- Les États-Unis et l’UE ont annoncé un nouveau cadre transatlantique de protection des données afin de permettre à nouveau les transferts de données transfrontaliers.
- Il prévoit des mesures de protection plus strictes, un mécanisme de recours indépendant et contraignant (Data Protection Review Court) et une meilleure surveillance du renseignement sur les signaux.
- Les critiques des ONG de protection de la vie privée (noyb) demeurent, qui ont annoncé un examen juridique et d’éventuelles actions en justice contre le “Privacy Shield 2.0”.
Les Etats-Unis et l’UE ont confirmé ce que l’on avait d’abord pu lire dans divers médias. De la Fiche d’information de la Maison Blanche:
Les États-Unis et la Commission européenne se sont engagés à mettre en place un nouveau cadre transatlantique de protection des données, qui favorisera les flux de données transatlantiques et répondra aux préoccupations soulevées par la Cour de justice de l’Union européenne lorsqu’elle a annulé en 2020 la décision de la Commission sur l’adéquation du cadre UE‑U.S. Privacy Shield.
Une fiche d’information plus courte a également publié par la Commission européenne.
On ne sait pas grand chose sur le contenu, ni sur le projet de texte qui, pour autant que l’on sache, n’est pas encore disponible mais doit être élaboré par le gouvernement américain et la Commission européenne. La finalisation du texte se fera apparemment par un ordre exécutif du gouvernement américain et une décision d’adéquation correspondante de la Commission.
Les fiches d’information restent vagues. Celle des Etats-Unis indique toutefois ce qui suit :
En vertu du cadre transatlantique de protection des données, les États-Unis ont pris des engagements sans précédent en matière de :
- renforcer la vie privée et les libertés civiles safeguards governing U.S. signals intelligence activities ;
- Établir un nouveau mécanisme de recours with independent and binding authority ; et
- Améliorer sa rigueur et ses couches existantes oversight des activités de renseignement sur les signaux.
Par exemple, le nouveau cadre garantit que :
- Collection de renseignements sur les signaux ne peuvent être entreprises que lorsque cela est nécessaire pour faire avancer des objectifs légitimes de sécurité nationale et ne doivent pas avoir un impact disproportionné sur la protection de la vie privée et des libertés civiles des individus ;
- Les individus de l’UE peuvent chercher un recours à partir d’un nouveau mécanisme de recours multi-couches qui comprendrait un tribunal indépendant d’examen de la protection des données, composé d’individus choisis en dehors du gouvernement américain et qui aurait les pleins pouvoirs pour faire valoir des réclamations et prendre des mesures de réparation directes si nécessaire ; et
- Les agences de renseignement américaines vont adopte des procédures pour assurer un contrôle efficace de nouvelles normes en matière de vie privée et de libertés civiles.
Pour autant que l’on puisse en juger, il ne s’agit donc pas de modifier les bases légales américaines ou les décrets exécutifs existants, mais d’en faire un usage plus respectueux de la protection des données.
noyb, l’ONG de Schrems, a – sans surprise – une avis critique publié (“lipstick on a pig”) et a laissé entrevoir la possibilité de soumettre le Privacy Shield 2.0 à un examen judiciaire.