Le bouclier de protection des données -États-Unis (en ) est un accord dans le domaine du droit de la protection des données personnelles, qui a été négocié entre 2015 et 2016 entre l'Union européenne et les États-Unis d'Amérique. Il n'est plus reconnu comme offrant une protection adéquate depuis le , et ne peut donc plus servir de fondement à un transfert de données personnelles de l'Espace économique européen vers les États-Unis d'Amérique

Description

Il se compose d'une série d'engagements de la part du gouvernement fédéral des États-Unis et une décision de la Commission européenne.. La Commission a accepté, le , ces dispositions relatives à la protection de la vie privée car elles correspondent au même niveau de protection des données appliqué en Union européenne.

Cet accord ne constitue pas un traité international, mais se compose d'une série de dispositions, qui réglemente la protection des données personnelles, qui sont transférées depuis un État membre de l'Union européenne vers les États-Unis. Il était devenu indispensable à la suite de l'invalidation du par la Cour de justice de l'Union européenne, en ..

Histoire

En , la Cour de justice de l'Union européenne a déclaré que l'accord, appelé était invalide. Peu après cette décision, la Commission européenne et le gouvernement des États-Unis ont entamé des discussions au sujet d'un nouveau cadre et le , ils ont trouvé un accord politique. La Commission européenne a publié un projet de « décision », déclarant une équivalence de protections couvertes par le droit de l'..

Une condition préalable était cependant nécessaire : la Loi sur la réparation judiciaire. Une fois signée par le président américain Barack Obama le , cette loi permet aux citoyens de l'Espace économique européen (EEE) d'intenter une action aux États-Unis, lors d'une violation du droit de la protection des données personnelles.

Un premier lot de textes, entérinant la décision d’adéquation contenant des règles juridiques européennes a été publié le .

Le G29, Groupe de travail sur la protection des données, a rendu un avis le ., indiquant que le offre d'importantes améliorations par rapport aux décisions du , mais que les trois points majeurs de préoccupation demeurent. Ils ont trait à la suppression des données, la collecte de quantités massives de données, et la clarification sur les pouvoirs et l'indépendance du médiateur ().

Le Contrôleur européen de la protection des données (EDPS en anglais), Giovanni Buttarelli, a rendu un avis le , où il a déclaré : .

Le , la version finale du a été approuvée par la plupart des États membres de l' à l'exception de l'Autriche, la Croatie, la Slovénie et la Bulgarie, ouvrant la voie à l'adoption par la Commission européenne.  

La Commission a adopté la décision le ., en stipulant que .

Le , plusieurs associations françaises dont la Quadrature du net ont déposé un recours. devant le Tribunal de l'Union européenne pour annuler cet accord. Elles considèrent qu'il permet des collectes massives et systématiques de données personnelles par les autorités américaines au-delà du strict nécessaire, et qu'il ne sera pas possible pour un citoyen européen d'accéder à un recours juridictionnel effectif.

Règles

Le est à la fin de une version d'un package publié conformément à la réglementation. L'accord, lui-même une «décision d'adéquation» de la Commission européenne et d'autres textes, doit être incorporé dans le processus législatif européen. Incluant des principes de protection des données à suivre par les entreprises américaines, ainsi que des garanties écrites du gouvernement américain, qui seront publiées dans le registre Fédéral. Ces garanties incluent des garanties et des restrictions sur l'accès aux données par les autorités.

Les entreprises américaines s'engagent à respecter ces obligations pour être inscrites dans la liste des entreprises certifiées, comme précédemment avec la liste du «  ».

Les États-Unis ont assuré à la Commission européenne de procéder à des mesures de contrôles efficaces contre les entreprises sous peine de sanctions allant jusqu'à leur suppression dans la liste des entreprises bénéficiaires. La divulgation de données à des tiers est désormais liée par des exigences plus strictes.

En outre, la Commission européenne a déclaré que le gouvernement américain a promis par écrit à l'Union européenne (UE) par l'intermédiaire du Bureau du directeur des services de renseignement que l'accès aux données personnelles des citoyens de l' ne sont que pour des raisons de sécurité nationale (restrictions claires, des garanties et des mécanismes de contrôle). Les citoyens de l' peuvent saisir un médiateur (), dans le Département d’État pour enquêter sur les violations et déterminer si une entreprise agit illégalement. Toutes les informations écrites et les explications du médiateur seront publiées dans le Registre fédéral.

Les revendications des citoyens de l' sont également admises à l'instar des entreprises américaines. Les plaintes doivent assigner l'entreprise dans les . En cas de litige, il y a une méthode de règlement des différends. En outre, les citoyens peuvent, alors se tourner vers les autorités nationales de protection des données qui agissent avec la coopération de la commission des plaintes . Les entreprises de traitement des données personnelles doivent être conformes aux recommandations des autorités nationales de protection des données des États membres de l' ; d'autres entreprises peuvent volontairement être concernées par ce sujet.

La Commission européenne doit préparer annuellement un rapport sur le retour d'expérience du et le transmettre au Parlement européen et au Conseil européen. Cet audit mandaté par la Commission est réalisé en coopération avec le département du Commerce américain ainsi que des experts des services de renseignement américains et les autorités européennes de protection des données avec le concours des organisations non-gouvernementales et d'« autres tiers intéressés », tous conviés lors d'un congrès sur la vie privée..

Avis

L'accord — la presse américaine a parlé d'un « » — a fait l'objet, dès le début, de critiques considérables. Max Schrems, l'avocat autrichien pourfendeur du , avance ses arguments pour invalider le à l'occasion du juste avant sa ratification. Effectivement, il dénonce l'utilisation des données personnelles sur le plan commercial et souligne que les sociétés européennes continuent à ne pas disposer des mêmes droits que les sociétés américaines. De plus, il doute de l'impartialité du médiateur désigné et régi par le ministère des Affaires étrangères américaines. Max Schrems souligne que le problème perdure au regard de la surveillance de masse car le texte ne relève aucun changement et rappelle les six exceptions au texte : , alors que cela est contraire à la jurisprudence rendue par la cour de justice de l'Union européenne.

Les entreprises françaises sont soumises à plusieurs règlementations dans le domaine de la protection des données personnelles ; le contrôle de la Commission nationale de l'informatique et des libertés (CNIL), la surveillance de l'autorité des marchés financiers et le règlement européen sur les données personnelles (GDPR) en imposent des sanctions graves en cas de non-respect des règlementations à l'instar du .

Le Groupe de travail par sa présidente Isabelle Falque-Pierrotin, déclare lors de la conférence de presse à Bruxelles, le , que le constitue un « progrès majeur » pour la protection des données personnelles mais toutefois émet des réserves. Le G29 demande des clarifications sur certains sujets : . Elle précise que le sujet sur la surveillance en masse des données par les agences de renseignement américaines, qui avait permis d'invalider le est possible dans le cadre du . Une décision doit être rendue par la Cour de justice de l'Union européenne d'ici à la fin de l'année 2016 pour clarifier ce point.

Le G29 estime ne pas avoir eu suffisamment de garanties sur les droits, les pouvoirs et le recours de l'ombudsman.

Le Conseil national du numérique (CNNum) s'est également associé aux vives inquiétudes exprimées par le G29, la délégation de la commission des libertés civiles du Parlement européen et un grand nombre d’associations de défense des droits..

Disparition du Le , dans la ., la Cour de justice de l'Union européenne, annule la décision de la Commission européenne de reconnaitre une protection adéquate au . Cette décision est prise dans le cadre de questions préjudicielles posées par la à la Cour de Justice de l'Union Européenne sur onze points d'interprétation de la réglementation communautaire. Ces points d'interprétations concernaient un litige opposant le à et à Maximillian Schrems au sujet d’une plainte introduite par celui-ci concernant le transfert de ses données à caractère personnel par à Facebook Inc. aux États-Unis.

En , l'Union européenne et les États-Unis sont parvenus à un « accord de principe » sur un nouveau cadrehttps://www.usine-digitale.fr/article/les-etats-unis-et-l-europe-trouvent-un-accord-sur-le-transfert-de-donnees-outre-atlantique.N1800372..

Le Data Privacy Framework (DPF) ou le Trans-Atlantic Data Privacy Framework (littéralement le Cadre de protection des données UE - États-Unis) est le nouveau système d'échange de données entre les États-Unis et l'Europe qui succède au Privacy Shield. Il est construit entre l'Union européenne et les États-Unis à partir de 2022 et il est mis en place par Décision d'exécution (UE) no 2023/1795 de la Commission du constatant, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil, le niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE - États-Unis.

Notes et références

Catégorie:Données personnelles Catégorie:2016 en politique Catégorie:Relations entre les États-Unis et l'Union européenne