- Le décret exécutif américain doit s’attaquer aux lacunes en matière de protection des données (Schrems II) en prévoyant des mesures de protection pour le renseignement d’origine électromagnétique et la surveillance des transmissions.
- Nouvelles voies de recours introduites : le Civil Liberties Protection Officer et le Data Protection Review Court indépendant doivent offrir des mécanismes de plainte et d’examen.
- Critique (noyb) : La pénétration de masse de la surveillance demeure, la DPRC n’est pas un véritable tribunal, les personnes concernées ne reçoivent souvent pas de notification transparente.
Le président Joe Biden a signé hier, le 7 octobre 2022, un Executive Order qui constitue l’une des pierres angulaires du “Cadre de protection des données UE-USA“ („EU‑U.S. DPF” ou “Cadre transatlantique de protection des données„, „TADPF”). La seconde serait la reconnaissance par l’UE, puis certainement par le PFPDT, du niveau de protection suffisant aux États-Unis dans le champ d’application du TADPF.
Le TADPF était annoncée en mars 2022 après presque deux ans de négociations entre les Etats-Unis et l’UE. Elle est censée combler le vide laissé par la CJUE avec Schrems II a déchiré.
La Cour de justice des Communautés européennes avait Arrêt Schrems II a notamment critiqué deux points de la législation américaine :
- que l’accès aux données par l’État soit conforme aux exigences des droits fondamentaux en vigueur en Europe. absence de base légale:
180 … Dans ces conditions, cette disposition … n’est pas de nature à assurer un niveau de protection équivalent à celui prévu par la Charte – telle qu’interprétée par la jurisprudence rappelée aux points 175 et 176 du présent arrêt, selon laquelle un base légale pour les atteintes aux droits fondamentauxLa Commission estime que le niveau de protection de la vie privée doit être équivalent au niveau de protection garanti par le droit communautaire et que, pour respecter le principe de proportionnalité, elle doit déterminer elle-même la mesure dans laquelle l’exercice du droit en question est limité, prévoir des règles claires et précises concernant la portée et l’application de la mesure en question et fixer des exigences minimales.
…
184 Par conséquent, il y a lieu de considérer que ni l’article 702 de la FISA ni le E.O. 12333, lu en combinaison avec la PPD-28, ne satisfont aux exigences minimales existant en droit de l’Union en vertu du principe de proportionnalité, de sorte qu’il ne saurait être considéré que les programmes de surveillance fondés sur ces dispositions sont limités à ce qui est strictement nécessaire. - et que absence de voies de recours efficaces:
191 À cet égard, la Commission … a déclaré : “Bien que les particuliers, y compris les personnes concernées dans [l’Union], disposent d’un certain nombre d’instruments de recours s’ils ont fait l’objet d’une surveillance (électronique) illégale pour des raisons de sécurité nationale, il est clair qu’au moins certaines bases juridiques que les services de renseignement américains peuvent utiliser (par exemple, [l’]E.O. 12333) [ne sont pas couvertes]”. Elle a donc, dans ce 115e considérant en ce qui concerne l’E.O. 12333, l’absence de toute voie de recours a été soulignée. Selon la jurisprudence rappelée au point 187 du présent arrêt, une telle lacune dans la protection juridictionnelle contre les ingérences liées aux programmes de renseignement fondés sur ce décret présidentiel s’oppose à la constatation faite par la Commission dans la décision DSS selon laquelle le droit des États-Unis assure un niveau de protection équivalent, quant au fond, à celui garanti par l’article 47 de la Charte.
192 Par ailleurs, tant en ce qui concerne les programmes de surveillance fondés sur la section 702 de la FISA que ceux fondés sur l’E.O. 12333, il a été constaté, aux points 181 et 182 du présent arrêt, que ni la PPD-28 ni l’E.O. 12333 ne confèrent aux personnes concernées des droits susceptibles d’être invoqués en justice contre les autorités américaines, de sorte que ces personnes ne disposent pas d’un recours effectif.
Dans ce contexte, l’Executive Order donne, conformément au Fiche d’information de la Maison Blanche prévoit essentiellement ce qui suit :
- “Mesures de protection” concernant Activités de reconnaissance des signaux américains (“Signals intelligence” ou “Upstream Surveillance” ; c’est-à-dire en ce qui concerne l’interception systématique de données lors de leur transmission, par exemple sur la base de la FISA 702 et de l’OE 12333, qui ont toutes deux été dans le collimateur de la CJCE), par exemple une limitation à une activité proportionnée à certains objectifs de sécurité nationale et tenant compte de la protection des données, également au profit de citoyens non américains ;
- Directives relatives au traitement des données personnelles et des responsabilités élargies pour les fonctionnaires concernés, afin que des mesures appropriées soient prises en cas d’infraction ;
- un Mise à jour des politiques et procédures de la communauté du renseignement des États-Unis ;
- protection juridique indépendante pour les particuliers des Qualifying States et pour certaines organisations, en cas de violation présumée de la protection des données, par l’intermédiaire du “Civil Liberties Protection Officer” (CLPO) qui peut prendre des décisions contraignantes ; puis sur une nouvelle Cour d’examen de la protection des données (DPRC), qui peut examiner les décisions du CLPO. Le ou les DPRC doivent être composés de manière indépendante et agir sans instructions du gouvernement ;
- l’actuel Privacy and Civil Liberties Oversight Board (PCLOB) doit examiner régulièrement les politiques et les procédures de la communauté du renseignement.
Le texte intégral de l’executive order est disponible ici.
La balle est maintenant dans le camp de la Commission européenne qui peut lancer la procédure pour une décision d’adéquation. Dans ce cadre, le Comité européen de la protection des données (CEPD/EDSA) et les États membres se prononceront, et le Parlement européen a un droit de regard. Pour plus d’informations, voir les Questions & réponses de la Commission européenne sur le TADPF. En attendant, les entreprises restent tributaires des clauses contractuelles types (sauf exceptions ou autres “outils de transfert”).
Il n’est guère surprenant que la Réaction de noyb, l’ONG de Max SchremsExecutive Order on US Surveillance unlikely to satisfy EU law”. La raison invoquée est que
- les mesures de surveillance se poursuivent :
Cependant, malgré le changement de ces mots, il y a pas d’indication que la surveillance de masse américaine changera dans la pratique. La surveillance dite “en vrac” se poursuivra sous le nouveau décret exécutif (voir section 2 (c)(ii)) et toutes les données envoyées aux fournisseurs américains finiront toujours dans des programmes tels que PRISM ou Upstream, malgré le fait que le CJEU déclare que les lois et pratiques de surveillance américaines ne sont pas “proportionnées” (selon l’acception européenne du terme) à deux reprises.
- le DPRC n’est pas un véritable tribunal :
“Cour” n’est pas une vraie cour. Le décret exécutif vise également à ajouter un recours. Il s’agira désormais d’une procédure en deux étapes, la première étant celle d’un officier du directeur du renseignement national et la seconde celle d’un “tribunal d’examen de la protection des données”. Cependant, il ne s’agira pas d’une “cour” au sens juridique normal de l’article 47 de la Charte ou de la Constitution des États-Unis, mais d’un organe au sein de la branche exécutive du gouvernement américain. Le nouveau système est une version améliorée du système précédent de “médiateur”, qui avait déjà été rejeté par le CJUE. Il est clair que cet organe exécutif ne pourrait pas, en vertu de la Charte de l’UE, exercer de “recours judiciaire”.
- les personnes concernées continuent à ne pas être informées si elles ont effectivement fait l’objet d’une surveillance
Comme précédemment, le gouvernement américain ne confirmera ni ne niera que l’utilisateur était sous surveillance et se contentera d’informer l’utilisateur qu’il n’y a pas eu de violation ou qu’il y a eu des recours (voir la section 3(c)(E) de l’APG). L’utilisateur n’en saura pas plus. Cela rend également inutile l’option d’appel, car il n’y a tout simplement rien à appeler, tant que l’utilisateur a reçu cette réponse d’essai.
noyb veut continuer à analyser la situation juridique et décider ensuite si noyb vise Schrems III.