy\u00e9es, (i) que les donn\u00e9es b\u00e9n\u00e9ficient aux Etats-Unis d\u2019un niveau de protection essentiellement \u00e9quivalent \u00e0 celui garantit par le droit de l\u2019Union europ\u00e9enne et (ii) que la l\u00e9gislation am\u00e9ricaine ne compromet pas sur le niveau de protection ad\u00e9quat que les clauses contractuelles types et ces mesures garantissent<\/strong>. S\u2019il est conclu au fait que, compte tenu des circonstances du transfert et d’\u00e9ventuelles mesures suppl\u00e9mentaires, le respect des garanties appropri\u00e9es ne serait pas assur\u00e9, alors l\u2019organisme concern\u00e9 devra suspendre ou mettre fin au transfert de donn\u00e9es \u00e0 caract\u00e8re personnel<\/strong> ;<\/p>\n – une telle \u00e9valuation, et les cons\u00e9quences en r\u00e9sultant, sont identiques pour tout organisme qui transfert des donn\u00e9es \u00e0 caract\u00e8re personnel vers un autre organisme aux Etats-Unis sur la base de Binding Corporate Rules (ou \u00ab BCR \u00bb) ;<\/p>\n – l\u2019utilisation de CCT ou de BCR pour transf\u00e9rer des donn\u00e9es \u00e0 caract\u00e8re personnel vers d\u2019autres Etats hors Union europ\u00e9enne est bien entendu toujours possible mais le m\u00eame raisonnement que pr\u00e9cit\u00e9, s\u2019agissant de la n\u00e9cessit\u00e9 d’\u00e9valuer si le niveau de protection requis par le droit de l\u2019Union europ\u00e9enne est respect\u00e9 dans le pays tiers concern\u00e9 afin de d\u00e9terminer si les garanties fournies par les CCT ou les BCR peuvent \u00eatre respect\u00e9es dans la pratique, et les cons\u00e9quences associ\u00e9es, doivent \u00eatre suivis ;<\/p>\n – le transfert de donn\u00e9es \u00e0 caract\u00e8re personnel vers les pays b\u00e9n\u00e9ficiant d\u2019une d\u00e9cision d\u2019ad\u00e9quation valide<\/strong> \u00e9mise par la Commission europ\u00e9enne semble toujours possible, de m\u00eame qu\u2019il est toujours possible de proc\u00e9der \u00e0 des transferts de donn\u00e9es \u00e0 caract\u00e8re personnel vers un pays tiers, en ce incluant les Etats-Unis, en vertu de l\u2019article 49 du RGPD, \u00e9tant rappel\u00e9 que les d\u00e9rogations \u00e0 l\u2019interdiction des flux transfronti\u00e8res de donn\u00e9es pr\u00e9vues par cet article doivent \u00eatre interpr\u00e9t\u00e9es de mani\u00e8re stricte ;<\/p>\n – la Cnil peut toujours suspendre ou interdire un transfert de donn\u00e9es \u00e0 caract\u00e8re personnel hors Union europ\u00e9enne<\/strong> si elle estime que ce transfert n\u2019offre pas un niveau ad\u00e9quat de protection des donn\u00e9es \u00e0 caract\u00e8re personnel ;<\/p>\n – le CEPD indique qu\u2019il analyse actuellement l’arr\u00eat de la CJUE afin de d\u00e9terminer le type de mesures compl\u00e9mentaires qui pourraient \u00eatre fournies en plus des CCT ou des BCR<\/strong>, qu’il s’agisse de mesures juridiques, techniques ou organisationnelles, pour transf\u00e9rer des donn\u00e9es vers des pays tiers o\u00f9 les CCT ou les BCR ne fourniront pas \u00e0 eux seuls le niveau de garanties suffisant. Le CEPD analyse plus en d\u00e9tail en quoi pourraient consister ces mesures suppl\u00e9mentaires et fournira davantage d’orientations ult\u00e9rieurement.<\/p>\n <\/p>\n Il r\u00e9sulte de cette d\u00e9cision de la CJUE qu\u2019il appartient d\u00e8s \u00e0 pr\u00e9sent aux organismes de prendre les mesures qui s\u2019imposent s\u2019agissant des transferts de donn\u00e9es \u00e0 caract\u00e8re personnel qu\u2019ils peuvent mettre en \u0153uvre vers des Etats hors Union europ\u00e9enne, en particulier vers les Etats-Unis, et notamment\u00a0:<\/p>\n <\/p>\n – de proc\u00e9der \u00e0 un recensement et \u00e0 une cartographie des transferts de donn\u00e9es \u00e0 caract\u00e8re personnel<\/strong> vers les Etats-Unis fond\u00e9s sur l\u2019adh\u00e9sion du destinataire au Privacy Shield, et plus g\u00e9n\u00e9ralement de tous les transferts vers des Etats hors Union europ\u00e9enne et des mesures prises pour les encadrer (cf. fondement des transferts de donn\u00e9es \u00e0 caract\u00e8re personnel) ;<\/p>\n – pour les transferts vers les Etats-Unis fond\u00e9s sur le Privacy Shield<\/strong>, de r\u00e9aliser une \u00e9valuation approfondie des circonstances du transfert et des mesures devant \u00eatre d\u00e9ploy\u00e9es afin que les donn\u00e9es b\u00e9n\u00e9ficient dans les pays tiers concern\u00e9s d\u2019un niveau de protection essentiellement \u00e9quivalent \u00e0 celui garantit par le droit de l\u2019Union europ\u00e9enne, \u00e9tant rappel\u00e9 que le recours aux CCT ou aux BCR ne semble d\u00e9sormais plus suffisant ;<\/p>\n – pour les autres transferts<\/strong>, si ces derniers \u00e9taient fond\u00e9s sur des CCT ou des BCR, de proc\u00e9der \u00e0 une telle \u00e9valuation \u00e9galement pour d\u00e9terminer si des mesures suppl\u00e9mentaires de protection des donn\u00e9es \u00e0 caract\u00e8re personnel doivent \u00eatre d\u00e9ploy\u00e9es ;<\/p>\n – en cas d\u2019impossibilit\u00e9 de garantir un niveau de protection des donn\u00e9es \u00e0 caract\u00e8re personnel essentiellement \u00e9quivalent \u00e0 celui garantit par le droit de l\u2019Union europ\u00e9enne, de suspendre ou mettre fin \u00e0 ces transferts<\/strong> ;<\/p>\n – dans tous les cas, d\u2019\u00e9tudier les alternatives envisageables \u00e0 ces flux transfronti\u00e8res<\/strong> de donn\u00e9es \u00e0 caract\u00e8re personnel, notamment la possibilit\u00e9 de recourir \u00e0 des outils ou \u00e0 des prestataires garantissant l\u2019absence de transfert de donn\u00e9es \u00e0 caract\u00e8re personnel vers des Etats hors Union europ\u00e9enne.<\/p>\n <\/p>\n *\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 *<\/p>\n *<\/p>\n <\/p>\n Le p\u00f4le IT & Data protection d\u2019Agil\u2019IT se tient \u00e0 votre disposition pour \u00e9changer avec vous sur les cons\u00e9quences pour votre organisme de la d\u00e9cision pr\u00e9cit\u00e9e et sur les actions \u00e0 d\u00e9ployer<\/em><\/strong> en vue d\u2019une mise et \/ ou d\u2019un maintien en conformit\u00e9 de vos transferts de donn\u00e9es \u00e0 caract\u00e8re personnel hors Union europ\u00e9enne \u00e0 la r\u00e8glementation applicable.<\/em><\/p>\n <\/p>\n <\/p>\n Par\u00a0AGIL\u2019IT<\/a>\u00a0\u2013 P\u00f4le\u00a0IT<\/a>,\u00a0Data protection<\/a>\u00a0&\u00a0T\u00e9l\u00e9coms<\/a><\/p>\n Laure LANDES-GRONOWSKI<\/a>, Avocate associ\u00e9e<\/p>\n <\/p>\n [1] CJUE, 16 juillet 2020, C-311\/18<\/a><\/p>\n [2] D\u00e9cision (UE) 2016\/1250 du 12 juillet 2016<\/a><\/p>\n [3] Comme le Privacy Shield, le Safe Harbor \u00e9tait un m\u00e9canisme d\u2019auto-certification similaire qui avait fait l\u2019objet d\u2019une d\u00e9cision d\u2019ad\u00e9quation \u00e9manant de la Commission europ\u00e9enne (D\u00e9cision 2000\/520\/EC du 26 juillet 2000<\/a>), cette d\u00e9cision ayant \u00e9t\u00e9 invalid\u00e9e par la CJUE lors d\u2019un arr\u00eat \u00ab Schrems I \u00bb en date du 6 octobre 2015 (C\u2011362\/14<\/a>).<\/p>\n [4] D\u00e9cision 2010\/87\/CE du 5 f\u00e9vrier 2010<\/a><\/p>\nQuelles sont les conclusions de la CJUE\u00a0?<\/em><\/strong><\/h2>\n
Quelles sont les cons\u00e9quences pour les entreprises qui exportent des donn\u00e9es \u00e0 caract\u00e8re personnel vers les Etats-Unis (ou vers d\u2019autres pays hors Union europ\u00e9enne) ?<\/em><\/strong><\/h2>\n
Quelles actions dois-je d\u00e9sormais mener au sein de mon entreprise pour tenir compte des cons\u00e9quences de cette d\u00e9cision ?<\/em><\/strong><\/h2>\n