Comme annoncé précédemment, le Comité européen de la protection des données (CEPD) a publié, en date du 10 novembre 2020, des recommandations plus détaillées sur la manière dont les exportateurs de données qui souhaitent continuer à transférer des données personnelles vers des pays tiers en dehors de l’EEE (pays tiers) peuvent, conformément au Arrêt Schrems II doivent procéder (Recommandations 01/2020 sur les mesures qui complètent les outils de transfert pour assurer la conformité avec le niveau de protection des données personnelles de l’UE).
Dans l’arrêt Schrems II, la Cour de justice des Communautés européennes (CJCE) a constaté que le Privacy Shield UE-USA était caduc, que le transfert de données vers un pays tiers restait possible sur la base des clauses contractuelles standard (CCS), mais que des mesures de protection supplémentaires étaient éventuellement nécessaires. Il les a maintenant concrétisées dans les recommandations publiées.
Dans ce contexte, l’EDSA recommande une approche en six étapes :
- “Connaître ses transferts” : détermination des transferts de données concernés ;
- “Vérifie l’outil de transfert auquel ton transfert se réfère”: Déterminer les garanties sur la base desquelles les transferts de données concernés sont effectués ;
- “Évaluer la loi ou la pratique du pays tiers” : examen des dispositions légales étrangères et des pratiques des autorités susceptibles de compromettre le respect des garanties (p. ex. accès étendu et disproportionné aux données personnelles par les autorités locales) ;
- “Identifier et adopter des mesures complémentaires“Détermination des mesures supplémentaires nécessaires pour respecter les dispositions du RGPD lors de la transmission des données ;
- “Effectuer toute démarche formelle de procédure” : mise en œuvre des mesures supplémentaires, le cas échéant en consultant les autorités de surveillance compétentes (p. ex. en vérifiant si les techniques de cryptage mises en œuvre satisfont aux exigences d’une transmission sécurisée) ;
- “Réévaluez votre transfert de données à des intervalles appropriés” : vérifier régulièrement si les mesures prises répondent toujours aux exigences.
L’accent est mis sur l’examen de l’ordre juridique étranger (étape 3) et des mesures à mettre en œuvre sur la base de celui-ci (étape 4).
Dans l’annexe 2, l’EDSA présente ensuite, à l’aide de différents scénarios (use cases), des exemples d’utilisation de l’Internet. mesures de protection possibles qui garantissent une transmission des données conforme au RGPD, en plus de la garantie donnée par la loi. Art. 46 RGPD (concrétisation de l’étape 4 ci-dessus ; on y trouve également des références au droit américain (étape 3).
L’EDSA mentionne en particulier les mesures suivantes, dont certaines sont plus détaillées :
- technique MesuresCes mesures ne sont toutefois pas nécessairement suffisantes, par exemple lorsqu’un fournisseur de services informatiques en nuage doit accéder à des données claires dans ou depuis un État disposant de possibilités d’accès excessives ou lorsqu’une société étrangère du groupe a besoin de données claires à des fins commerciales communes. Voici quelques exemples de telles mesures :
- des solutions state-of-the-art robustes et correctement mises en œuvreCryptage, par exemple
- de données avant leur transfert vers un hébergeur étranger, l’EDSA semblant exiger que la clé soit gérée par le client ou par un pays situé dans l’EEE ou dans un pays offrant une protection adéquate ;
- des données en cours de transport (éventuellement en combinaison avec un cryptage des données de bout en bout) lorsqu’elles ne font que transiter par un pays tiers ;
- Pseudonymisation des données avant leur transfert (par exemple à des fins de recherche), dans la mesure où des informations suffisantes pour la ré-identification sont disponibles uniquement pour l’exportateur – et non pour des autorités étrangères -, sont conservées dans un État de l’EEE ou dans un État offrant un niveau de protection adéquat et sont protégées par des mesures suffisantes.
- des solutions state-of-the-art robustes et correctement mises en œuvreCryptage, par exemple
- Mesures contractuellesLes États membres peuvent prévoir des mesures de protection contre les risques liés à l’utilisation d’Internet, telles que des mesures visant à
- l’obligation de fournir des mesures techniques de se rencontrer ;
- Obligation d’information de l’importateur en cas d’intervention des autorités (qui ne peuvent toutefois pas faire face au risque si le droit local respecte les “European Essential Guarantees”) ;
- Assurances de l’importateur, par exemple qu’il n’a pas installé de portes dérobées, qu’il n’a pas facilité l’accès aux données personnelles ou que son droit local n’exige pas d’installer des portes dérobées ou de donner accès aux données personnelles d’une autre manière (par exemple en remettant une clé) ;
- élargi Droits d’examen des Eporteurs (audit) ;
- l’obligation d’informer sur les accès des autorités informer ou qu’aucun accès n’a eu lieu jusqu’à un certain moment (“Warrant Canary„);
- Obligations de l’importateur concernant certaines ActionsIl est important d’épuiser les voies de recours contre les ordres de restitution, d’attirer l’attention de l’autorité requérante sur les limites prévues par le RGPD et d’informer l’importateur des accès ;
- Mesures pour Protection des personnes concernéesL’obligation d’informer les personnes concernées de l’accès aux données par les autorités et d’aider les personnes concernées à faire valoir leurs droits.
- Mesures organisationnellesPar exemple, mise en œuvre de politiques, de processus et de normes de l’exportateur de données, que l’importateur de données doit également respecter, comme suit :
- Politiques internes au groupe concernant les transferts transfrontaliers ;
- Documentation des accès ou des demandes par l’importateur et information correspondante de l’exportateur (et, sur demande, des personnes concernées) ;
- la publication régulière de rapports de transparence ;
- Renforcer les mesures existantes pour minimiser les données ;
- Processus d’implication du délégué à la protection des données, du service juridique et de l’audit interne, le cas échéant ;
- l’application de normes strictes en matière de sécurité et de protection des données (par exemple, les normes ISO) ;
- Adopter et examiner régulièrement des directives internes pour évaluer l’adéquation des mesures.
En d’autres termes, les exigences en matière de garanties supplémentaires sont élevées. Mais surtout, la question de savoir quelles mesures ou quelles combinaisons de mesures peuvent offrir une protection suffisante dans quelles circonstances reste ouverte. Les recommandations de l’EDSA ne sont donc pas d’une grande aide pour les praticiens.