Contrairement à l’Europe, les États-Unis ont encore beaucoup à faire pour assurer la protection des données personnelles. Après l’invalidation du Safe Harbor par la Cour de justice de l’Union européenne le 6 octobre 2015, un nouveau mécanisme d’auto-certification pour les entreprises établies aux États-Unis a été reconnu suffisamment protecteur des données personnelles par la Commission européenne, le Privacy Shield.
S’il a été jugé que le Safe Harbor ne permettait pas un contrôle effectif des services de renseignements américains collectant massivement des données et qu'il n’offrait pas de voie de recours effective pour les Européens constatant une utilisation abusive de leurs données aux États-Unis, le Privacy Shield n’est pas exempt de critiques.
Voici les principaux axes du Privacy Shield valables pour les entreprises adhérentes :
- Collecte des données à des fins spécifiques et limitées ;
- Transparence des traitements et droit d’accès aux données ;
- Principe d’opposition au traitement des données en cas de finalité différente de celle présentée lors du recueil du consentement ;
- Durée de conservation limitée des données (le Safe Harbor n’en prévoyait aucune) ;
- Possibilité de recours ouverte aux citoyens européens ;
- Révision annuelle du Privacy Shield (le Safe Harbor n’était révisé que tous les 3 ans) ;
- Encadrement de l’accès aux données par les autorités publiques et agences de renseignement américaines.
L’avenir du Privacy Shield :
Lors de son bilan annuel de 2017, la Commission européenne a constaté que le dispositif fonctionne mais qu’il doit encore être amélioré. Or, depuis rien n’a vraiment changé.Deux requêtes en annulation de cet accord sont en cours devant la Cour de justice de l’Union européenne. L’une lancée par le Digital Rights Ireland et l’autre lancée par la Quadrature du Net, French Data Network et la FFDN en 2016.
En 2018, suite au scandale de l’affaire Cambridge Analytica, le Parlement européen réclamait un audit ainsi que la suspension du Privacy Shield. Toutefois, cet accord n’a pas été suspendu et les sanctions ont tardé à arriver.
La Commission européenne s'est récemment prononcée lors du bilan de révision annuel d'octobre et a estimé que le niveau de protection est suffisant. Elle note des améliorations quant au renforcement des effectifs et à la nomination d'un médiateur permanent au Conseil de surveillance de la vie privée et des libertés civiles, au renforcement de la surveillance et de la répression concernant les dérapages en matière de données personnelles.
Le risque d’annulation du Privacy Shield :
Le Safe Harbor a été annulé pour deux raisons principales. D’une part, car il ne permettait pas de contrôle effectif des services de renseignements américains collectant massivement des données. D’autre part, car il ne proposait pas de voie de recours effective pour les européens constatant une utilisation massive de leurs données. Or, le Privacy Shield ne fournit visiblement aucun moyen de contrôler efficacement les services de renseignements américains puisque ceux-ci se contentent de déclarations formelles. De plus, cet accord prévoit bien des voies de recours mais le processus est complexe et dissuade de ce fait les personnes concernées d’agir.
Un recours a notamment été lancé par la Quadrature du Net pour faire annuler le Privacy Shield ce qui a conduit les juges du Tribunal de l’Union européenne a examiner l'accord lors des audiences qui se sont tenues au début du mois de juillet. Nous devrions espérer obtenir leur décision d’ici la fin de l’année en cours.
Cette situation est source d’insécurité juridique. Pour l’instant, la Commission européenne juge que le niveau de protection est satisfaisant et nous acceptons le transfert de nos données vers les États-Unis alors même que le Patriot Act et le Cloud Act permettent aux autorités américaines d'accéder à n'importe quelles données confiées à des entreprises américaines, peu importe leur lieu d'implantation.
Posted from my blog with SteemPress : http://blog.economie-numerique.net/2019/10/30/lavenir-du-privacy-shield/