La nouvelle est tombée par un arrêt majeur de la Cour de justice de l’Union européenne (CJUE) du 16 juillet 2020 dans l’affaire dite « Schrems II » : la CJUE invalide la décision de la Commission européenne relative au Privacy Shield, cinq ans après l’invalidation du Safe Harbor.
1. L’invalidation du Privacy Shield
L’invalidation du Privacy Shield ne repose pas sur un décalage entre les pratiques de protection de l’industrie européenne de la donnée et celles de ses concurrents (et en particulier celles des géants du numérique), mais sur les pratiques du gouvernement des États-Unis et, notamment, sur sa politique de surveillance généralisée et ses incidences sur la protection des données personnelles des citoyens européens.
La CJUE énonce clairement que la décision instaurant le Privacy Shield, à l’instar de la décision relative au Safe Harbor, consacre « la primauté des exigences relatives à la sécurité nationale, à l’intérêt public et au respect de la législation américaine », ce qui constitue un risque pour les droits fondamentaux des personnes dont les données sont transférées vers les États-Unis.
La Cour invalide donc cette décision en précisant que l’existence de programmes de surveillance empêche les entreprises américaines de respecter la réglementation européenne. Elle reconnaît ainsi l’existence de ces programmes, relevant de la sécurité nationale, et analyse leurs fondements (l’article 702 FISA et l’Executive Order 12333 qui encadrent les programmes PRISM et UPSTREAM) pour en déduire qu’ils n’offrent pas « les limitations et les garanties nécessaires » ni « une protection juridictionnelle effective » contre de telles ingérences.
Au final, c’est l’opacité et le caractère arbitraire et massif de ces programmes qui est sanctionné par la Cour au travers de l’argument d’absence de proportionnalité. La Cour rappelle que les autorités européennes sont « tenues de s’acquitter de [leur] responsabilité de veiller à ce que le RGPD soit pleinement appliqué avec toute la diligence requise ».
Cet arrêt marque un « changement fondamental » et ouvre la réflexion sur l’ensemble des transferts de données vers les pays tiers, en particulier les fameux Five Eyes. Au-delà, la CJUE consacre la portée extraterritoriale du RGPD et impose aux programmes de surveillance de prévoir des voies de recours effectives pour les citoyens européens.
2. Quels impacts sur la conformité ?
La décision a invalidé le Privacy Shield mais pas la décision relative aux clauses contractuelles types de la Commission européenne. Il est donc toujours possible de fonder un transfert de données sur ces clauses ; toutefois, la Cour précise qu’elles doivent présenter un haut niveau de garantie. Il est par conséquent nécessaire :
- pour l’ensemble des acteurs qui se fondaient sur le Privacy Shield pour des transferts internationaux de données, d’inclure ces clauses contractuelles types ou des instruments équivalents (codes de conduite approuvés, règles d’entreprise contraignantes) ;
- pour les responsables de traitement utilisant les produits ou services d’entreprises américaines (notamment des GAFA), de vérifier que ces entreprises ont substitué au Privacy Shield un autre instrument valable et effectif et, à défaut, d’envisager le changement de leurs fournisseurs défaillants.
Article rédigé par Valentin Schabelman & Frédéric Duflot — Examin.
