Le Contrôleur européen de la protection des données, Giovanni Buttarelli (“CEPD”), s’est exprimé sur le Privacy Shield le 30 mai 2016 (Opinion 4/2016 ; PDF). Il en arrive notamment à la conclusion suivante :
Le projet de Privacy Shield peut être un pas dans la bonne direction, mais tel qu’il est actuellement formulé il n’inclut pas suffisamment, à notre avis, tous les moyens appropriés pour protéger les droits individuels de l’UE à la vie privée et à la protection des données, y compris en ce qui concerne les recours judiciaires. Des améliorations significatives sont nécessaires si la Commission européenne souhaite adopter une décision appropriée.. En particulier, l’UE devrait obtenir des réassurances supplémentaires en termes de nécessité et de proportionnalité, au lieu de légitimer l’accès de routine aux données transférées par les autorités américaines sur la base de critères ayant une base légale dans le pays destinataire, mais pas en tant que tels dans l’UE, comme affirmé par les traités, les décisions de l’UE et les traditions constitutionnelles communes aux États membres.
En outre, à l’ère de la haute hyperconnectivité et des réseaux distribués, l’autorégulation par des organisations privées, ainsi que la représentation et les engagements des pouvoirs publics, pourraient jouer un rôle à court terme mais ne suffiraient pas à garantir les droits et les intérêts des individus et à satisfaire pleinement les besoins d’un monde numérique globalisé où de nombreux pays sont désormais équipés de règles de protection des données.
Par conséquent, une solution à plus long terme serait la bienvenue dans le dialogue transatlantique, afin d’inscrire également dans le droit fédéral contraignant au moins les principes fondamentaux des droits à être clairement et concrètement identifiés, comme c’est le cas avec d’autres pays non membres de l’UE qui ont été ’strictement évalués’ comme assurant un niveau de protection adéquat ; ce que le CJUE a exprimé dans son jugement Schrems comme signifiant ‘essentiellement équivalent’ aux normes applicables en vertu du droit de l’UE, et qui, selon le parti de travail Article 29, signifie contenant ‘l’essence des principes fondamentaux’ de la protection des données
Le CEPD remarque également que le projet de décision d’adéquation pour le Privacy Shield est basé sur la directive sur la protection des données, alors que le RGPD entrera en vigueur en 2018.