{"id":8431,"date":"2020-11-10T23:31:32","date_gmt":"2020-11-10T22:31:32","guid":{"rendered":"https:\/\/www.agilit.law\/?p=8431"},"modified":"2021-10-27T00:20:32","modified_gmt":"2021-10-26T22:20:32","slug":"linvalidation-du-privacy-shield-quels-retentissements","status":"publish","type":"post","link":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/linvalidation-du-privacy-shield-quels-retentissements\/","title":{"rendered":"L\u2019invalidation du Privacy Shield : les premiers retentissements…"},"content":{"rendered":"

L\u2019invalidation du Privacy Shield le 16 juillet 2020 par la Cour de Justice de l\u2019Union europ\u00e9enne -ou “CJUE”-<\/strong> (voir ici notre article au sujet<\/a> de l\u2019arr\u00eat dit \u00ab Schrems II \u00bb), et la position de cette derni\u00e8re selon laquelle l\u2019autorit\u00e9 de contr\u00f4le comp\u00e9tente est tenue de suspendre ou d\u2019interdire un transfert de donn\u00e9es vers un pays tiers fond\u00e9 sur des clauses types de protection des donn\u00e9es adopt\u00e9es par la Commission europ\u00e9enne,<\/strong> lorsqu’\u00e0 la lumi\u00e8re de l\u2019ensemble des circonstances propres \u00e0 ce transfert ces clauses ne sont pas ou ne peuvent pas \u00eatre respect\u00e9es dans ce pays tiers et que la protection des donn\u00e9es transf\u00e9r\u00e9es requise par le droit de l\u2019Union ne peut pas \u00eatre assur\u00e9e par d\u2019autres moyens, am\u00e8ne les organismes traitant des donn\u00e9es \u00e0 caract\u00e8re personnel \u00e0 revoir leur politique en mati\u00e8re de transferts de donn\u00e9es \u00e0 caract\u00e8re personnel vers des Etats hors Union europ\u00e9enne, en particulier vers les Etats-Unis<\/strong>.<\/p>\n

En effet, cette d\u00e9cision soul\u00e8ve des difficult\u00e9s sur le plan juridique mais \u00e9galement sur le plan pratique <\/strong>pour l\u2019ensemble des parties prenantes. Aussi, il est opportun de suivre de pr\u00e8s les \u00e9volutions en la mati\u00e8re, et notamment de s\u2019int\u00e9resser aux premiers retentissements de cette d\u00e9cision.<\/strong><\/p>\n

 <\/p>\n

Rappel sur la port\u00e9e de l\u2019arr\u00eat rendu par la Cour de Justice de l\u2019Union europ\u00e9enne<\/strong><\/h2>\n

Pour m\u00e9moire, il n\u2019est plus possible d\u00e9sormais de consid\u00e9rer que l\u2019adh\u00e9sion au Privacy Shield permet d\u2019encadrer conform\u00e9ment aux textes applicables les flux transfronti\u00e8res vers les Etats-Unis<\/strong>, et ce alors m\u00eame que nombre d\u2019organismes s\u2019appuyaient bien souvent sur leur adh\u00e9sion au Privacy Shield pour justifier de garanties appropri\u00e9es encadrant les flux transfronti\u00e8res qu\u2019ils mettent en \u0153uvre vers les Etats-Unis.<\/p>\n

Par ailleurs, la Cour est venue pr\u00e9ciser que les clauses contractuelles types \u00e9mises par l\u2019Union europ\u00e9enne ne sont pas n\u00e9cessairement suffisantes pour encadrer de tels flux transfronti\u00e8res et qu\u2019il convient parfois, en fonction des l\u00e9gislations des pays destinataires, de prendre des mesures de s\u00e9curit\u00e9 compl\u00e9mentaires pour assurer un encadrement conforme de ces flux transfronti\u00e8res de donn\u00e9es, mesures qui \u00e0 date sont toujours en cours de r\u00e9flexion par les autorit\u00e9s de contr\u00f4le, ce dont il r\u00e9sulte une incertitude et un risque juridique \u00e0 recourir \u00e0 des outils \/ applications mettant en \u0153uvre des flux transfronti\u00e8res de donn\u00e9es \u00e0 caract\u00e8re personnel, en particulier vers les Etats-Unis.\u00a0A ce jour, les mesures compl\u00e9mentaires devant \u00eatre pr\u00e9conis\u00e9es par les autorit\u00e9s de contr\u00f4le demeurent donc plus qu\u2019attendues pour pouvoir encadrer de tels transferts.<\/p>\n

Aussi, dans cette attente, il semble qu’il convienne, dans l’hypoth\u00e8se d’un transfert hors Union europ\u00e9enne, et en cas d\u2019impossibilit\u00e9\u00a0de garantir un niveau de protection des donn\u00e9es \u00e0 caract\u00e8re personnel essentiellement \u00e9quivalent \u00e0 celui garantit par le droit de l\u2019Union europ\u00e9enne, de suspendre ou mettre fin \u00e0 ces transferts<\/b>.<\/p>\n

 <\/p>\n

Le d\u00e9p\u00f4t de 101 recours par l\u2019association NOYB (None Of Your Business) <\/strong><\/h2>\n

L\u2019association NOYB (None Of Your Business), fond\u00e9e notamment par Maximillian Schrems, a annonc\u00e9 le 17 ao\u00fbt 2020<\/a> avoir d\u00e9pos\u00e9 une centaine de recours devant des autorit\u00e9s de contr\u00f4le europ\u00e9ennes contre des entreprises qu\u2019elle accuse de continuer \u00e0 transf\u00e9rer de mani\u00e8re illicite des donn\u00e9es \u00e0 caract\u00e8re personnel vers les Etats-Unis, en particulier en raison de leur utilisation des outils “Google Analytics” ou “Facebook Connect”<\/strong>, en violation de la r\u00e8glementation applicable en mati\u00e8re de protection des donn\u00e9es \u00e0 caract\u00e8re personnel. Des recours fond\u00e9s sur l\u2019illic\u00e9it\u00e9 de tels transferts ont \u00e9galement \u00e9t\u00e9 d\u00e9pos\u00e9s contre Google et Facebook par l\u2019association NOYB.<\/p>\n

Si l\u2019association NOYB a d\u00e9clar\u00e9 que de tels recours ont \u00e9t\u00e9 con\u00e7us \u00ab\u00a0comme un signal d\u2019alarme\u00a0\u00bb<\/a>, elle pr\u00e9cise \u00e9galement que seule une tr\u00e8s faible proportion d\u2019entit\u00e9s vis\u00e9es par ces recours aurait mis fin depuis \u00e0 de tels transferts vers les Etats-Unis. Elle a \u00e9galement d\u2019ores et d\u00e9j\u00e0 indiqu\u00e9 qu\u2019elle pr\u00e9voit d\u2019\u00ab augmenter progressivement la pression sur les entreprises europ\u00e9ennes et am\u00e9ricaines pour qu\u2019elles revoient leurs accords de transfert de donn\u00e9es et s\u2019adaptent \u00e0 la d\u00e9cision claire de la Cour supr\u00eame de l\u2019UE <\/em>\u00bb.<\/p>\n

Affaires \u00e0 suivre\u2026<\/p>\n

 <\/p>\n

L\u2019\u00e9pineuse question de l\u2019h\u00e9bergement du Health Data Hub<\/strong><\/h2>\n

Cr\u00e9\u00e9 en novembre 2019, le \u00ab Health Data Hub \u00bb est une plateforme destin\u00e9e \u00e0 faciliter le partage des donn\u00e9es de sant\u00e9 issues de sources tr\u00e8s vari\u00e9es afin de favoriser la recherche et dont les missions sont encadr\u00e9es par le Code de la sant\u00e9 publique.<\/p>\n

La Commission nationale de l’informatique et des libert\u00e9s (\u00ab Cnil \u00bb) s\u2019\u00e9tait d\u2019ailleurs prononc\u00e9e sur sa mise en \u0153uvre anticip\u00e9e en avril 2020 pour les besoins de la gestion de l\u2019urgence sanitaire et de l\u2019am\u00e9lioration des connaissances sur la COVID-19. Dans son avis du 20 avril 2020<\/a>, la Cnil avait notamment attir\u00e9 l\u2019attention sur les \u00e9ventuels risques mat\u00e9riels et juridiques en mati\u00e8re d\u2019acc\u00e8s direct aux donn\u00e9es \u00e0 caract\u00e8re personnel par les autorit\u00e9s des Etats-Unis, risques li\u00e9s au fait que le Health Data Hub \u00e9tait h\u00e9berg\u00e9 par un acteur soumis au droit am\u00e9ricain.<\/p>\n

Le dispositif n\u2019a pas cess\u00e9 de faire l\u2019objet de controverses puisque plusieurs associations, syndicats et requ\u00e9rants individuels ont demand\u00e9 au Conseil d\u2019Etat, statuant en urgence dans le cadre d’un r\u00e9f\u00e9r\u00e9-libert\u00e9, de suspendre le traitement des donn\u00e9es r\u00e9alis\u00e9 au moyen du Health Data Hub en raison des risques li\u00e9s aux possibles transferts de donn\u00e9es vers les Etats-Unis.<\/p>\n

Dans sa d\u00e9cision rendue le 16 octobre 2020<\/a>, le Conseil d\u2019Etat a relev\u00e9 que le Health Data Hub et l’h\u00e9bergeur de cette plateforme s\u2019\u00e9taient contractuellement engag\u00e9s \u00e0 refuser tout transfert de donn\u00e9es de sant\u00e9 en dehors de l\u2019Union europ\u00e9enne et qu\u2019un arr\u00eat\u00e9 minist\u00e9riel interdisait \u00e9galement de tels transferts dans le cadre de ce contrat. Aussi, le Conseil d\u2019Etat a consid\u00e9r\u00e9 qu\u2019il n\u2019y avait pas d\u2019ill\u00e9galit\u00e9 grave et manifeste qui justifierait la suspension imm\u00e9diate du traitement des donn\u00e9es par cette plateforme, mais uniquement l\u2019existence d\u2019un risque li\u00e9 au potentiel acc\u00e8s par les autorit\u00e9s am\u00e9ricaines \u00e0 certaines donn\u00e9es ainsi h\u00e9berg\u00e9es par un acteur soumis au droit am\u00e9ricain. <\/strong><\/p>\n

Pour autant, en raison de l\u2019urgence li\u00e9e au contexte actuel de crise sanitaire, le Conseil d\u2019Etat a impos\u00e9 \u00e0 la plateforme concern\u00e9e et \u00e0 l’h\u00e9bergeur de mettre en \u0153uvre, dans les d\u00e9lais les plus brefs possibles et sous le contr\u00f4le de la Cnil, des mesures techniques et organisationnelles appropri\u00e9es pour garantir au mieux la protection des droits des personnes concern\u00e9es, et ce dans l\u2019attente d\u2019une solution p\u00e9renne qui permettrait d\u2019\u00e9liminer tout risque d\u2019acc\u00e8s aux donn\u00e9es \u00e0 caract\u00e8re personnel par les autorit\u00e9s am\u00e9ricaines. <\/strong><\/p>\n

 <\/p>\n

Vers une localisation europ\u00e9enne des donn\u00e9es \u00e0 caract\u00e8re personnel\u00a0? <\/strong><\/h2>\n

En raison notamment de l\u2019invalidation r\u00e9cente du Privacy Shield, des divers scandales ayant r\u00e9v\u00e9l\u00e9 des atteintes \u00e0 la protection des donn\u00e9es \u00e0 caract\u00e8re personnel par des entit\u00e9s ou autorit\u00e9s am\u00e9ricaines (Snowden, Cambridge Analytica) et suite \u00e0 l\u2019annonce de la Commission europ\u00e9enne de divers projets (parution \u00e0 venir d’un recueil r\u00e9glementaire pour l’informatique en nuage (ou \u00ab cloud \u00bb), cadre l\u00e9gislatif pour la gouvernance des donn\u00e9es, loi sur les donn\u00e9es de grande valeur, conclusion de protocoles d’accord avec les \u00c9tats membres afin d’aboutir \u00e0 une f\u00e9d\u00e9ration en nuage,…), des s\u00e9nateurs ont d\u00e9pos\u00e9 le 21 octobre 2020 <\/strong>une proposition de r\u00e9solution europ\u00e9enne<\/strong><\/a> invitant les institutions de l\u2019Union europ\u00e9enne \u00e0 imposer le traitement, le stockage et la localisation des donn\u00e9es \u00e0 caract\u00e8re personnel et des donn\u00e9es industrielles, par des entreprises europ\u00e9ennes, en Europe<\/strong>.<\/p>\n

Cette proposition vise \u00e0 demander aux institutions de l\u2019Union europ\u00e9enne de prohiber le recours \u00e0 des responsables de traitement et\/ou sous-traitant soumis \u00e0 une l\u00e9gislation extra-europ\u00e9enne ou disposant d’un si\u00e8ge social en dehors de l’Espace Economique europ\u00e9en (EEE)<\/strong>.<\/p>\n

Les s\u00e9nateurs \u00e0 l\u2019origine de cette proposition y soulignent l\u2019importance de la protection des donn\u00e9es \u00e0 caract\u00e8re personnel qui constitue \u00ab\u00a0un \u00e9l\u00e9ment de souverainet\u00e9 des Etats europ\u00e9ens<\/em>\u00a0\u00bb et consid\u00e8rent que seul un espace europ\u00e9en sera en mesure de garantir la s\u00e9curit\u00e9 \u00ab\u00a0des 175 zettaoctets de donn\u00e9es qui circuleront en 2025 et des donn\u00e9es g\u00e9n\u00e9r\u00e9es par les 50 milliards d\u2019objets connect\u00e9s qui seront en service en 2030 dans le monde<\/em>\u00a0\u00bb.<\/p>\n

Cette proposition de loi doit d\u00e9sormais \u00eatre examin\u00e9e par la commission des affaires europ\u00e9ennes.<\/strong><\/p>\n

 <\/p>\n

La strat\u00e9gie propos\u00e9e par le<\/strong> Contr\u00f4leur europ\u00e9en de la protection des donn\u00e9es \u00e0 l\u2019attention des institutions europ\u00e9ennes<\/strong><\/h2>\n

Le Contr\u00f4leur europ\u00e9en de la protection des donn\u00e9es (ou \u00ab CEPD \u00bb) a quant \u00e0 lui publi\u00e9 le 29 octobre 2020 un <\/strong>document pr\u00e9sentant la strat\u00e9gie \u00e0 adopter par les institutions europ\u00e9ennes<\/strong><\/a> pour assurer la conformit\u00e9 des transferts de donn\u00e9es \u00e0 caract\u00e8re personnel hors Union Europ\u00e9enne<\/strong>, actuels ou \u00e0 venir, au regard de la position de la CJUE dans le cadre de la d\u00e9cision pr\u00e9cit\u00e9e.<\/p>\n

 <\/p>\n

Ainsi, le CEPD recommande de d\u00e9ployer le plan d\u2019actions suivant<\/strong>\u00a0:<\/p>\n

 <\/p>\n