L'échange transatlantique de données revêt une importance fondamentale pour le commerce et l'économie, mais il est depuis des années au cœur des débats juridiques et en matière de protection des données. La mise en place du cadre de protection des données UE-États-Unis (DPF) en 2023 vise à établir une nouvelle base pour un transfert sécurisé des données. Le Comité européen de la protection des données (CEPD) s'est désormais penché sur la mise en œuvre du Décision d'adéquation pour les États-Unis et a tiré un premier bilan intermédiaire.
Voici les progrès réalisés dans la mise en œuvre du DPF
Suite à l'arrêt de la Cour de justice des Communautés européennes (CJCE) dans l'affaire "Schrems II", des lacunes importantes ont été constatées dans l'accord de protection des données en vigueur jusqu'à présent, le Bouclier de protection des donnéesa constaté. Le DPF a été conçu pour répondre aux critiques de la CJUE et pour harmoniser les normes de protection des données entre l'UE et les États-Unis.
Le premier contrôle du FAP effectué par l'EDSA fait apparaître des progrès, notamment sur les points suivants :
- Auto-certification des entreprises : le ministère américain du Commerce a pris toutes les mesures nécessaires pour mettre en œuvre le processus de certification. Cela comprend la création d'un nouveau site web, la mise à jour des procédures, la collaboration avec les entreprises et la mise en place d'actions de sensibilisation. À ce jour, plus de 2 800 organisations ont été certifiées.
- Application de la loi : le DPF prévoit une procédure de recours à plusieurs niveaux, comprenant notamment une procédure d'arbitrage indépendante. Des lignes directrices détaillées relatives au traitement des recours ont été publiées des deux côtés de l'Atlantique.
Inquiétudes quant à l'accès aux données par l'État
Selon l'EDSA, les contrôles effectués par les autorités américaines pour vérifier le respect des principes du DPF restent toutefois insuffisants. Le faible nombre de plaintes reçues à ce jour dans le cadre du DPF montre à quel point il est important que les autorités américaines mettent en place des mesures de surveillance afin de vérifier si les entreprises certifiées DPF respectent les principes fondamentaux du DPF. L'EDSA réclame donc un renforcement des contrôles.
L'un des principaux enjeux de cet examen concerne l'accès des autorités américaines, en particulier des services de renseignement, aux données. À cet égard, les principes inscrits dans le DPF relatifs à la Nécessité et la proportionnalité sont déterminantes. Le décret présidentiel n° 14086 a été considéré comme un progrès, mais des inquiétudes subsistent :
- Les États-Unis continuent d'autoriser des mesures de surveillance de masse sans autorisation préalable indépendante, ce qui est contraire aux exigences de la Cour de justice de l'Union européenne.
- La section 702 du U.S. Foreign Intelligence Surveillance Act (FISA) régit la surveillance des citoyens non américains en dehors du territoire américain, par exemple par la NSA. Ici, l'étendue des mesures de surveillance a été considérablement élargie, ce qui soulève des questions de Transparence et la prévisibilité.
L'EDSA souligne que ces questions devraient être traitées en priorité lors des prochains examens.
Conseil de lecture : La Commission européenne adopte une nouvelle décision d'adéquation pour garantir la sécurité des transferts de données entre l'UE et les États-Unis
Application du droit et recours
La nouvelle Cour de contrôle de la protection des données (DPRC) offre aux citoyens de l'UE de meilleures possibilités de faire valoir leurs droits. Il subsiste toutefois des défis :
- Manque de Transparence: Les décisions du DPRC ne peuvent pas faire l'objet d'un recours, ce qui limite l'obligation de rendre des comptes.
- Aucun test pratique n'a été effectué : Jusqu'à la révision de juillet 2024, aucune Plainte n'ont pas été soumis, de sorte que le fonctionnement réel des mécanismes n'a pas pu être testé.
À l'issue de son examen, l'EDSA a formulé des recommandations concrètes, parmi lesquelles
- Renforcement de l'application proactive de la réglementation : les autorités américaines, telles que le ministère du Commerce et la Commission fédérale du commerce, devraient intensifier leurs activités de surveillance.
- Clarification de la législation Définitions: les termes peu clairs tels que "fournisseur de services de communications électroniques" dans la section 702 de la FISA doivent être clarifiés afin de garantir la sécurité juridique.
- Un contrôle renforcé de l'accès aux données : l'utilisation des données disponibles dans le commerce par les services de renseignement, en particulier, devrait faire l'objet d'une réglementation et d'un contrôle plus stricts.
Le prochain examen du DPF devrait avoir lieu d'ici trois ans afin de traiter ces points en suspens et de garantir la poursuite des progrès.
Conclusion : Le cadre de protection des données UE-États-Unis marque une avancée importante vers un échange transatlantique sécurisé des données, mais il reste confronté à des défis de taille. Il reste à voir si, même sous le nouveau gouvernement, les États-Unis tiendront compte des préoccupations de l’EDSA afin de garantir à long terme un niveau de protection comparable aux normes de l’UE en matière de protection des données.
German 
English 
Italian 
French