La Commission européenne adopte une nouvelle décision d'adéquation

La Commission européenne a adopté aujourd’hui sa décision d’adéquation concernant le cadre de protection des données entre l’UE et les États-Unis. Cette décision conclut que les États-Unis garantissent un niveau de protection des données adéquat – comparable à celui de l’Union européenne – pour données à caractère personnel, qui sont transmises par l'UE aux entreprises américaines dans le cadre du nouveau dispositif. En vertu de la nouvelle décision d'adéquation, il est possible de données à caractère personnel soient transférées en toute sécurité de l'UE vers les entreprises américaines participant au dispositif, sans qu'il soit nécessaire de prendre des mesures supplémentaires en matière de protection des données.

Le cadre de protection des données UE-États-Unis met en place de nouvelles mesures de sécurité contraignantes afin de répondre à toutes les préoccupations soulevées par la Cour de justice de l’Union européenne, notamment la limitation de l’accès aux données de l’UE par les services de renseignement américains au strict nécessaire et raisonnable, ainsi que la création d’un tribunal de contrôle de la protection des données (Data Protection Review Court – DPRC), auquel les citoyens de l’UE auront accès. Par rapport à l’ancien cadre, le nouveau cadre apporte Bouclier de protection des données apporte des améliorations considérables. Si le DPRC constate que des données ont été collectées en violation des nouvelles mesures de sécurité, il peut Suppression de ces données. Les nouvelles dispositions en matière d'accès des gouvernements aux données complètent les obligations auxquelles seront soumises les entreprises américaines lorsqu'elles importeront des données de l'UE.

La présidente Ursula von der Leyen a déclaré : “ Le nouveau cadre de protection des données entre l'UE et les États-Unis garantira la sécurité des flux de données pour les Européens et offrira une sécurité juridique aux entreprises des deux côtés de l'Atlantique. À la suite de l’accord de principe conclu l’année dernière avec le président Biden, le gouvernement américain a mis en œuvre des engagements sans précédent pour la mise en place de ce nouveau cadre. Aujourd’hui, nous franchissons une étape importante pour donner aux citoyens l’assurance que leurs données sont en sécurité, pour approfondir nos relations économiques entre l’UE et les États-Unis et, dans le même temps, pour réaffirmer nos valeurs communes. Cela montre que la coopération nous permet de résoudre des problèmes complexes. ”

Les entreprises américaines peuvent adhérer au cadre de protection des données UE-États-Unis en s'engageant à respecter un ensemble détaillé d'obligations en matière de protection des données, telles que l'obligation de, données à caractère personnel de les effacer lorsqu'elles ne sont plus nécessaires aux fins pour lesquelles elles ont été collectées, et de continuer à les protéger lorsque données à caractère personnel être partagées avec des tiers.

Les citoyens de l'UE disposeront de plusieurs moyens de déposer plainte en cas de traitement inapproprié de leurs données par des entreprises américaines. Parmi ceux-ci figurent des mécanismes indépendants de règlement des litiges et un panel d'arbitrage, accessibles gratuitement.

En outre, le système juridique américain prévoit une série de garanties concernant l'accès des autorités américaines aux données transférées dans le cadre de ce dispositif, notamment dans le cadre d'enquêtes pénales et à des fins de sécurité nationale. L'accès aux données est limité à ce qui est nécessaire et proportionné pour protéger la sécurité nationale.

Les citoyens de l'UE auront accès à un mécanisme de recours indépendant et impartial concernant la collecte et l'utilisation de leurs données par les services de renseignement américains, notamment une nouvelle instance de contrôle de la protection des données (DPRC). Cette juridiction examinera les plaintes en toute indépendance et y donnera suite en adoptant des mesures correctives contraignantes.

Les mesures de sécurité mises en place par les États-Unis facilitent également, de manière générale, les échanges transatlantiques de données, car elles s'appliquent également lorsque les données sont transférées à l'aide d'autres moyens, tels que Clauses contractuelles types et des règles d'entreprise contraignantes.

Prochaines étapes

Le fonctionnement du cadre de protection des données UE-États-Unis fait l'objet d'évaluations régulières menées par la Commission européenne en collaboration avec des représentants des autorités européennes chargées de la protection des données et des autorités américaines compétentes.

Le premier réexamen aura lieu dans un délai d’un an à compter de l’entrée en vigueur de la décision d’adéquation, afin de vérifier si tous les éléments pertinents ont été pleinement transposés dans le système juridique américain et s’ils fonctionnent efficacement dans la pratique.

Contexte

Article 45, paragraphe 3, du règlement général sur la protection des données (RGPD) confère à la Commission le pouvoir de constater, par un acte d'exécution, qu'un pays non membre de l'UE assure un "niveau adéquat de protection des données" - un niveau de protection des données pour données à caractère personnel, qui correspond pour l'essentiel au niveau de protection en vigueur au sein de l'UE. Les décisions d'adéquation permettent de données à caractère personnel provenant de l'UE (ainsi que de la Norvège, du Liechtenstein et de l'Islande) vers un pays tiers, sans autre obstacle.

Suite à l'annulation de la décision d'adéquation précédente concernant l'UE-US Bouclier de protection des données À la suite d'un arrêt rendu par la Cour de justice de l'Union européenne, la Commission européenne et le gouvernement américain ont entamé des négociations en vue d'un nouvel accord-cadre visant à répondre aux questions soulevées par la Cour.

En mars 2022, la présidente von der Leyen et le président Biden ont annoncé qu’ils étaient parvenus à un accord de principe sur un nouveau cadre transatlantique régissant les flux de données, à l’issue de négociations entre le commissaire Reynders et la ministre américaine Raimondo. En octobre 2022, le président Biden a signé un décret visant à “ renforcer les mesures de sécurité relatives aux activités des services de renseignement d'interception américains ”, complété par des règlements adoptés par le procureur général Garland.