- L’arrêt de la CJCE “Schrems II” a déclaré le Privacy Shield UE-US inefficace et exige une évaluation des risques (Transfer Impact Assessment) pour les transferts vers des pays tiers.
- Le BfDI a publié un schéma de contrôle pour les transferts vers des pays tiers qui ne concrétise guère le contenu des TIA, mais qui encourage la discussion et la structuration des exigences.
Comme on le sait, dans l’arrêt “Schrems II”, la CJCE a déclaré que le Privacy Shield UE-US était inefficace et que les clauses contractuelles standard pouvaient continuer à être utilisées ; mais qu’en cas de transfert à l’étranger, une évaluation des risques était nécessaire (que l’on peut appeler “Transfer Impact Assessment”, “TIA”) et qu’en conséquence, des mesures supplémentaires – c’est-à-dire en plus des clauses contractuelles standard – pouvaient être nécessaires, ces mesures pouvant être de nature technique ou organisationnelle.
Dans ce contexte, la question de savoir quels points doivent être inclus dans l’AIT reste ouverte. La CJCE n’a pas donné beaucoup d’informations concrètes à ce sujet, tout comme les autorités de contrôle à la suite de “Schrems II”. Le Commissaire fédéral allemand à la protection des données et à la liberté d’information (BfDI ; responsable de la protection des données publiques) a maintenant publié un Schéma de contrôle pour les transferts vers des pays tiers qui, bien que ne concrétisant guère le contenu de l’AIT, permet de structurer quelque peu la discussion.