Le nouveau cadre transatlantique de protection des données personnelle

Attendue depuis de nombreux mois, la décision d’adéquation sur le nouveau cadre transatlantique pour la protection des données personnelles a finalement été publiée le 10 juillet 2023 par la Commission Européenne.

Le 10 juillet 2023, soit quasiment trois ans jour pour jour après l’invalidation du Privacy Shield par la Cour de Justice de l’Union Européenne¹, la Commission européenne a publié sa décision d'adéquation concernant le nouveau cadre de protection des données de l’Union européenne et des Etats-Unis². Cette décision, prise sur le fondement de l’article 45 du RGPD³, consacre le fait que les Etats-Unis garantissent un niveau de protection adéquat pour le transfert de données à caractère personnel à partir de l’Union Européenne vers des entités situées aux Etats-Unis qui se sont engagées à respecter le nouveau cadre de protection des données. La liste de ces entités sera prochainement rendue publique⁴.

Cette décision d'adéquation fait suite aux engagements pris par le Gouvernement américain visant à répondre aux exigences posées par l’Union Européenne suite à l’invalidation du Privacy Shield, notamment s’agissant des activités de surveillance par les autorités américaines. Ces engagements ont fait l’objet d’un décret exécutif « Exécutif Order » du Président Bidden en date du 7 octobre 2022⁵ qui exige notamment que les activités de surveillance soient nécessaires, proportionnés et limitées à la poursuite de la sécurité nationale, ou encore de l’implication du Conseil de Surveillance de la Vie Privée et des Libertés Civiles (the « Privacy and Civil Liberties Oversight Board ») pour l’évaluation des politiques et des agences de renseignement américaines (nous vous avions détaillé ces garanties ici).

Les transferts de l'Union Européenne vers les États-Unis s’inscrivant dans le nouveau cadre ne nécessiteront pas la mise en place de garanties supplémentaires, telles que des clauses contractuelles types ou des règles d'entreprise contraignantes ou encore la réalisation d’une analyse d’impact du transfert (« Transfert Impact Assessment »). Pour plus d’information sur l’application concrète du cadre de protection lisez notre article.

Cette décision d’adéquation fait d’ores et déjà l’objet de critiques. Dans un communiqué NOYB, Max Schrems, son président, dénonce: « Nous avons maintenant des "ports", des "parapluies", des "boucliers" et des "cadres", mais aucun changement substantiel dans le droit américain de la surveillance. Les communiqués de presse d'aujourd'hui sont presque une copie littérale de ceux des 23 dernières années. Se contenter d'annoncer que quelque chose est "nouveau", "robuste" ou "efficace" ne suffit pas devant la Cour de justice. Pour que cela fonctionne, il faudrait modifier la législation américaine en matière de surveillance, ce qui n'est tout simplement pas le cas »⁶. Dans ce même communiqué, NOYB indique qu’un recours devant la CJUE est prêt à être déposé⁷.

De son côté, la Commission Nationale Informatique et Libertés a indiqué qu’elle publiera des éléments complémentaires sur l’application du cadre de protection très prochainement⁸.

Nous ne manquerons pas de vous tenir informés.

Notre équipe Data Privacy vous accompagne sur toute question relative à vos traitements de données personnelles, notamment sur les transferts de données.

¹ CJUE, 16 juillet 2020, C-311/18
² Commission Implementing Decision of 10.7.2023 pursuant to Regulation (EU) 2016/679 of the European Parliament and of the Council on the adequate level of protection of personal data under the EU-US Data Privacy Framework. Adequacy decision for the EU-US Data Privacy Framework.
³ RGPD, Article 45 paragraphe 3
⁴ Participant Search
⁵ Executive Order On Enhancing Safeguards For United States Signals Intelligence Activities, 7 Octobre 2022, accessible à https://www.whitehouse.gov/briefing-room/presidential-actions/2022/10/07/executive-order-on-enhancing-safeguards-for-united-states-signals-intelligence-activities/
⁶ NOYB, communiqué du 10 juillet 2023 « La Commission européenne soumet les transferts de données entre l’UE et les Etats-Unis à un troisième examen par le CJUE » accessible à La Commission européenne soumet les transferts de données entre l'UE et les États-Unis à un troisième examen par la CJUE
⁷ Ibid
⁸ Transferts de données vers les États-Unis : la Commission européenne adopte une nouvelle décision d’adéquation