Par une décision du 16 juillet, la Cour européenne de justice remet en cause l’usage des dispositifs légaux – baptisés Privacy Shield – qui régissent le transfert de données personnelles entre l’Europe et les Etats-Unis.
La Cour invalide la décision 2016/1250 relative à l’adéquation de la protection assurée par le bouclier de protection des données UE-États-Unis en raison du risque que font peser les programmes de surveillance américains sur la protection de ces données. En revanche, la Cour juge que la décision 2010/87 de la Commission relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers est valide.
A la suite de cette décision, Věra Jourová, la Commissaire européenne en charge du dossier, déclare pour sa part que les clauses standard actuelles demeurent un outil valide pour le transfert des données personnelles vers un pays tiers. A l’origine de cette remise en cause juridique, on trouve Max Schrems un juriste autrichien qui s’inquiète du transfert de ses données personnelles gérées par Facebook sur des serveurs aux Etats-Unis.
Face à la réaction de Věra Jourová, Max Schrems indique pour sa part que la Commissaire européenne ignore une seconde fois la décision de la Cour de justice européenne. Pour lui, le jugement est clair et on ne peut plus utiliser les SCC (Standard Contractual Clauses) – les clauses standard actuelles – et qu’il n’existe pas de boîte à outils à utiliser quand une entreprise américaine dépend du cadre Fisa (Foreign Intelligence Surveillance Act) et similaire. Il se moque même de Facebook qui « fait bon accueil » à la décision de la Cour de justice européenne, « alors qu’ils ne peuvent plus utiliser le Privacy Shield ni les clauses contractuelles standard ».
Dans la foulée de la décision de la Cour de justice européenne, la BSA (Business Software Alliance) qui défend les intérêts des éditeurs de logiciels, américains en tête dont les géants Microsoft, Oracle, IBM, Salesforce et Adobe, s’inquiète. « La décision prise aujourd’hui concernant le bouclier de protection des données créera des défis pour plus de 5 300 entreprises, dont 70% sont des PME » déclare le Président de la BSA.
De nouvelles clauses contractuelles à prévoir
Pour le cabinet d’avocats spécialisés Linklaters, on devrait voir apparaître des clauses contractuelles spécifiques pour répondre au risque juridique créé. « La décision d’invalidité du Privacy Shield n’interdit pas les transferts de données vers les Etats-Unis » réagit Sonia Cissé, avocate spécialisée chez le cabinet britannique Linklaters. « Cette décision d’invalidité impose que les entreprises utilisant ce mécanisme, comme Facebook par exemple, mettent rapidement en place des solutions alternatives telles que des clauses contractuelles types, maintenant accompagnées d’une évaluation du risque du transfert, comme elles le font pour les transferts vers d’autres pays non adéquats » précise-t-elle.
Un certain délai devrait intervenir avant cette évolution. Pour l’avocate spécialisée, « bien que les autorités de protection des données ne puissent pas accorder de ‘délai de grâce’ en tant que tel, elles pourraient bien adopter une approche progressive pour faire appliquer les nouvelles exigences ». Elle rappelle l’exemple de l’annulation du Safe Harbor en 2015. « Les autorités de protection des données avaient indiqué qu’elles ne prendraient pas de mesures avant plusieurs mois pour permettre aux responsables du traitement de prendre de nouvelles dispositions » dit-elle. Dès lors, une plateforme telle que Facebook devra « rapidement », c’est-à-dire dans un délai qui ne devrait pas excéder quelques mois, mettre en place des clauses contractuelles types, mais ne devrait en aucun cas cesser ses transferts vers les Etats-Unis, pense l’avocate.
