Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412 - 129

doctrine

Vie privée

Privacy Shield : une avancée et
un test pour l'unité de l'Europe
Le 2 février dernier, la Commission européenne a
annoncé que les négociations sur un nouveau cadre
pour les transferts de données vers les Etats-Unis
avaient abouti à un accord. Les documents formant
le paquet « bouclier vie privée UE-États-Unis »
ont été publiés le 29 février. Cet accord intervient
in extremis à la suite de l'invalidation du Safe
Harbor prononcée par la CJUE le 6 octobre 2015. Le
G29 (groupement représentant l'ensemble des Cnil
européennes) avait fait injonction aux autorités
européennes et américaines de parvenir à un accord
sur un nouveau cadre avant le 31 janvier 2016.

L

a renégociation du cadre
des transferts de données
à caractère personnel vers
les Etats-Unis fait l'objet
de discussions depuis 2013 et les
révélations d'Edward Snowden sur
les programmes de surveillance de
masse. Les autorités européennes et
américaines étaient parvenues à un
premier accord sur l'encadrement des
transferts de données dans le cadre de
la coopération judiciaire et policière
au mois de septembre 2015 (l'Umbrella
Agreement). La mise en place de cet
accord était subordonnée à l'adoption
d'une loi ouvrant le droit aux résidents
européens de saisir les juridictions
américaines sous certaines conditions
(le Judicial Redress Act) . Barack
Obama a signé cette loi le 24 février
dernier. L'affaire Schrems a précipité
l'issue des négociations.

LE PRIVACY SHIELD :
UN ACCORD POLITIQUE
ET UN PROCESSUS
D'ADOPTION COMPLEXE
Le Privacy Shield est constitué d'un
ensemble d'engagements et de
garanties permettant de renforcer la
protection des données à caractère

personnel transférées vers les EtatsUnis et d'encadrer les flux de données.
Ce paquet est constitué des documents
suivants :
■ une communication de la
Commission européenne au
Parlement et au Conseil exposant
les raisons de l'adoption du Privacy
Shield ;
■ un projet de décision
d'adéquation de la Commission ;
■ sept annexes reprenant les
engagements pris par les autorités
américaines.
A ce stade, ces documents ne font
qu'acter l'existence d'un accord
politique entre l'Union européenne et
les Etats-Unis, accord qui sert lui-même
de base à la proposition de décision
d'adéquation de la Commission
européenne. Seule cette décision
disposera d'une valeur normative et
pourra servir de fondement juridique
aux transferts de données vers les
Etats-Unis.

La décision d'adéquation : la
clé de voûte du Privacy Shield
Dans l'affaire Schrems, La CJUE
n'a pas annulé le mécanisme du
Safe Harbour en tant que tel, mais
la décision d'adéquation prise par

EXPERTISES AVRIL 2016

la Commission européenne en
2000. Pour mémoire, la Commission
européenne
est
compétente
pour adopter des « décisions
d'adéquation » en vertu de l'article
25 de la directive 95/46/CE. La
Commission peut constater qu'un
Etat tiers assure un niveau de
protection adéquat « en raison de
sa législation interne ou de ses
engagements internationaux en vue
de la protection de la vie privée et
des libertés et droits fondamentaux
des personnes ». Les transferts de
données vers les Etats ayant fait
l'objet d'une décision d'adéquation
ne sont pas soumis à l'autorisation
des Cnil.
Dans sa décision, la CJUE avait
reproché à la Commission de n'avoir
analysé que les engagements des
entreprises adhérant au Safe Harbour
sans tenir compte de l'intégralité
du cadre juridique applicable aux
données transférées vers les EtatsUnis. La CJUE a en particulier souligné
que la Commission européenne
n'avait pas pris en compte l'absence
de limitations au droit d'ingérence
des autorités américaines et de
l'absence de recours pour les citoyens
européens.

129
Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Avril 2016 - n°412
