Le RGPD (Règlement Général sur la Protection des Données) demande aux pays tiers un niveau de protection adéquat afin d’encadrer le transfert des données personnelles des citoyens européens vers l’étranger. L’accord Privacy Shield, successeur du Safe Harbor, est un accord commercial entre l’Union Européenne et les Etats Unis pour protéger les données personnelles des citoyens européens. Le « bouclier de confidentialité », ou « bouclier de protection des données UE – Etats-Unis », entré en vigueur en 2016, a pour objectif d’encadrer les transferts de données personnelles vers les Etats Unis.

Le 16 juillet 2020, la cour de justice de l’union européenne (CJUE) a invalidé la décision relative à l’adéquation de la protection assurée par le Privacy Shield. En effet, ce texte ne garantit pas une protection suffisante des données. Cependant, la CJUE juge valide la décision relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers.

La question de la responsabilité est centrale dans cette décision de la CJUE. « Dans le cas d’un recours aux clauses types, c’est au responsable des traitements de s’assurer que la protection des données et le respect des droits sont bien équivalents à ceux offerts par l’Union européenne ».

D’après l’UFC Que Choisir et d’autres associations de défense des consommateurs, le Privacy Shield ne permet pas un niveau de protection des données suffisant aux Etats-Unis, à cause des lois de surveillance en vigueur. En effet, les autorités américaines peuvent accéder à ces données « à des fins de sécurité publique, de défense et de sûreté de l’Etat » ; certaines lois américaines, notamment le Cloud Act, sont jugées trop intrusives.

De nombreuses entreprises outre-Atlantique se reposaient sur cet accord pour l’exploitation de données de ressortissants européens (transfert, hébergement, sauvegarde …). Aujourd’hui, les géants du numérique, Microsoft, Google, Facebook ne peuvent plus utiliser le Privacy Shield pour justifier légalement du transfert de données de ressortissants européens vers les Etats-Unis.

La CNIL, autorité de contrôle française, analyse actuellement les conséquences de l’invalidation du Privacy Shield sur le transfert de données. Une mise à jour des conditions du Privacy Shield est envisagée entre les acteurs européens et américains.

Sources :

CNIL – invalidation du privacy shield

CNIL – le privacy shield

Lebigdata – interdit transfert donnees europe usa

Quechoisir – donnees personnelles la justice europeenne invalide le privacy shield

Lebigdata – privacy shield ultimatum

Privacyshield

CVRIA – Curia.europa

Lesnumeriques – privacy shield les ponts numeriques avec les etats unis sont ils coupes