La CJUE invalide le mécanisme de transfert des données personnelles entre les Etats-Unis et l'Europe
- Avec AFP
© INA FASSBENDER Source: AFP
La justice européenne a invalidé le 16 juillet le mécanisme permettant le transfert de données personnelles entre l'UE et les Etats-Unis, le «Privacy Shield», face au risque trop élevé que présentent les programmes de surveillance américains.
Les défenseurs des libertés individuelles ont crié victoire ce 16 juillet après l'invalidation par la justice européenne d'un mécanisme de transfert des données personnelles en ligne entre l'Union européenne (UE) et les Etats-Unis, jugé trop peu protecteur face aux programmes de surveillance américains.
Les États-Unis devront engager une sérieuse réforme de la surveillance
Elle a été accueillie comme une victoire par le juriste autrichien Max Schrems, figure de la lutte pour la protection des données, qui était à l'origine de l'affaire via une plainte contre Facebook. «Après une première lecture du jugement sur le Privacy Shield, il semble que nous ayons gagné à 100% – pour notre vie privée», écrit sur Twitter celui qui s'était fait connaître en faisant déjà annuler en 2015 un accord similaire entre l'UE et les Etats-Unis. «Les États-Unis devront engager une sérieuse réforme de la surveillance pour revenir à un statut privilégié pour les entreprises américaines» leur permettant de transférer des données, a-t-il ajouté.
After a first read of the judgement on #PrivacyShield it seems we scored a 100% win - for our privacy
— Max Schrems 🇪🇺🇦🇹 (@maxschrems) July 16, 2020
The US will have to engage in serious surveillance reform to get back to a "privileged" status for US companies.
More details here: https://t.co/t7LFgE7LmT#ThanksToEveryone!
La Cour de justice de l'UE (CJUE) estime dans son arrêt que le «Privacy Shield» rend «possible des ingérences dans les droits fondamentaux des personnes dont les données sont transférées» vers les Etats-Unis, car les autorités publiques américaines peuvent y avoir accès, sans que cela ne soit limité «au strict nécessaire».
«Cette décision crée une incertitude juridique pour les milliers de petites et grandes entreprises des deux côtés de l'Atlantique qui comptent sur le Privacy Shield pour leurs transferts quotidiens de données commerciales», a réagi Alexandre Roure, du CCIA, le lobby des géants technologiques à Bruxelles. «Nous espérons que les décideurs européens et américains élaboreront rapidement une solution durable, conforme au droit européen, pour garantir la poursuite des flux de données», a-t-il également fait valoir.
Données personnelles : l'eldorado du numérique
La CJUE a en revanche jugé valide un autre mécanisme permettant le transfert de données de l'UE vers le reste du monde : les «clauses contractuelles type», un modèle de contrat défini par la Commission européenne, que toute entreprise peut utiliser pour exporter ses données, par exemple vers une filiale, sa maison mère ou un tiers.
Les entreprises touchés par la décision sur le «Privacy Shield» devraient se reporter sur ce mécanisme. Le commissaire européen à la Justice, Didier Reynders, avait assuré avant la décision que la Commission avait déjà anticipé plusieurs «scénarios».
«En fonction du contenu de la décision, on verra quels sont les outils – déjà préparés – à utiliser pour à la fois conforter les droits fondamentaux et vérifier que la protection donnée par l'UE voyage avec les données», avait-il expliqué à l'AFP. «L'ambition est de réagir ensemble [...] du côté européen comme du côté américain», avait-il assuré.
Les données personnelles concernées (comportement en ligne, géolocalisation...) constituent «la mine d'or» de l'économie numérique, en particulier pour les géants comme Google, Facebook ou Amazon.
Désaveu pour Bruxelles, les Etats-Unis se disent «déçus»
Mais une entreprise qui transfère des données d'un pays à l'autre entre ses filiales, par exemple pour gérer la paye de ses employés, est aussi concernée. L'invalidation du «Privacy Shield» constitue un nouveau désaveu pour Bruxelles après l'annulation le 15 juillet de sa décision exigeant d'Apple le remboursement de 13 milliards d'euros, jusqu'alors considérés comme des avantages fiscaux indus.
A l'origine de l'affaire : une plainte de Max Schrems auprès du régulateur irlandais, réclamant l'interruption du flux de données entre le siège européen de Facebook, en Irlande, et sa maison-mère en Californie. Raison invoquée : une fois aux Etats-Unis, ses données sont moins protégées, car elles peuvent être réclamées par des agences de renseignement, comme la NSA ou le FBI, sans recours, ni contrôle, comme l'ont montré les révélations du lanceur d'alerte Edward Snowden. La CJUE a choisi d'aller dans son sens.
De leur côté, les Etats-Unis se sont dits «profondément déçus» ce 16 juillet par la décision de la justice européenne invalidant ce mécanisme, dans un communiqué du département du Commerce.
Washington continuera à travailler avec la commission européenne, et étudie la décision de justice en détail pour en comprendre tous les effets concrets, a affirmé Wilbur Ross, le secrétaire américain au Commerce. Nous «espérons pouvoir limiter les conséquences négatives pour la relation économique transatlantique qui pèse 7 100 milliards de dollars et qui est vitale pour nos citoyens, entreprises et gouvernement respectifs», a-t-il ajouté.
