Expertises des Systèmes d'information - Septembre 2020 - N°460 - Le mensuel du droit de l'informatique et du multimédia - 296

aux lois américaines de ne pas encadrer les données personnelles de
manière substantiellement équivalente à celle requise par le RGPD, du
fait que les programmes de surveillance ne sont pas limités au strict
nécessaire. Elle ajoute que le mécanisme de médiation n'offre pas non
plus des garanties substantiellement
équivalentes aux nôtres, notamment en termes d'indépendance.
La Cour a cependant jugé valide
la décision de 2010/87 relative aux
clauses contractuelles types pour
le transfert des données personnelles vers des sous-traitants établis
dans des Etats tiers. Ce ne veut pas
dire que les clauses contractuelles
établies sur cette base offrent toutes
les garanties nécessaires.

Suspendre
les transferts
Si le Privacy Shield a été annulé,
ce n'est cependant pas le seul
outil juridique à être impacté par
la décision européenne. Ceux
qui se pensent à l'abri avec leurs
clauses contractuelles types ou
leurs règles d'entreprises contraignantes (BCR) doivent absolument
se remettre au travail et réévaluer
leur dispositif. Car ces outils juridiques n'offrent aucun rempart
si des garanties appropriées ne
sont pas apportées (droits opposables et voie de recours effectif)
pour compenser le défaut d'adéquation de la loi étrangère aux
principes du RGPD. En l'absence
de décision d'adéquation, l'article 46 du RGPD prévoit en effet
que « le responsable du traitement ou le sous-traitant ne peut
transférer des données à caractère personnel vers un pays tiers
ou à une organisation internationale que s'il a prévu des garanties appropriées et à la condition
que les personnes concernées
disposent de droits opposables et
de voies de droit effectives ». Ces
garanties appropriées peuvent
être fournies par des règles d'entreprise contraignantes (BCR)
ou des clauses types de protection des données adoptées par
la Commission.

296

Les responsables de traitement
doivent
donc
prendre
des
mesures pour le garantir. Et si ce
n'est pas le cas, il est impératif
de suspendre tous transferts,
au risque de faire l'objet d'une
plainte devant la Cnil ou de voir sa
responsabilité engagée.
Comment procéder pour effectuer
des transferts en toute légalité dans
le cadre des clauses contractuelles
types ou des BCR ? Quelles
mesures adopter pour pallier les
faiblesses du droit américain ou
d'un autre droit étranger non
adéquat ? La CJUE ne le dit pas. Il
faudra attendre que les autorités
de contrôle européennes et le
Comité européen à la protection
des données (CEPD) apportent
des réponses précises. Le Comité
a annoncé dans une FAQ du
23 juillet 2020 qu'il publierait des
orientations précises. Quant à la
Commission européenne, elle a
annoncé dans un communiqué
du 24 juin 2020 qu'elle était en
train de travailler sur la mise à jour
des clauses contractuelles types.
Des
incertitudes
juridiques
pèsent donc aujourd'hui sur les
flux transatlantiques de données
personnelles mais aussi vers des
pays hors UE qui ne font pas l'objet
d'une décision d'adéquation. Or, la
responsabilité des organisations
peut être engagée, en cas de
transfert illicite. Puisque la décision
de la Cour est d'application
immédiate,
les
organisations
concernées doivent se préoccuper
très vite de la question.
Avant tout, il convient d'identifier
l'existence de flux de données
personnelles vers les Etats-Unis,
leur base légale, les partenaires
américains clairement soumis
à l'obligation de fournir au
gouvernement américain des
données à caractère personnel
concernant des personnes se
trouvant dans l'UE, en vertu de lois
telles que la FISA 702 ou l'executive
order 12.333. Si les échanges se
font dans le cadre des clauses
contractuelles types, il faut se
poser la question de l'existence
des mesures appropriées pour
compenser le déficit de protection
EXPERTISES Septembre 2020

des données des lois américaines
ou d'ailleurs. Ces mesures peuvent
consister en la mise en place
du chiffrement des données
sans transmettre la clé, la
pseudonymisation des données,
à condition de ne pas fournir des
correspondances au destinataire
des données, la minimisation des
données, leur hébergement dans
un Etat de l'UE, etc. Si le partenaire
américain continue de se fonder sur
le Privacy Shield alors qu'il relève
des lois américaines qui autorisent
la surveillance des données
personnelles européennes sans
possibilités de mettre en place
des garanties, les responsables
de traitement européens doivent
absolument suspendre le transfert
de données.
Il reste l'ultime recours au régime
dérogatoire de l'article 49 du
RGPD qui ne peut être actionné
qu'au cas par cas ou de façon très
occasionnelle. Ce texte prévoit
une dérogation à l'interdiction du
transfert, si la personne concernée
y consent, en toute connaissance
des risques qu'elle encourt ou
dans le cadre de circonstances
particulières occasionnelles, ne
touchant qu'un nombre limité de
personnes, la constatation d'un
intérêt public important, etc. Ces
motifs étant des exceptions, ils
doivent être limités à des situations
spécifiques et soumis au critère de
stricte nécessité.
La trêve estivale est terminée sans
offrir de solutions sécurisantes
pour les échanges transatlantiques,
potentiellement
bloqués.
En
initiant ces plaintes dans tous les
pays de l'UE et trois de l'EEE, Noyb
pousse les autorités à accélérer leur
réflexion et à donner des pistes de
solution, avant que la Commission
s'en charge. Une nouvelle saison de
la série des flux transfrontières des
données commence. Une période
d'incertitude juridique s'ouvre.
Sylvie ROZENFELD

Expertises des Systèmes d'information - Septembre 2020 - N°460 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Septembre 2020 - N°460 - Le mensuel du droit de l'informatique et du multimédia