Discussion :

[Matthieu Vergne]

« L'évaluation s’est penchée sur tous les aspects de l'administration et de l'application du Privacy Shield, y compris les questions liées à la sécurité commerciale et à la sécurité nationale, ainsi que des développements juridiques plus importants aux États-Unis. Les participants ont également discuté de leurs travaux respectifs pour mettre en œuvre le programme du Privacy Shield au cours de l'année inaugurale, en reconnaissant la valeur de la communication régulière entre les États-Unis et les autorités de l'UE. »

« Privacy Shield a une importance vitale pour les entreprises américaines et européennes afin qu’elles puissent continuer à transférer des données à travers l'Atlantique, à faire des affaires en plus d’établir un niveau élevé pour la protection des données des consommateurs », a déclaré Kara Sutton, de la Chambre de commerce américaine dans un communiqué.

Jourová a souligné que l'accord sur la protection de la vie privée avait une solide analyse de rentabilisation. « Le transfert de données sous-tend nos importantes relations commerciales et est comme le pain et le beurre pour de nombreuses entreprises européennes et américaines », a-t-elle déclaré.

Dans les faits, on nous sorts des objectifs de sécurité en disant que l'accord fait dans la rentabilité. On est d'accord, il ne fait pas ce qu'il est censé faire, et ça ne choque personne là haut.

[marsupial]

Lorsque le patriote act sera aboli, alors le privacy Shield aura un sens. Que Macron ait descendu les lois de l'état d'urgence dans la constitution.,.

[Olivier Famien]

La Commission des libertés civiles de l’UE demande la suspension du Privacy Shield
si les États-Unis ne s’y conforment pas d’ici le 1er septembre

Depuis le 12 juillet 2016, le Privacy Shield, l’accord constituant un bouclier de protection des données et conclu entre l’Union européenne (UE) et les États-Unis afin de protéger les données des citoyens et résidents de l’UE transférées et exploitées sur le sol américain, a été approuvé. À la suite de cet accord, plusieurs voix se sont élevées afin d’exprimer des réserves ou des désaccords vis-à-vis de ce nouveau programme.

Avant l’entrée en vigueur de cet accord, le G29, l’organe consultatif européen qui rassemble les autorités de protection des données et de la vie privée parmi lesquelles se trouve la CNIL, l’agence française de protection des données, a émis des réserves vis-à-vis de cet accord. Pour le G29, les dispositions sur la surveillance de masse exercées par les agences américaines restaient encore à améliorer en plus d’autres points comme celui qui prévoit que tout citoyen européen puisse demander réparation, auprès des tribunaux américains, en cas de mauvaise utilisation de ses données. Pour le G29, cette dernière procédure devrait introduite par les Européens auprès des CNIL nationales pour faciliter la tâche aux non anglophones.

Quelques points soulevés par le G29 ont également été repris par le CNNum en France qui est le Conseil national du numérique. À la faveur de l’examen annuel qui devait avoir lieu un an après l’entrée en vigueur de cet accord, le CNNum, après avoir échangé avec une délégation américaine durant l’été 2017, a souligné que le Privacy Shield présente un trop grand nombre de zones d’ombre et ne donne pas suffisamment de garanties à la protection des données personnelles des Européens.

Selon l’article 72 de cet accord, il est stipulé que « les composantes de la communauté du renseignement [y compris les États-Unis] doivent parfois collecter des renseignements d’origine électromagnétique en vrac dans certaines circonstances, par exemple pour détecter et évaluer les nouvelles menaces ou les menaces émergentes ». L’article 73 ajoute que « lorsque la communauté du renseignement ne peut pas utiliser des identifiants spécifiques pour cibler la collecte, elle s’efforcera de réduire “autant que possible” le champ de la collecte ». Enfin sur ce même point, l’article 76 précise que « la priorité est clairement donnée à une collecte ciblée, tandis que la collecte en vrac est limitée aux situations (exceptionnelles) dans lesquelles une collecte ciblée n’est pas possible pour des raisons techniques ou opérationnelles ».

Pour le CNNum, le Privacy Shield doit être renégocié pour parvenir à un accord plus robuste, car par exemple la promesse formulée par le gouvernement américain sur le fait que la collecte de données ciblée resterait prioritaire sur la collecte de masse demeure légère dans la mesure où elle n’est pas inscrite dans la loi américaine pour qu’elle soit une obligation pour les agences américaines. En raison de ces dispositions et d’autres encore, certaines associations notamment la Quadrature du Net, French Data Network et la fédération FDN ont porté plainte devant la Cour de justice de l’Union européenne à l’effet d’obtenir l’annulation de cet accord.

Au parlement européen, ces points de désaccord ne sont pas passés sous silence. Après un débat houleux sur l’avenir de cet accord, un nouveau projet de résolution a été adopté par les parlementaires. Avec ce projet de résolution adopté par 29 voix pour, 25 voix contre et 3 abstentions, l’accord du Privacy Shield devrait plus profiter aux Européens avec plus de contraintes pour les États-Unis. À la suite de l’adoption de projet de résolution, les députés de la commission des libertés civiles ont interpellé la Commission sur le fait « que l’accord devrait rester suspendu jusqu’à ce que les autorités américaines respectent totalement ses conditions ». Les députés ont fixé comme date butoir, le 1er septembre, pour déterminer si les États-Unis se sont conformés aux exigences de l’accord ou pas. En outre, « suite à la violation des données par Facebook-Cambridge Analytica, les députés de la commission des libertés civiles soulignent la nécessité d’un meilleur suivi de l’accord ».

Claude Moraes, le rapporteur de la Commission, a déclaré à la suite de l’adoption de ce projet de loi que « la commission des libertés civiles a adopté lundi 11 juin une position claire sur l’accord relatif au bouclier de protection des données entre l’UE et les États-Unis. Bien que des progrès aient été réalisés pour améliorer l’accord Safe Harbor, le bouclier de protection des données dans sa forme actuelle n’offre pas le niveau de protection adéquat requis par la législation de l’UE en matière de protection des données et la Charte de l’UE. Il appartient donc aux autorités américaines de suivre réellement les termes de l’accord et à la Commission européenne de prendre des mesures pour s’assurer qu’il se conformera pleinement au RGPR ».

Source : Projet de résolution dur le Privacy Shield (PDF),Parlement européen

Et vous ?

Que pensez-vous de ce nouveau durcissement de ton de la Commission de l’UE ?

Est-ce suffisant pour régler les points de désaccord soulevés ?

Voir aussi

Le vote sur l'ePrivacy, le règlement sur la protection de la vie privée des citoyens, sera retardé d'une semaine suite à un désaccord européen
UE : des groupes de défenses de la vie privée exposent leur pessimisme sur les modifications apportées à la protection des données personnelles
Europe : nouvelle réglementation générale sur la protection des données à respecter avant le 25 mai 2018, vos applications seront-elles conformes ?
« Vos données personnelles sont utilisées pour vous contrôler », Bruce Schneier décrit la guerre de l'information à laquelle se livre le monde
UE : des groupes de défenses de la vie privée exposent leur pessimisme sur les modifications apportées à la protection des données personnelles

[Grogro]

Je n'ai pas les compétences pour juger du point de vue juridique, mais je pense que c'est surtout le reflet de la "trade war" qui émerge entre l'UE et les USA.

Sans compter que la confiance est rompue depuis Snowden jusqu'à l'affaire Cambridge Analytica.

[Stéphane le calme]

Le Parlement européen appelle à la suspension du Privacy Shield,
estimant qu'il n'offre pas le niveau de protection requis par le droit européen en matière de protection des données

L’accord « Privacy Shield » est venu remplacer l’accord « Safe Harbor ». Ce dernier, qui organisait une partie du transfert des données entre l’Union européenne et les États-Unis, a été annulé par la Cour de justice de l’Union européenne le 6 octobre 2015. Après cette décision, la Commission européenne a donc négocié rapidement un nouvel accord avec les États-Unis, afin d'assurer la continuité du flux massif de données entre les deux continents. C’est ainsi qu’a été proposé le Privacy Shield, qui est entré en vigueur depuis le 1er août 2016.

Cependant, les députés ont adopté une résolution appelant à la suspension de Privacy Shield. Le Parlement européen explique que :

• considérant que les transferts de données à caractère personnel entre les organisations commerciales de l’UE et des États-Unis constituent un élément important des relations transatlantiques, au vu de la numérisation toujours croissante de l’économie mondiale; que ces transferts devraient être menés dans le strict respect du droit à la protection des données à caractère personnel et du droit au respect de la vie privée; que l’un des objectifs fondamentaux de l’Union est la protection des droits fondamentaux consacrés dans la charte;
  
• considérant que Facebook, signataire du bouclier de protection des données, a confirmé que les données de 2,7 millions de citoyens de l’UE figuraient parmi les données utilisées de manière abusive par le consultant politique Cambridge Analytica;
  
• considérant que le bouclier de protection des données UE-États-Unis est assorti de plusieurs engagements et assurances unilatéraux de la part de l’administration américaine, explicitant, entre autres, les principes de la protection des données, le fonctionnement de la surveillance, de la mise en application de la loi et des voies de recours, et les protections et garanties en vertu desquelles les agences de sécurité peuvent avoir accès aux données à caractère personnel et traiter ces dernières;
  
• considérant que le groupe de travail «article 29» a recensé un certain nombre de questions en suspens, importantes et très préoccupantes, concernant à la fois le commerce et l’accès des autorités publiques américaines aux données transférées aux États-Unis au titre du bouclier de protection des données (que ce soit à des fins de répression ou de sécurité nationale), qui doivent être abordées aussi bien par la Commission que par les autorités américaines; qu’il a demandé la mise en place immédiate d’un plan d’action pour démontrer que toutes ces questions seront abordées, au plus tard lors du deuxième examen conjoint;
  
  
  
• considérant que le 11 janvier 2018, le Congrès américain a modifié et réautorisé pour six ans la section 702 du FISA sans répondre aux préoccupations que la Commission exprime dans son rapport d’examen conjoint et de l’avis du groupe de travail «article 29» ;
  
• considérant que, dans le cadre de la législation budgétaire générale promulguée le 23 mars 2018, le Congrès américain a promulgué le «Clarifying Overseas Use of Data (‘CLOUD’) Act», qui facilite l’accès à des fins répressives au contenu des communications et autres données liées en permettant aux autorités répressives des États-Unis d’imposer la production de données de communication même si elles sont stockées en dehors des États-Unis, et en permettant à certains pays étrangers de conclure des accords exécutifs avec les États-Unis de manière à permettre aux fournisseurs de services américains de répondre à certaines décisions de justice étrangères réclamant un accès à des données de communication;
  
• considérant que Facebook Inc., Cambridge Analytica and SCL Elections Ltd sont des entreprises certifiées dans le cadre du bouclier de protection des données et qu’en tant que telles, elles ont bénéficié de la décision d’adéquation comme base juridique pour le transfert, en vue du traitement ultérieur, de données à caractère personnel de l’Union européenne vers les États-unis.

Aspects institutionnels / Nominations

Le Parlement européen souligne que les récentes révélations concernant les pratiques de Facebook et de Cambridge Analytica mettent en exergue la nécessité d’une surveillance en amont ainsi que de mesures d’exécution qui ne se fondent pas exclusivement sur des plaintes et qui prévoient des contrôles systématiques de la conformité pratique des politiques de protection de la vie privée avec les principes du bouclier de protection des données tout au long de la durée de vie de la certification; invite les autorités compétentes de l’Union en matière de protection des données à prendre des mesures appropriées et à suspendre les transferts en cas d’absence de conformité.

Aspects commerciaux

Le Parlement estime que les différentes procédures de recours offertes aux citoyens de l’Union européenne peuvent s’avérer trop complexes, difficiles à utiliser et, partant, moins efficaces; note que, comme le soulignent les entreprises qui proposent des mécanismes de recours indépendants (IRM), la plupart des plaintes sont déposées directement auprès des entreprises par des personnes cherchant des informations générales sur le bouclier des données et le traitement de leurs données; plaide donc pour que les autorités américaines donnent, sur le site Internet du bouclier de protection des données, des informations plus concrètes sur les divers droits et les voies de recours existantes, et ce sous une forme accessible et facilement compréhensible;

Il s’est montré vivement préoccupé par les conséquences de la révision des conditions d’utilisation de Facebook pour les utilisateurs de pays tiers résidant hors des États-Unis et du Canada, qui ont jusqu’à présent bénéficié des droits octroyés par la législation européenne sur la protection des données, et qui doivent désormais accepter que le responsable du traitement des données ne soit plus Facebook Irlande mais Facebook États-unis. Le Parlement considère que cette pratique constitue un transfert de données à caractère personnel d’environ 1,5 milliard d’utilisateurs vers un pays tiers et doute sérieusement qu’une telle limitation à grande échelle et sans précédent des droits fondamentaux des utilisateurs d’une plateforme, de fait monopolistique, corresponde au but recherché par le bouclier de protection des données. Aussi, il invite les autorités de protection des données de l’UE à enquêter sur cette question.

Appréciation de la loi et sécurité nationale

Le Parlement estime que la définition de l’expression «sécurité nationale» dans le mécanisme du bouclier de protection des données n’est pas suffisamment circonscrite pour s’assurer que les violations de la protection des données peuvent être effectivement examinées par les tribunaux sur la base d’un contrôle strict de ce qui est nécessaire et proportionné; demande par conséquent une définition claire de la «sécurité nationale».

Il réitère ses préoccupations concernant le décret présidentiel 12333, qui permet à la NSA de partager de vastes quantités de données privées, recueillies sans mandat, ordonnance de justice ou autorisation du Congrès, avec 16 autres organismes, dont le FBI, l’agence de lutte contre la drogue et le ministère de la sécurité intérieure; regrette l’absence de tout contrôle juridictionnel des activités de surveillance fondées sur le décret présidentiel 12333.

Il exprime ses vives préoccupations concernant l’adoption récente de la loi CLOUD [Clarifying Lawful Overseas Use of Data Act] (H.R. 4943) visant à clarifier les règles relatives aux réquisitions des autorités américaines sur les données stockées en dehors de leur territoire, qui étend les compétences des services répressifs américains et étrangers en leur permettant de cibler et d’accéder aux données des personnes au-delà des frontières internationales sans recourir aux instruments d’entraide judiciaire (MLAT), qui eux prévoient des garanties appropriées et respectent les compétences judiciaires des pays sur le territoire desquels l’information est stockée; fait observer que la loi CLOUD pourrait avoir de graves conséquences pour l’UE car elle a une grande portée et est source de conflit potentiel avec la législation de l’UE sur la protection des donnée.

Conclusions

Le Parlement :

• invite la Commission à prendre toutes les mesures nécessaires pour garantir que le bouclier de protection des données sera entièrement conforme au règlement (UE) 2016/679, applicable à partir du 25 mai 2018, et à la charte des droits fondamentaux de l’UE pour éviter ainsi que les critères d’adéquation ne se traduisent par des lacunes ou par un avantage concurrentiel pour les entreprises américaines;
  
• rappelle que la protection des données et de la vie privée sont des droits fondamentaux juridiquement contraignants, consacrés par les traités, par la charte des droits fondamentaux et par la convention européenne des droits de l’homme, ainsi que par le droit et la jurisprudence; souligne qu’ils doivent être appliqués d’une manière qui n’entrave pas inutilement le commerce ou les relations internationales, mais qu’ils ne peuvent pas être «mis en balance» avec les intérêts commerciaux ou politiques;
  
• est d’avis que l’actuel bouclier de protection des données n’offre pas le niveau de protection adéquat requis par le droit de l’Union en matière de protection des données et par la charte des droits fondamentaux de l’Union européenne, telle qu’interprétée par la Cour de justice de l’Union européenne.

Source : proposition de résolution

Voir aussi :

Des pays d'Europe utiliseraient les données téléphoniques des migrants pour valider ou rejeter leurs demandes d'asile, pour ou contre cette pratique ?
Wikipédia Italie ferme son service pour dénoncer la réforme sur le droit d'auteur en Europe, dont l'adoption pourrait être accélérée le 5 juillet
Un mois après l'entrée en vigueur du RGPD, personne ne respecte vraiment le règlement européen qui est interprété différemment d'un acteur à l'autre
La CJUE estime que la marque « France.com » ne peut être déposée en Europe, et évoque un risque de confusion avec une marque déjà déposée
UE : 62 associations saisissent la Commission européenne sur la conservation généralisée des données par les opérateurs de télécoms dans 17 pays

[Stéphane le calme]

Privacy Shield : la Cour de justice de l'UE annule l'accord de transfert des données personnelles entre l'UE et les USA,
une victoire pour les défenseurs des libertés

Maximillian Schrems, ressortissant autrichien résidant en Autriche, est un utilisateur de Facebook depuis 2008. Comme pour les autres utilisateurs résidant dans l’Union, les données à caractère personnel de Schrems sont, en tout ou en partie, transférées par Facebook Ireland vers des serveurs appartenant à Facebook Inc., situés sur le territoire des États-Unis, où elles font l’objet d’un traitement. Schrems a déposé une plainte auprès de l’autorité irlandaise de contrôle, visant, en substance, à faire interdire ces transferts. Il a soutenu que le droit et les pratiques des États-Unis n’offrent pas de protection suffisante contre l’accès, par les autorités publiques, aux données transférées vers ce pays. Cette plainte a été rejetée, au motif notamment que la Commission avait constaté que les États-Unis assuraient un niveau adéquat de protection. Par un arrêt rendu le 6 octobre 2015, la Cour de justice de l'UE, saisie d’une question préjudicielle posée par la High Court (Haute Cour, Irlande), a jugé cette décision invalide.

C'est ainsi qu'elle a décidé le 6 octobre 2015 d'annuler l'accord « Safe Harbor » qui organisait une partie du transfert des données entre l’Union européenne et les États-Unis. Cet accord a été remplacé en 2016 par « Privacy Shield ».

Puis vient le règlement général relatif à la protection des données (RGPD) qui dispose que le transfert de telles données vers un pays tiers ne peut, en principe, avoir lieu que si le pays tiers en question assure un niveau de protection adéquat à ces données. Selon ce règlement, la Commission peut constater qu’un pays tiers assure, en raison de sa législation interne ou de ses engagements internationaux, un niveau de protection adéquat. En l’absence d’une telle décision d’adéquation, un tel transfert ne peut être réalisé que si l’exportateur des données à caractère personnel, établi dans l’Union, prévoit des garanties appropriées, pouvant notamment résulter de clauses types de protection des données adoptées par la Commission, et si les personnes concernées disposent de droits opposables et de voies de droit effectives. Par ailleurs, le RGPD établit, de manière précise, les conditions dans lesquelles un tel transfert peut avoir lieu en l’absence d’une décision d’adéquation ou de garanties appropriées.

Maximillian Schrems décrie également le nouvel accord « Privacy Shield » et tente en 2018 un recours collectif au nom des consommateurs contre Facebook. Il indiquait alors que Facebook violait les lois sur la vie privée en transmettant certaines données aux services de renseignement américains.

La Cour estime, tout d’abord, que le droit de l’Union, et notamment le RGPD, s’applique à un transfert de données à caractère personnel effectué à des fins commerciales par un opérateur économique établi dans un État membre vers un autre opérateur économique établi dans un pays tiers, même si, au cours ou à la suite de ce transfert, ces données sont susceptibles d’être traitées à des fins de sécurité publique, de défense et de sûreté de l’État par les autorités du pays tiers concerné. Elle précise que ce type de traitement de données par les autorités d’un pays tiers ne saurait exclure un tel transfert du champ d’application du RGPD.

En ce qui concerne le niveau de protection requis dans le cadre d’un tel transfert, la Cour juge que les exigences prévues à cet effet par les dispositions du RGPD, qui ont trait à des garanties appropriées, des droits opposables et des voies de droit effectives, doivent être interprétées en ce sens que les personnes dont les données à caractère personnel sont transférées vers un pays tiers sur le fondement de clauses types de protection des données doivent bénéficier d’un niveau de protection substantiellement équivalent à celui garanti au sein de l’Union par ce règlement, lu à la lumière de la Charte. Dans ce contexte, elle précise que l’évaluation de ce
niveau de protection doit prendre en compte tant les stipulations contractuelles convenues entre l’exportateur des données établi dans l’Union et le destinataire du transfert établi dans le pays tiers concerné que, en ce qui concerne un éventuel accès des autorités publiques de ce pays tiers aux données ainsi transférées, les éléments pertinents du système juridique de celui-ci.

La Cour de justice de l'UE a donc décidé d'annuler à son tour l'accord « Privacy Shield ». Ce dispositif est utilisé par la quasi-totalité des grandes entreprises américaines pour traiter les données personnelles (identité, comportement en ligne, géolocalisation…) de leurs utilisateurs européens. Très strictement réglementée en Europe, l’utilisation de ces données est moins encadrée aux États-Unis ; pour permettre aux entreprises américaines de les utiliser, le Privacy Shield prévoyait une dérogation, à condition qu’elles s’engagent à respecter certaines mesures.

Les clauses contractuelles restent valides

La cour a cependant confirmé la validité d’un autre mécanisme de transfert de données vers des sous-traitants établis dans des pays tiers, baptisé « clauses contractuelles types ». Ce mécanisme permet à des entreprises de se conformer à la loi européenne en s’engageant, individuellement, à respecter certaines précautions sur l’usage des données de leurs utilisateurs européens. La CJUE souligne cependant que les autorités de protection de la vie privée doivent suspendre ou interdire les transferts hors de l’UE si la protection des données ne peut être assurée.

La décision de la justice européenne ne concerne pas les transferts de données jugés « nécessaires » – par exemple le contenu d’un e-mail envoyé aux États-Unis. La Cour a par ailleurs, conformément aux conclusions de l’avocat général, validé une autre décision de la Commission européenne, sur la légalité des « clauses contractuelles » en matière de transfert de données.

« Selon la Cour, la validité de cette décision n’est pas remise en cause par le seul fait que les clauses types de protection des données figurant dans celle-ci ne lient pas, en raison de leur caractère contractuel, les autorités du pays tiers vers lequel un transfert des données pourrait être opéré. En revanche, précise-t-elle, cette validité dépend du point de savoir si ladite décision comporte des mécanismes effectifs permettant, en pratique, d’assurer que le niveau de protection requis par le droit de l’Union soit respecté et que les transferts de données à caractère personnel, fondés sur de telles clauses, soient suspendus ou interdits en cas de violation de ces clauses ou d’impossibilité de les honorer. La Cour constate que la décision 2010/87 met en place de tels mécanismes. À cet égard, elle souligne, notamment, que cette décision instaure une obligation pour l’exportateur des donnés et le destinataire du transfert de vérifier, au préalable, que ce niveau de protection est
respecté dans le pays tiers concerné et qu’elle oblige ce destinataire à informer l’exportateur des données de son éventuelle incapacité de se conformer aux clauses types de protection, à charge alors pour ce dernier de suspendre le transfert de données et/ou de résilier le contrat conclu avec le premier ».

En clair, la CJUE invalide l’accord global que constituait le Privacy Shield, mais confirme que les entreprises peuvent se conformer à la loi européenne en s’engageant, individuellement, à respecter certaines précautions quant à l’usage des données de leurs utilisateurs européens.

Deux défaites en deux jours pour la Commission européenne

Le jugement de la CJUE constitue un nouveau camouflet pour Bruxelles après l’annulation mercredi par le Tribunal de l’Union européenne de la décision de la Commission européenne réclamant à Apple le versement de 13 milliards d’euros d’arriérés d’impôts à l’Irlande.

Margrethe Vestager, vice-présidente de la Commission européenne chargée de la politique de la concurrence, a concédé jeudi que les deux décisions rendues par la justice européenne constituaient « une défaite” : « La première chose que l'on fait lorsque l'on reçoit un jugement du tribunal est de le lire très, très attentivement. Et nous sommes toujours en train de le faire. Bien sûr, c'est une défaite, car c'est une annulation par le tribunal ».

Le commissaire européen à la Justice, Didier Reynders, a déclaré pour sa part que la Commission allait travailler sur une amélioration de la protection des données. « Nous étudierons attentivement le jugement et réfléchirons aux moyens opérationnels pour renforcer nos transferts de données », a-t-il déclaré dans un communiqué.

De son côté, Facebook a dit qu'il allait étudier les conséquences du jugement de la CJUE : « Comme de nombreuses entreprises, nous examinons attentivement les conclusions et les implications de la décision de la Cour de justice en ce qui concerne l'utilisation du bouclier de protection des données et nous attendons avec intérêt les directives réglementaires à cet égard », écrit Eva Nagle, l'avocate du groupe, dans un communiqué.

Dans un communiqué, la Business Software Alliance, qui rassemble de très grandes entreprises du numérique, s’est dite « soulagée de voir que les clauses standards contractuelles restent valides », évoquant un « dénouement positif », tout en regrettant que la décision « élimine l’un des rares moyens fiables de transférer des données de l’autre côté de l’Atlantique ». La Computer & Communications Industry Association (CCIA – « Association de l’industrie de l’informatique et des communications »), qui compte parmi ses membres Google, Samsung ou Amazon, a elle dit regretter « l’incertitude légale » créée par cette décision, et dit espérer que les « responsables politiques américains et européens trouveront rapidement une solution viable (…) pour assurer la continuité des flux d’informations qui sous-tendent l’économie numérique ».

Dans un communiqué du ministère du Commerce, les États-Unis se sont dits « profondément déçus » par la décision. Washington continuera à travailler avec la commission européenne, et étudie la décision de justice en détail pour en comprendre tous les effets concrets, a affirmé Wilbur Ross, le secrétaire américain au commerce. Nous « espérons pouvoir limiter les conséquences négatives pour la relation économique transatlantique qui pèse 7 100 milliards de dollars et qui est vitale pour nos citoyens, entreprises et gouvernements respectifs »,a ajouté Ross.

Maximillian Schrems quant à lui s'est félicité de cette décision : « À première vue, il semble que la cour nous a suivis sur tous les points. C’est un énorme coup porté à la commission de protection des données irlandaise et à Facebook. Il est clair que les États-Unis vont devoir sérieusement changer leurs lois sur la surveillance si leurs entreprises veulent continuer à jouer un rôle sur le marché européen. (…) La cour ne dit pas seulement à la commission de protection des données irlandaise de faire son travail après sept ans d’inaction, mais que ce type d’agence a un devoir d’action et ne peut pas se contenter de fermer les yeux. C’est un changement fondamental qui va bien plus loin que les transferts de données entre UE et États unis. Les autorités comme la commission de protection des données irlandaise ont sapé le succès du RGPD jusque-là. La cour dit clairement qu’elles doivent se mettre au travail et faire respecter la loi. »

Source : décision de la Cour de justice de l'UE, Max Schrems

[Stéphane le calme]

Joe Biden pave la voie du "Privacy Shield 2.0" avec un décret exécutif pour codifier l'organisation du transfert de données US-UE,
mais un défenseur de la vie privée en souligne déjà les limites

Plus de six mois après un « accord de principe » entre l'UE et les États-Unis, le président américain Joe Biden a signé le décret exécutif tant attendu qui vise à respecter les arrêts passés de la Cour européenne de justice (CJUE). Avec de décret, Joe Biden voudrait surmonter les limitations des transferts de données entre l'UE et les États-Unis.

Le décret est donc conçu pour codifier les accords que l'UE et l'Amérique ont conclus plus tôt cette année qui rétabliraient le Privacy Shield, bien que la version 2.0 de celui-ci. Il s'agit d'un framework qui définit comment, quand et quelles données des citoyens sont envoyées à l'étranger, entre l'Europe et l'Amérique.

Selon Joe Biden, ce décret renforce un ensemble « déjà rigoureux » de mesures de protection de la vie privée et des libertés civiles pour les activités de renseignement des États-Unis. Indirectement, le président américain évoque l’application de lois américaines, telles que le Cloud Act, qui permettent aux agences de renseignement de s’emparer et de consulter les données traitées ou hébergées par toutes les sociétés américaines.

Toutefois, selon un défenseur de la vie privée qui a rejeté les réglementations précédentes devant les tribunaux, ce décret exécutif signé par le président Biden pourrait ne pas répondre aux exigences de l'UE.

L’accord « Privacy Shield » est venu remplacer l’accord « Safe Harbor ». Ce dernier, qui organisait une partie du transfert des données entre l’Union européenne et les États-Unis, a été annulé par la Cour de justice de l’Union européenne le 6 octobre 2015. Après cette décision, la Commission européenne a donc négocié rapidement un nouvel accord avec les États-Unis, afin d'assurer la continuité du flux massif de données entre les deux continents. C’est ainsi qu’a été proposé le Privacy Shield, qui est entré en vigueur dès le 1^er août 2016.

Puis est venu le règlement général relatif à la protection des données (RGPD) qui dispose que le transfert de telles données vers un pays tiers ne peut, en principe, avoir lieu que si le pays tiers en question assure un niveau de protection adéquat à ces données. Selon ce règlement, la Commission peut constater qu’un pays tiers assure, en raison de sa législation interne ou de ses engagements internationaux, un niveau de protection adéquat. En l’absence d’une telle décision d’adéquation, un tel transfert ne peut être réalisé que si l’exportateur des données à caractère personnel, établi dans l’Union, prévoit des garanties appropriées, pouvant notamment résulter de clauses types de protection des données adoptées par la Commission, et si les personnes concernées disposent de droits opposables et de voies de droit effectives. Par ailleurs, le RGPD établit, de manière précise, les conditions dans lesquelles un tel transfert peut avoir lieu en l’absence d’une décision d’adéquation ou de garanties appropriées.

Maximillian Schrems, ressortissant autrichien résidant en Autriche et défenseur des droits numériques, a lancé une plainte contre Facebook qui a conduit la Cour de Justice de l'Union européenne (CJUE) à annuler la validité de Privacy Shield, en partie parce que les citoyens de l'UE n'avaient pas de moyen de s'opposer à la collecte de leurs données par le gouvernement américain s'ils estimaient que leurs données avaient été collectées de manière inappropriée.

L'ordonnance de Biden vient résoudre ces problèmes en limitant la manière dont les renseignements électromagnétiques peuvent être recueillis par les agences d'espionnage américaines et en plaçant la collecte d'informations derrière plusieurs couches de conditions, notamment en veillant à ce que seules des données étroitement adaptées soient collectées.

Le nouveau framework met également en place un tribunal de révision de la protection des données composé d'employés non gouvernementaux pour entendre les cas des citoyens de l'UE, à condition que leurs plaintes soient d'abord transmises à l'équipe des libertés civiles du bureau du directeur du renseignement national pour examen.

La Maison-Blanche explique que :

« Les flux de données transatlantiques sont essentiels à la relation économique entre l’UE et les États-Unis, qui représente 7 100 milliards de dollars. Le Data Privacy Framework (DPF) UE-États-Unis rétablira une base juridique importante pour les flux de données transatlantiques en répondant aux préoccupations que la Cour de justice de l’Union européenne a soulevées en invalidant l’ancien framework du Privacy Shield UE-États-Unis en tant que mécanisme de transfert de données valide en vertu du droit communautaire.

« Le décret renforce un éventail déjà rigoureux de garanties en matière de confidentialité et de libertés civiles pour les activités de renseignement électromagnétique des États-Unis. Il crée également un mécanisme indépendant et contraignant permettant aux individus des États éligibles et des organisations d'intégration économique régionale, tels que désignés dans le cadre de l'E.O., de demander réparation s'ils pensent que leurs données personnelles ont été collectées par le biais du renseignement électromagnétique américain d'une manière qui viole la loi américaine applicable.

« Les grandes et petites entreprises américaines et européennes de tous les secteurs de l'économie s'appuient sur les flux de données transfrontaliers pour participer à l'économie numérique et élargir les opportunités économiques. L'UE-États-Unis. Le DPF représente l'aboutissement d'un effort conjoint des États-Unis et de la Commission européenne pour rétablir la confiance et la stabilité dans les flux de données transatlantiques et reflète la force de la relation entre l'UE et les États-Unis fondée sur nos valeurs communes ».

Les points centraux du décret

En particulier, le décret exécutif :

• ajoute des garanties supplémentaires pour les activités de renseignement électromagnétique des États-Unis, notamment en exigeant que ces activités soient menées uniquement dans la poursuite d'objectifs de sécurité nationale définis ; prend en considération la vie privée et les libertés civiles de toutes les personnes, indépendamment de leur nationalité ou de leur pays de résidence ; ces activités de renseignement sont menées uniquement lorsque cela est nécessaire pour faire avancer une priorité validée en matière de renseignement et uniquement dans la mesure et d'une manière proportionnées à cette priorité ;
• mandate les exigences de traitement des informations personnelles collectées dans le cadre des activités de renseignement électromagnétique et étend les responsabilités des responsables juridiques, de la surveillance et de la conformité pour garantir que des mesures appropriées sont prises pour remédier aux incidents de non-conformité ;
• exige que les éléments de la communauté du renseignement des États-Unis mettent à jour leurs politiques et procédures afin de refléter les nouvelles garanties de confidentialité et de libertés civiles contenues dans l'E.O ;
• crée un mécanisme à plusieurs niveaux pour les individus des États éligibles et des organisations d'intégration économique régionale, tels que désignés conformément à l'E.O., pour obtenir un examen indépendant et contraignant et une réparation des réclamations selon lesquelles leurs informations personnelles collectées via le renseignement électromagnétique américain ont été collectées ou traitées par les États-Unis États en violation de la loi américaine applicable, y compris les garanties renforcées de l'E.O ;
• demande au Conseil de surveillance de la vie privée et des libertés civiles d'examiner les politiques et procédures de la communauté du renseignement pour s'assurer qu'elles sont conformes au décret et de procéder à un examen annuel du processus de recours, notamment pour vérifier si la communauté du renseignement s'est pleinement conformée aux décisions prises par le CLPO et le DPRC.

Des limites déjà soulignées

Cela dit, Schrems estime que le décret de Biden est peu susceptible de satisfaire au droit de l'UE, et il devrait le savoir – il a déjà mis fin aux versions précédentes. Selon Schrems, bien que certains termes aient pu changer dans le nouvel accord, l'UE et les États-Unis ne semblent toujours pas définir certains termes, tels que « proportionné », de la même manière.

« En fin de compte, la définition de la CJUE prévaudra, tuant probablement à nouveau toute décision de l'UE. La Commission européenne ferme à nouveau les yeux sur la législation américaine, pour permettre la poursuite de l'espionnage des Européens », a regretté Schrems.

NOYB, l'organisation de protection de la vie privée de Schrems, a déclaré dans sa réponse à l'EO de Biden que la Cour de révision de la protection des données n'était pas un véritable tribunal tel que défini légalement par la loi américaine, et a critiqué le nombre de recours pour les citoyens de l'UE, affirmant qu'il n'y avait aucune garantie supplémentaire qu'ils seraient entendus au-delà des frameworks précédents.

La surveillance en masse se poursuit via deux types de « proportionnalité ». Les États-Unis soulignent que le nouveau décret utilise le libellé du droit de l'UE ("nécessaire" et "proportionné" comme dans l'article 52 CFR) au lieu du terme précédent "aussi adapté que possible" utilisé dans la section 1 (d) du PPD- 28. Cela pourrait résoudre le problème si les États-Unis suivaient la même compréhension et appliquaient également le test de proportionnalité de la CJUE.

Cependant, malgré la modification de ces mots, rien n'indique que la surveillance de masse aux États-Unis changera dans la pratique. La soi-disant "surveillance en masse" se poursuivra dans le cadre du nouveau décret exécutif (voir la section 2 (c)(ii)) et toutes les données envoyées aux fournisseurs américains se retrouveront toujours dans des programmes comme PRISM ou Upstream, bien que la CJUE ait déclaré à deux reprises que les lois et pratiques américaines en matière de surveillance n'étaient pas "proportionnées" (au sens européen du terme).

Comment est-ce possible ? Il semble que l'UE et les États-Unis aient convenu de copier les mots "nécessaire" et "proportionné" dans le décret exécutif, mais n'ont pas convenu qu'il aurait la même signification juridique. Si cela avait le même sens, les États-Unis devraient fondamentalement limiter leurs systèmes de surveillance de masse pour se conformer à la compréhension de l'UE de la surveillance "proportionnée".

Et Schrems de déclarer : « Il est étonnant que l'UE et les États-Unis conviennent que les écoutes téléphoniques nécessitent une cause probable et une approbation judiciaire. Cependant, les États-Unis estiment que les étrangers n'ont pas le droit à la vie privée. Je doute que les États-Unis aient un avenir en tant que fournisseur de cloud dans le monde, si les personnes non américaines n'ont aucun droit en vertu de leurs lois. Il est contradictoire pour moi que la Commission européenne travaille sur un accord qui accepte que les Européens soient des citoyens de "seconde classe" et ne méritent pas les mêmes droits à la vie privée que les citoyens américains ».

Les entreprises américaines n'ont pas besoin de se conformer au RGPD. Ce qui est frappant, c'est que la Commission européenne n'a pas demandé que les soi-disant «Privacy Shield Principles» soient alignés sur le RGPD, qui est en vigueur depuis 2018. Les principes sont en grande partie les mêmes que les précédents principes «Safe Harbor», qui ont été rédigés en 2000 et continueront d'être utilisés dans le nouveau cadre. Cela signifie que les entreprises américaines peuvent continuer à traiter des données européennes sans se conformer au RGPD. Par exemple, ils n'ont même pas besoin d'une base légale pour le traitement, comme le consentement. Dans le cadre du Privacy Shield, les entreprises américaines doivent uniquement proposer une option de désactivation aux utilisateurs. Ceci malgré le fait que la CJUE souligne qu'il doit y avoir des protections "essentiellement équivalentes" aux États-Unis.

« À première vue, il semble que les problèmes fondamentaux n'aient pas été résolus et cela reviendra tôt ou tard devant la CJUE , a déclaré Schrems.

Le Royaume-Uni et les États-Unis sont parvenus à un accord de partage de données la semaine dernière.

Sources : Maison-Blanche, NYOB

Et vous ?

Que pensez-vous des propositions de Joe Biden pour rétablir les échanges US-UE ?
Quelle lecture faites-vous des limites relevées par NYOB ?

[defZero]

Ah, c'est assez simple en fait, technologiquement parlant, nous avons besoin d'eux, alors qu'eux n'ont pas besoin de nous.
Tant que nous ne pourrons pas changer cet état de fait, il sera impossible d'imposer quoi que ce soit au ricain.
Honnêtement avec des "allier" comme ça, on a pas vraiment besoin d'ennemies .

[walfrat]

Ils ont peut etre moins besoin que nous que eux de nous c'est sur. Mais si, ils ont besoin de nous. Dépensier comme ils sont, s'ils ne détournent plus d'argent en Europe, comme ailleurs, ils seraient vite à sec.

[Stéphane le calme]

Les entreprises de la Tech peuvent transférer les données des Européens aux États-Unis, selon une décision de la Commission européenne.
Une victoire pour Google et Facebook

Les grandes entreprises technologiques comme Facebook et Google peuvent continuer à transférer les données personnelles de leurs utilisateurs européens vers les États-Unis, selon une décision de la Commission européenne qui estime que « les États-Unis garantissent un niveau de protection adéquat – comparable à celui de l'Union européenne – pour les données à caractère personnel transférées de l'UE vers des entreprises américaines au titre du nouveau cadre ». Une décision qui intervient malgré les protestations des défenseurs de la vie privée qui s'inquiètent de la surveillance du gouvernement américain.

La Commission indique que « sur la base de la nouvelle décision d'adéquation, les données à caractère personnel peuvent circuler en toute sécurité de l'UE vers des entreprises américaines participant au cadre, sans qu'il soit nécessaire de mettre en place des garanties supplémentaires en matière de protection des données ».

En mai, le propriétaire de Facebook, Meta, a été condamné à une amende de 1,2 milliard d'euros pour avoir enfreint le règlement général sur la protection des données (RGPD) avec des transferts de données personnelles vers les États-Unis et a reçu l'ordre de cesser de stocker les données des utilisateurs de l'Union européenne aux États-Unis dans un délai de six mois. Meta a déclaré à l'époque que si le pacte de transfert de données en attente « entre en vigueur avant l'expiration des délais de mise en œuvre, nos services peuvent continuer comme ils le font aujourd'hui sans aucune interruption ni impact sur les utilisateurs ».

Selon le Wall Street Journal, l'accord de transfert de données devrait faire face à une contestation judiciaire de la part des défenseurs européens de la vie privée, qui disent depuis longtemps que les États-Unis doivent apporter des modifications substantielles aux lois sur la surveillance. Les transferts de données de l'Europe vers les États-Unis sont remis en question depuis qu'un tribunal de l'UE a statué en 2020 qu'un précédent accord autorisant les flux de données transatlantiques était illégal parce que les États-Unis n'ont pas donné aux individus de l'UE un moyen efficace de contester la surveillance de leurs données par le gouvernement américain.

Les États-Unis consentent à des améliorations

Dans son annonce, la Commission a souligné que le cadre de protection des données UE - États-Unis introduit de nouvelles garanties contraignantes pour répondre à toutes les préoccupations soulevées par la Cour de justice de l'Union européenne, notamment en limitant l'accès des services de renseignement américains aux données de l'UE à ce qui est nécessaire et proportionné, et en instituant une Cour chargée du contrôle de la protection des données (Data Protection Review Court - DPRC), à laquelle les citoyens de l'Union auront accès.

« Le nouveau cadre apporte d'importantes améliorations par rapport au mécanisme qui existait dans le cadre du bouclier de protection des données. Par exemple, si la DPRC constate que des données ont été collectées en violation des nouvelles garanties, elle sera en mesure d'ordonner la suppression des données. Les nouvelles garanties dans le domaine de l'accès des pouvoirs publics aux données compléteront les obligations auxquelles les entreprises américaines qui importent des données en provenance de l'UE devront souscrire ».

La présidente Ursula von der Leyen a fait la déclaration suivante: «Le nouveau cadre de protection des données UE - États-Unis garantira une circulation sécurisée des données aux Européens et apportera une sécurité juridique aux entreprises des deux côtés de l'Atlantique. À la suite de l'accord de principe auquel je suis parvenue avec le président Biden l'an dernier, les États-Unis ont mis en œuvre des engagements sans précédent pour établir le nouveau cadre. Aujourd'hui, nous prenons une mesure importante pour donner confiance aux citoyens quant à la sécurité de leurs données, pour approfondir les liens économiques entre l'UE et les États-Unis et, dans le même temps, pour réaffirmer nos valeurs communes. Cela montre qu'en travaillant ensemble, nous pouvons nous attaquer aux questions les plus complexes.»

Les entreprises américaines pourront adhérer au cadre de protection des données UE - États-Unis en s'engageant à respecter un ensemble détaillé d'obligations en matière de protection de la vie privée, comme l'obligation de supprimer les données à caractère personnel lorsqu'elles ne sont plus nécessaires à la finalité pour laquelle elles ont été collectées, et d'assurer la continuité de la protection lorsque des données à caractère personnel sont partagées avec des tiers.

Les citoyens de l'UE bénéficieront de plusieurs voies de recours en cas de traitement incorrect de leurs données par des entreprises américaines. Il s'agit notamment de mécanismes indépendants de règlement des litiges et d'un panel spécial d'arbitrage.

En outre, le cadre juridique américain prévoit un certain nombre de garanties en ce qui concerne l'accès des pouvoirs publics des États-Unis aux données transférées au titre du cadre, en particulier à des fins d'application du droit pénal et de sécurité nationale. L'accès aux données est limité à ce qui est nécessaire et proportionné pour protéger la sécurité nationale.

Les citoyens de l'UE auront accès à un mécanisme de recours indépendant et impartial en ce qui concerne la collecte et l'utilisation de leurs données par les services de renseignement américains, qui comprend une Cour d'examen de la protection des données (Data Protection Review Court - DPRC) nouvellement créée. La Cour examinera et tranchera les réclamations de manière indépendante, y compris en adoptant des mesures correctives contraignantes.

Les garanties mises en place par les États-Unis faciliteront également, de manière plus générale, les flux de données transatlantiques, étant donné qu'elles s'appliquent également lorsque les données sont transférées au moyen d'autres outils, tels que des clauses contractuelles types et des règles d'entreprise contraignantes.

La Commission fédérale du commerce des États-Unis veillera au respect des règles par les entreprises américaines

L'article 45, paragraphe 3, du règlement général sur la protection des données confère à la Commission le pouvoir de décider, par voie d'actes d'exécution, qu'un pays tiers assure « un niveau de protection adéquat » - un niveau de protection des données à caractère personnel substantiellement équivalent à celui garanti au sein de l'UE. Les décisions constatant le caractère adéquat du niveau de protection ont pour effet de permettre le transfert libre de données à caractère personnel de l'UE (ainsi que de la Norvège, du Liechtenstein et de l'Islande) vers un pays tiers sans autre obstacle.

Après l'invalidation par la Cour de justice de l'Union européenne de la précédente décision d'adéquation relative au bouclier de protection des données UE - États-Unis, la Commission européenne et le gouvernement américain ont entamé des discussions sur un nouveau cadre qui répondait aux préoccupations soulevées par la Cour.

En mars 2022, la présidente von der Leyen et le président Biden ont annoncé qu'ils étaient parvenus à un accord de principe sur un nouveau cadre pour les flux de données transatlantiques, à la suite de négociations entre le commissaire Reynders et la secrétaire américaine au Commerce, Mme Raimondo. En octobre 2022, le président Biden a signé un décret présidentiel sur le renforcement des garanties applicables aux activités de renseignement d'origine électromagnétique menées par les États-Unis, qui a été complété par des règles adoptées par le procureur général des États-Unis, M. Garland. Ensemble, ces deux instruments ont permis la mise en œuvre des engagements pris par les États-Unis en vertu de l'accord de principe dans le droit américain et ont complété les obligations incombant aux entreprises américaines en vertu du cadre de protection des données UE - États-Unis.

Un élément essentiel du cadre juridique américain consacrant ces garanties est le décret américain sur le renforcement des garanties applicables aux activités de renseignement d'origine électromagnétique menées par les États-Unis (Enhancing Safeguards for United States Signals Intelligence Activities), qui répond aux préoccupations exprimées par la Cour de justice de l'Union européenne dans sa décision Schrems II de juillet 2020.

Le cadre est géré et contrôlé par le ministère américain du Commerce. La Commission fédérale du commerce des États-Unis veillera au respect des règles par les entreprises américaines.

Les entreprises américaines en faveur de cet accord

Google a soutenu l'accord, écrivant l'année dernière que « le gouvernement américain s'est maintenant engagé à mettre en place des systèmes qui permettront une réparation indépendante et significative pour les personnes dans l'UE, renforceront les garde-fous et la proportionnalité de la collecte de renseignements américains, et assureront une surveillance efficace de ces nouveaux renseignements personnels et normes en matière de libertés civiles d'une manière qui réponde aux préoccupations exprimées par la Cour de justice de l'Union européenne ». Google a également déclaré que l'accord fournit « une base fiable et durable pour l'avenir des services Internet des deux côtés de l'Atlantique ».

Un défenseur des droits prévoit déjà de faire appel

Les précédents accords sur les données connus sous le nom de Safe Harbor et Privacy Shield ont été annulés par les tribunaux européens. Max Schrems, qui en a été à l'origine, a déclaré qu'il prévoyait également de contester le dernier accord.

« Nous aurions besoin de changements dans la loi américaine sur la surveillance pour que cela fonctionne et nous ne l'avons tout simplement pas », a déclaré Schrems.

La membre du Parlement européen Birgit Sippel, membre du Parti social-démocrate allemand, a déclaré que « le cadre ne fournit aucune garantie significative contre la surveillance aveugle menée par les agences de renseignement américaines ».

L'approbation de l'accord par la CE a été saluée par la Computer & Communications Industry Association, qui représente Amazon, Apple, eBay, Google, Meta, Twitter et d'autres entreprises technologiques. « La décision d'aujourd'hui signifie que les entreprises de l'UE et des États-Unis auront bientôt à nouveau la pleine sécurité juridique pour transférer des données personnelles à travers l'Atlantique... Les flux de données sont vitaux pour le commerce transatlantique et la relation économique UE-États-Unis, qui représente 5*500*milliards d'euros par an. Néanmoins, les deux économies se sont retrouvées sans directives pour les transferts de données après qu'une décision de la Cour de l'UE a invalidé le cadre précédent en 2020 », a déclaré le groupe.

Sources : Commission européenne, ministère américain du Commerce, Google, Computer & Communications Industry Association

Et vous ?

Que pensez-vous des bases de cet accord ?
Partagez-vous le point de vue de Max Schrems qui souhaite une modification de la loi américaine sur la surveillance pour donner toutes ces chances à cet accord ? Cela est-il susceptible d'arriver selon vous ?

[Anselme45]

Et ben voilà... Comme d'habitude... Les européens montrent les muscles pour au final baisser leur froc face aux américains!

Prochaine étape?

Les américains vont exiger le remboursement avec dommages et intérêts de toutes les amendes que l'UE a facturé aux GAFAM américaines ces dernières années


Si certains en doutaient encore, on voit qui sont les maîtres du monde et qui sont les cocus de l'histoire

[Jon Shannow]

Bof ! De toutes façons, se faire espionner par les USA ou l'UE, ça change quoi ?

[marsupial]

...notamment en limitant l'accès des services de renseignement américains aux données de l'UE à ce qui est nécessaire et proportionné, et en instituant une Cour chargée du contrôle de la protection des données (Data Protection Review Court - DPRC), à laquelle les citoyens de l'Union auront accès.

Ce qui est nécessaire et proportionné implique-t-il l'accès par le FBI en toute illégalité comme on a pu le voir ces dernières années ? Ensuite la DPRC accessible par les européens d'accord mais dans quelles conditions ? A mon avis, seul un avocat comme Max Schrems pourra avoir des voies de recours et invalider cet accord inique encore une fois et qui nous vassalise.
Personnellement, cela ne change rien vis-à-vis des NSA CIA puisque le cloud act permet de fouiller dans les données quel que soit leur emplacement à partir du moment où on a à faire avec une entreprise américaine.

Un élément essentiel du cadre juridique américain consacrant ces garanties est le décret américain sur le renforcement des garanties applicables aux activités de renseignement d'origine électromagnétique menées par les États-Unis (Enhancing Safeguards for United States Signals Intelligence Activities), qui répond aux préoccupations exprimées par la Cour de justice de l'Union européenne dans sa décision Schrems II de juillet 2020.

A partir du moment où un tribunal secret a tout pouvoir sur les données et a autorité suprême dessus, il s'agit de cosmétique puisque ce tribunal ne respecte même pas sa Constitution.

[behel]

Les grands gagnants sont les sociétés américaines qui absorbent déjà nos données et qui vont pouvoir continuer et faire du business dessus.
Ce qui va empêcher société européenne de grandir car les société américaine peuvent se permettre de faire du gratuit pour casser la concurrence où payer des amendes

[yoyo3d]

Pas vraiment une surprise, ils officialisent simplement une pratique douteuse fonctionnant depuis plusieurs années (décennies?)

[Fagus]

Si c'est la Commission qui vient de décider ça, c'est politique. Faut dire qu'avec cette guerre en Europe qui se déroule avec le plus grand intérêt des USA, l'Europe est sous leur tutelle militaire, énergétique , donc sous tutelle tout court.

C'est quand même génial, la Commission obtient le transfert de nos données au profit des USA, contre un accord non-contraignant de ne pas fouiller dedans (si c'est ni auditable ni punissable, c'est facultatif) . La seule excuse de nos dirigeants, c'est d'être corrompus pour passer des accords pareils.

Bof ! De toutes façons, se faire espionner par les USA ou l'UE, ça change quoi ?

certains disent que la guerre économique n'existe pas.

• Les USA ont recours au renseignement pour fouiller dans toute société étrangère en concurrence avec une société américaine pour les contrats au-dessus d'une certaine somme. La société américaine peut alors récupérer le détails des négociations, les secrets industriels, les contacts, et faire une offre un peu meilleure juste ce qu'il faut.
• Si ça ne suffit pas, la société étrangère peut être poursuivie dans le droit américain (bien que non américaine) et amenée à payer une amende si un jour elle a dérogé à une loi américaine, surtout dans un pays non-américain (ex les 9 G€ payés par la BNP aux USA pour avoir commercé avec les Iraniens de mémoire).
• Si ça ne suffit pas, les USA peuvent capturer dans un pays allié les dirigeants de la dite entreprise, les mettre dans une prison au secret, les garder longtemps sans les mettre en inculpation, en échange de la capitulation de la dite société (ex d'un dirigeant d'Alstom -Pierucci - avant son démantèlement au profit de GE avec l'aide active de Macron-l'Américain en passant, ou des dirigeants de Siemens)

[virginieh]

certains disent que la guerre économique n'existe pas. [...]

Comme tu le démontre il n'y a pas de guerre, pour qu'il y en ai une il faudrait une opposition.
C'est juste une domination acceptée par les autres pays (et en premier lieu l'Europe)

[pierre-y]

Quel farce et en plus c'est van der Layen qui a signé le papier. Et le pire c'est que ça ne fait même pas une ligne dans les journaux.

[Stéphane le calme]

Trump remet en question le Privacy Shield : vers une crise des échanges de données entre l'Union européenne et les États-Unis,
les entreprises européennes s'inquiètent

L'administration Trump a récemment mis en péril un accord crucial concernant le transfert de données entre l'Union européenne et les États-Unis. Cet accord, connu sous le nom de "Privacy Shield", permet aux entreprises américaines de recevoir des données personnelles en provenance d'Europe tout en garantissant un niveau de protection adéquat. Cependant, des décisions judiciaires récentes ont remis en question la validité de cet accord, suscitant des inquiétudes au sein du secteur économique.​

Contexte

Les autorités américaines ont exprimé leur intention de modifier les conditions du Privacy Shield, ce qui pourrait entraîner des conséquences graves pour les entreprises européennes et américaines qui dépendent du transfert transatlantique de données. Les secteurs technologiques et financiers, en particulier, pourraient être confrontés à des perturbations majeures si un nouvel accord n'est pas conclu rapidement.​

Face à cette incertitude, les entreprises cherchent des alternatives pour assurer la continuité de leurs opérations tout en respectant les réglementations sur la protection des données. Certaines envisagent de recourir aux clauses contractuelles types proposées par la Commission européenne, tandis que d'autres se tournent vers des solutions de stockage de données localisées pour minimiser les risques liés au transfert international de données.

Un accord bientôt caduque ?

La Fédération de l'industrie allemande (BDI) a mis en garde contre de grandes incertitudes pour les entreprises si le président américain Donald Trump devait supprimer la base juridique du transfert de données entre l'UE et les États-Unis.

« Un transfert de données transatlantique fiable et juridiquement sûr est indispensable pour l'industrie allemande », a déclaré Iris Plöger, membre de la direction de la BDI, au journal Handelsblatt. Si le soi-disant cadre UE-USA sur la confidentialité des données devait échouer, « cela aurait des conséquences désastreuses pour les entreprises et les autorités et entraînerait de grandes dépenses supplémentaires et une insécurité juridique ».

L'accord actuel entre Bruxelles et Washington s'appuie sur des engagements du gouvernement américain, donnés par le président de l'époque, Joe Biden, par le biais d'un « executive order », un décret d'application. Un tel décret peut toutefois être annulé. Cela se produit souvent lorsqu'un nouveau président entre en fonction ou lorsque les priorités politiques changent. Ce qui inquiète les milieux économiques, c'est que Trump avait annoncé, après son entrée en fonction, qu'il allait revoir les décisions de son prédécesseur en matière de politique de sécurité.

Cela concernerait également l'accord sur les données avec l'UE, car il interfère avec le mode de fonctionnement des services de renseignement américains. L'accord a permis de limiter massivement les possibilités d'accès étendues des services aux données personnelles transférées de l'UE vers les entreprises américaines. Ce n'est que grâce à cela qu'il est possible d'effectuer des transferts de données en toute sécurité juridique.

Pour les entreprises, c'est très important. En effet, qu'il s'agisse de données de clients de boutiques en ligne ou de données industrielles sensibles, l'Europe dépend dans de nombreux cas du stockage en nuage des États-Unis : Amazon Web Services (AWS), Microsoft et Google dominent le marché de l'infrastructure informatique en nuage. Le cabinet d'analyse Synergy estime leur part de marché en Europe à 70 %. Aucun des concurrents européens ne dépasse les deux pour cent.

La Cour européenne de justice a déjà annulé à deux reprises des accords transatlantiques sur les données

La Chambre de commerce et d'industrie allemande (DIHK) craint donc elle aussi de « graves conséquences » si Trump annule l'accord sur les données. « Les entreprises de toutes tailles - des groupes aux start-ups - seraient confrontées à des incertitudes juridiques et parfois à des risques de responsabilité », a déclaré le conseiller juridique en chef de la DIHK, Stephan Wernicke.

Pourtant, le cadre juridique en vigueur depuis maintenant près de deux ans pour les entreprises des deux côtés de l'Atlantique était considéré comme une percée importante, après que la Cour de justice de l'Union européenne (CJUE) ait seulement annulé en 2015 l'accord transatlantique « Safe Harbor » et en 2020 son successeur, le « Privacy Shield ».

Les décisions de justice avaient été lancées par le défenseur autrichien des données Max Schrems et les révélations d'Edward Snowden. Le lanceur d'alerte américain avait documenté en 2013 le fait que les services secrets américains comme la NSA et d'autres autorités pouvaient accéder aux serveurs de groupes américains comme Facebook et Google.

Avec le nouveau « Data Privacy Framework », on se considère désormais du côté de la sécurité. L'accord conclu en 2023 remplit les conditions de la CJCE - avec des règles contraignantes qui limitent l'accès des services secrets américains aux données des Européens à un niveau « nécessaire et approprié », comme l'avait déclaré la Commission européenne à l'époque.

De plus, il existe désormais un moyen efficace pour les citoyens européens de porter plainte aux États-Unis en cas de violation. Cela a finalement permis d'obtenir une « décision d'adéquation » qui atteste de normes de protection des données équivalentes entre l'UE et les États-Unis.

Le président américain de l'époque, Biden, a considéré l'accord comme « l'aboutissement de plusieurs années de coopération étroite » entre les États-Unis et l'UE. « Il reflète notre engagement commun en faveur d'une protection forte des données et offrira de plus grandes opportunités économiques à nos pays et à nos entreprises des deux côtés de l'Atlantique ».

Le transfert de données transatlantique va-t-il basculer ? Trump a déjà posé les premiers jalons

En fait, de nombreuses entreprises utilisent leurs données à l'étranger. Dans une enquête menée par l'association numérique Bitkom à la fin de 2023, environ les deux tiers (63%) ont déclaré que cette possibilité d'utiliser quatre sur dix (42%) transférait des données aux États-Unis. Seuls les autres pays de l'UE (49 %) étaient plus communément désignés que le lieu de traitement des données.

Avec la nouvelle administration américaine, cependant, le trafic de données existant est de nouveau incertain. L'administration Trump a eu lieu le 20. Tous les décrets facultatifs au titre du Gouvernement de Biden ont décidé d'être réexaminés et levés dans un délai de 45 jours. Cela s'applique également au décret 14086, qui sert de base à la décision actuelle de l'UE sur l'adéquation.

Trump a déjà créé les premiers faits en torpillant le travail d'un organe central chargé de surveiller l'accord. Selon les médias, tous les représentants du « Privacy and Civil Liberties Oversight Board » (PCLOB) ont été renvoyés, sauf un. Le comité n'ayant pas atteint le quorum nécessaire, il ne peut plus faire son travail jusqu'à nouvel ordre.

« On se venge maintenant du fait que l'accord entre les États-Unis et l'UE n'a pas été mis en œuvre et garanti par une loi parlementaire comme l'exigeaient les défenseurs de la protection des données », a déclaré l'ancien responsable de la protection des données du Bade-Wurtemberg, Stefan Brink. Car chaque président américain « a lui-même le pouvoir de faire échouer à nouveau l'accord ».

Pour Marit Hansen, commissaire à la protection des données du Schleswig-Holstein, la balle est dans le camp de la Commission européenne, qui doit se positionner « à court terme ». Selon elle, cela pourrait également « faire la différence si l'économie numérique américaine s'engageait dans son propre intérêt pour l'accord de protection des données ». Indépendamment de cela, Hansen a conseillé aux entreprises concernées de se pencher à l'avance sur des « stratégies de sortie ».

L'alternative pour un transfert de données sécurisé présente plusieurs inconvénients

C'est également ce que préconise l'experte de la BDI, Plöger. « Les entreprises seraient bien avisées de prendre des dispositions supplémentaires pour le transfert de données vers les États-Unis », a-t-elle déclaré. Elle a proposé une protection par les clauses contractuelles standard de la Commission européenne. Ces clauses doivent aider à satisfaire aux exigences du règlement général sur la protection des données (RGPD). Elles contiennent différentes obligations. Par exemple, les deux parties doivent prendre des « mesures techniques et organisationnelles appropriées » pour garantir la sécurité des données.

Ces clauses présentent toutefois plusieurs écueils. Les experts font remarquer que si elles sont contraignantes pour le responsable du traitement des données et le destinataire, elles ne peuvent pas lier les autorités américaines. De plus, l'utilisation de ces clauses est liée à une charge de travail considérable. Non seulement en raison des exigences bureaucratiques, comme le dit l'ex-protecteur des données Brink, mais aussi en raison des « coûts consécutifs élevés dus aux obligations de contrôle des entreprises ». « Dans l'ensemble, on aboutirait donc à une situation économiquement défavorable qui nuirait aussi considérablement à l'UE », a-t-il déclaré.

Susanne Dehmel, membre de la direction de Bitkom, ne voit aucune raison de céder à la panique. « Les bases juridiques de l'accord sur la protection des données sont intactes et il n'y a pas non plus d'annonces concrètes contraires », dit-elle. Elle reconnaît toutefois que personne ne peut prédire ce que le gouvernement de Trump pourrait mettre en place ou supprimer demain.

L'experte de la BDI, Plöger, espère que la partie américaine verra également les avantages du « Data Privacy Framework ». « Nous plaidons pour que le gouvernement américain maintienne la décision d'adéquation, car après des années de négociations, elle est devenue la base d'un échange transatlantique de données en toute confiance et en toute sécurité juridique ».

Conclusion

La situation actuelle souligne la nécessité d'une coopération étroite entre les autorités américaines et européennes afin de parvenir à un accord solide et fiable sur la protection des données. Un tel accord est essentiel pour maintenir la fluidité des échanges commerciaux transatlantiques et garantir la confiance des consommateurs dans la manière dont leurs données personnelles sont traitées.​

En somme, l'avenir du Privacy Shield est incertain, et les entreprises doivent se préparer à des ajustements potentiels dans leurs pratiques de gestion des données. Une résolution rapide de cette question est cruciale pour l'économie mondiale et la protection des droits des individus en matière de confidentialité des données.

Source : Susanne Dehmel

Et vous ?

Quelles sont les principales conséquences économiques pour les entreprises européennes et américaines si le Privacy Shield est invalidé ou modifié de manière significative ?

Les alternatives comme les clauses contractuelles types ou le stockage localisé des données sont-elles des solutions viables à long terme pour remplacer le Privacy Shield ?

Quelles réformes ou ajustements législatifs devraient être envisagés de part et d'autre de l'Atlantique pour garantir une meilleure protection des données personnelles tout en préservant les échanges commerciaux ?

La situation actuelle met-elle en lumière un manque de coopération entre l’Union européenne et les États-Unis en matière de protection des données, et si oui, quelles actions concrètes pourraient améliorer cette coopération ?

Dans quelle mesure la confiance des consommateurs pourrait-elle être affectée si un nouvel accord sur la protection des données ne voit pas le jour dans un délai raisonnable ?

Le rôle des grandes entreprises technologiques, qui dépendent largement de la collecte de données personnelles, est-il suffisamment pris en compte dans les discussions sur la révision du Privacy Shield ?

Les autorités américaines et européennes devraient-elles adopter une approche plus uniforme concernant les lois de protection des données à l'échelle mondiale pour éviter de nouvelles tensions ?

Quels sont les risques potentiels pour la sécurité des données personnelles des citoyens européens si des solutions alternatives au Privacy Shield ne sont pas mises en place rapidement ?

[smarties]

On gagnerait à héberger nos données en Europe :
- plus touché par le cloud act
- arrêter de donner de l'argent à Jeff BESOS sur son AWS ou GCP ou Azure
- il n'y a pas encore eu de coupure de câble sous-marin mais si ça arrive on aura que nos yeux pour pleurer... Exemple dans un hôpital : Bonjour, je viens pour mon opération... bah non ce n'est pas possible car on ne peut pas accéder à votre dossier car elles sont hébergées aux USA, reprenez RDV dans 1 an si vous n'êtes pas mort. Ou alors dans le même contexte devoir refaire tous les examens à nos frais probablement.
- réduire la surface espionnable