La Cour de justice européenne a abattu le 16 juillet une grande partie du cadre réglementaire qui régit les échanges de données personnelles entre l’Europe et les Etats-Unis.
Un niveau de protection inférieur aux Etats Unis
La Cour considère que le niveau de protection des données personnelles aux Etats Unis est inférieur à celui assuré en Europe. D’un point de vue légal, les entreprises doivent cesser de transférer des données personnelles vers les Etats Unis si elles n’utilisaient que le cadre légal « Privacy Shield ». Les entreprises concernées par ces transferts – type Facebook – doivent proposer des mesures ad hoc afin de protéger les données personnelles aux Etats-Unis.
L’Europe prépare de nouveaux mécanismes afin de respecter les exigences de la Cour de justice
A la suite de l’arrêt de la Cour de justice européenne, le 16 juillet, les entreprises qui transfèrent des données personnelles de l’Europe vers les Etats-Unis – à l’instar de Facebook – doivent cesser. « Dès aujourd’hui, les sites internet américains ne peuvent plus recevoir de données personnelles européennes sans contrevenir à la règlementation, s’ils avaient recours uniquement au Privacy Shield » prévient Patrice Navarro.
Un niveau de protection des données insuffisant
L’avocat considère que la Cour de justice européenne a jugé que les lois américaines qui permettent l’accès et l’utilisation par les autorités américaines des données personnelles importées depuis l’Union Européenne ne permettent pas de garantir un niveau de protection des données suffisant. Par conséquent, la Cour a invalidé la décision d’adéquation « Privacy Shield » adoptée en 2016 par la Commission européenne.
L’exportateur et l’importateur de données doivent vérifier le niveau de protection des données personnelles du pays destinataire
La Cour de justice de l’Union européenne a rendu le 16 juillet 2020 un arrêt majeur, dit « Schrems II », invalidant le Privacy Shield et « remettant en question la possibilité de s’appuyer sur les clauses contractuelles types pour les transferts de données vers les États-Unis » pointe Patrice Navarro.
Mettre en place des mesures adéquates
Pour pouvoir continuer, « ces sites doivent mettre en place immédiatement d’autres mesures permettant de garantir une protection suffisante aux données et vérifier dans quelle mesure ils sont soumis aux lois de surveillance [NDLR : existantes aux Etats Unis] pointées par la Cour » ajoute-t-il.
L’enjeu est de mettre à jour les mécanismes existants pour permettre des transferts de données vers les Etats Unis
L’avocat rappelle le contexte de la décision de la Cour de justice européenne. Les réglementations européenne et française ne permettent le transfert de données hors de l’Union européenne et de l’Espace Economique Européen que si un niveau de protection des données suffisant et approprié est assuré. Ces transferts doivent donc être encadrés en utilisant les outils juridiques prévus par ces règlementations. Pour pouvoir transférer les données personnelles vers les Etats Unis, les sites internet américains ont majoritairement recours à deux de ces outils : le « Privacy Shield » et « Les Clauses Contractuelles Types » de la Commission Européenne.
