- Le Parlement européen rejette la décision d’adéquation pour le cadre UE-USA sur la protection des données ; il n’y a pas d’équivalence réelle du niveau de protection des données.
- La commission LIBE invite la Commission à poursuivre les négociations avec les États-Unis et insiste pour que la procédure d’adéquation ne soit pas adoptée.
La commission des libertés civiles, de la justice et des affaires intérieures du Parlement européen (LIBE) a adopté le 14 février 2023 le Projet de résolution en rapport avec le Privacy Shield 2.0, le “Cadre de protection des données UE-USA” (également “Trans-Atlantic Data Privacy Framework”, TADPF), a été adopté à l’attention du Parlement. Le projet se base sur l’article 132(2) du règlement du Parlement européen, qui prévoit que celui-ci peut adopter une résolution en conclusion d’un débat – c’est ce que demande la LIBE.
Si le projet est adopté, le Parlement européen se prononcera contre une décision d’adéquation pour le Data Privacy Framework décider. A l’instar des critiques formulées par noyb à l’encontre du TADPF, le LIBE déplore principalement les points suivants :
- des notions centrales telles que la proportionnalité sont interprétées différemment dans le droit américain que dans le RGPD ;
- le Ordre exécutif 14086 – Le TADPF ne s’applique pas aux données que les autorités américaines obtiennent par d’autres moyens, par exemple par le biais de l’US CLOUD Act, par la divulgation volontaire, par l’achat de données ou par d’autres moyens ;
- les décisions de la Data Protection Review Court (DPRC) ne sont pas publiées
- le DPRC fait partie de l’exécutif ;
- les personnes concernées ne sont pas représentées par un conseiller juridique indépendant devant le DPRC, mais par un “avocat spécial” ;
- les personnes concernées ne sont pas informées du traitement de leurs données et n’ont pas la possibilité de demander des dommages et intérêts, par exemple ;
- la protection juridique contre les entreprises qui participent au TADPF est insuffisante ;
- les entreprises européennes méritent la sécurité juridique (c’est-à-dire : ne pas adopter un TADPF qui serait ensuite annulé par la CJCE) ;
- les États-Unis n’ont toujours pas de loi fédérale sur la protection des données ;
- l’APG n’est pas suffisamment claire et peut être modifiée à tout moment par le président des États-Unis.
Le Parlement devrait donc décider comme suit :
11. conclut que le cadre de protection des données UE-États-Unis ne parvient pas à créer une équivalence réelle dans le niveau de protection ; appelle la Commission à poursuivre les négociations avec ses homologues américains dans le but de créer un mécanisme qui assurerait une telle équivalence et qui fournirait le niveau de protection adéquat requis par la législation de l’Union en matière de protection des données et par la Charte telle qu’interprétée par le CJUE ; demande à la Commission de ne pas
adopte le constat d’adéquation;12) Instruit son Président de transmettre la présente résolution au Conseil, à la Commission et au Président et au Congrès des États-Unis d’Amérique.