{"id":17057,"date":"2020-07-28T03:10:22","date_gmt":"2020-07-28T07:10:22","guid":{"rendered":"https:\/\/antilla-martinique.com\/?p=17057"},"modified":"2020-07-28T03:10:22","modified_gmt":"2020-07-28T07:10:22","slug":"quel-avenir-pour-le-transfert-international-des-donnees-personnelles-apres-le-nouvel-arret-schrems","status":"publish","type":"post","link":"https:\/\/antilla-martinique.com\/en\/quel-avenir-pour-le-transfert-international-des-donnees-personnelles-apres-le-nouvel-arret-schrems\/","title":{"rendered":"Quel avenir pour le transfert international des donn\u00e9es personnelles apr\u00e8s le nouvel arr\u00eat Schrems ?"},"content":{"rendered":"<div class=\"vc_row wpb_row vc_row-fluid\">\n<div class=\"wpb_column vc_column_container vc_col-sm-12\">\n<div class=\"vc_column-inner\">\n<div class=\"wpb_wrapper\">\n<nav class=\"vcex-breadcrumbs\"><span class=\"breadcrumb_last\">Quel avenir pour le transfert international des donn\u00e9es personnelles apr\u00e8s le nouvel arr\u00eat Schrems ?<\/span><\/nav>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<div class=\"vc_row wpb_row vc_row-fluid\">\n<div class=\"wpb_column vc_column_container vc_col-sm-12\">\n<div class=\"vc_column-inner\">\n<div class=\"wpb_wrapper\">\n<div class=\"vcex-post-media clr post-img\"><strong>Par Fabienne Jault-Seseke, Professeur des Universit\u00e9s en Droit Priv\u00e9, Universit\u00e9 Paris Saclay (Versailles Saint-Quentin)<\/strong><\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<div class=\"vc_row wpb_row vc_row-fluid\">\n<div class=\"wpb_column vc_column_container vc_col-sm-12\">\n<div class=\"vc_column-inner\">\n<div class=\"wpb_wrapper\">\n<div class=\"vcex-post-content vcex-clr vc_custom_1525203077860\">\n<div class=\"vcex-post-content-c clr\">\n<p>Le 16 juillet 2020, la Cour de justice de l\u2019Union europ\u00e9enne a rendu son troisi\u00e8me arr\u00eat dans l\u2019affaire Schrems (<a href=\"http:\/\/curia.europa.eu\/juris\/liste.jsf?language=fr&amp;td=ALL&amp;num=C-311\/18\" target=\"_blank\" rel=\"noopener noreferrer\">C-311\/18<\/a>, qualifi\u00e9 d\u2019arr\u00eat Schrems II, apr\u00e8s l\u2019arr\u00eat Schrems de 2015 \u2013 <a href=\"http:\/\/curia.europa.eu\/juris\/liste.jsf?language=fr&amp;num=C-362\/14\" target=\"_blank\" rel=\"noopener noreferrer\">C-362\/14<\/a> \u2013, en oubliant l\u2019arr\u00eat du 25 janvier 2018, <a href=\"https:\/\/eur-lex.europa.eu\/legal-content\/FR\/TXT\/?uri=CELEX%3A62016CJ0498\" target=\"_blank\" rel=\"noopener noreferrer\">n\u00b0 C- 498\/16<\/a>). L\u2019affaire qui oppose Facebook \u00e0 l\u2019Autrichien Maximilian Schrems concerne les transferts de donn\u00e9es personnelles de l\u2019Union europ\u00e9enne vers les \u00c9tats-Unis. L\u2019\u00e9tudiant en droit est d\u00e9sormais devenu le chantre de la protection des donn\u00e9es personnelles et anime l\u2019active <a href=\"https:\/\/noyb.eu\/fr\" target=\"_blank\" rel=\"noopener noreferrer\">association noyb<\/a> (\u00ab <em>My Privacy is None of Your Business<\/em> \u00bb). Il avait obtenu en 2015 l\u2019invalidation du <a href=\"https:\/\/www.cnil.fr\/sites\/default\/files\/typo\/document\/CNIL-transferts-SAFE_HARBOR.pdf\" target=\"_blank\" rel=\"noopener noreferrer\">Safe Harbor<\/a>. Son successeur, le <a href=\"https:\/\/www.cnil.fr\/fr\/le-privacy-shield\" target=\"_blank\" rel=\"noopener noreferrer\">Privacy Shield,<\/a> subit ici le m\u00eame sort. Cet arr\u00eat sonne comme un nouveau coup de tonnerre.<\/p>\n<h2>Quel est le cadre r\u00e9glementaire du transfert international de donn\u00e9es personnelles et en quoi les transferts op\u00e9r\u00e9s par Facebook posaient-ils probl\u00e8me ?<\/h2>\n<p>Aux termes du R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es (RGPD), le transfert international de donn\u00e9es personnelles n\u2019est autoris\u00e9 que dans des conditions strictes. L\u2019affaire Schrems concerne deux d\u2019entre elles.<\/p>\n<p>D\u2019abord, le transfert est licite s\u2019il se fait entre les op\u00e9rateurs dans des conditions qui permettent de garantir via des conditions contractuelles types (CCT) la protection des donn\u00e9es personnelles. Ensuite, le transfert est licite s\u2019il est \u00e9tabli que le pays de destination assure un niveau ad\u00e9quat de protection des donn\u00e9es. C\u2019est \u00e0 la Commission europ\u00e9enne qu\u2019il revient, \u00e0 travers des d\u00e9cisions d\u2019ad\u00e9quation, de constater qu\u2019un pays tiers assure, en raison de son droit interne ou de ses engagements internationaux, ce niveau. Pour les \u00c9tats-Unis, deux d\u00e9cisions ont \u00e9t\u00e9 prises par la Commission : le Safe Harbor en 2000, puis \u00e0 la suite de son invalidation, le Privacy Shield en 2016.<\/p>\n<p>En l\u2019esp\u00e8ce, Maximilian Schrems a demand\u00e9 \u00e0 l\u2019autorit\u00e9 de protection des donn\u00e9es irlandaises de suspendre le transfert de ses donn\u00e9es vers les \u00c9tats-Unis. Il a fait valoir que l\u2019inclusion des CCT dans l\u2019accord de transfert de donn\u00e9es conclu par Facebook Ireland, responsable du traitement, et Facebook Inc., le sous-traitant, approuv\u00e9es par la Commission europ\u00e9enne (<a href=\"https:\/\/eur-lex.europa.eu\/legal-content\/FR\/ALL\/?uri=celex%3A32010D0087\" target=\"_blank\" rel=\"noopener noreferrer\">d\u00e9cision 2010\/87\/UE<\/a>), ne suffisait pas \u00e0 l\u00e9gitimer le transfert de ses donn\u00e9es personnelles vers les \u00c9tats-Unis, d\u00e8s lors que Facebook Inc. \u00e9tait tenue de mettre les donn\u00e9es personnelles de ses utilisateurs \u00e0 la disposition des autorit\u00e9s am\u00e9ricaines, telles que la NSA et le FBI, dans le cadre de programmes de surveillance. Ce faisant, le transfert violerait les articles 7, 8 et 47 de la <a href=\"https:\/\/www.touteleurope.eu\/actualite\/la-charte-des-droits-fondamentaux-de-l-union-europeenne.html\" target=\"_blank\" rel=\"noopener noreferrer\">Charte des droits fondamentaux de l\u2019Union europ\u00e9enne<\/a> qui garantissent respectivement le droit \u00e0 la vie priv\u00e9e et familiale, la protection des donn\u00e9es personnelles et le droit \u00e0 une protection juridictionnelle effective. La High Court irlandaise a interrog\u00e9 la CJUE sur la validit\u00e9 de la d\u00e9cision 2010\/87\/UE mais aussi sur celle du Privacy Shield.<\/p>\n<h2>Pour quelles raisons le Privacy Shield est-il invalid\u00e9 ?<\/h2>\n<p>La l\u00e9gislation am\u00e9ricaine porte des atteintes excessives \u00e0 la protection des donn\u00e9es personnelles. La CJUE souligne que les programmes de surveillance sont mis en \u0153uvre tr\u00e8s largement et ne pr\u00e9voient pas de garanties pour les personnes non am\u00e9ricaines. Pr\u00e9cis\u00e9ment, le droit au recours juridictionnel contre les autorit\u00e9s am\u00e9ricaines n\u2019est pas assur\u00e9. La CJUE a concentr\u00e9 son raisonnement sur le m\u00e9canisme du m\u00e9diateur organis\u00e9 par le Privacy Shield, m\u00e9canisme que la Commission europ\u00e9enne avait jug\u00e9 capable d\u2019assurer aux personnes concern\u00e9es un niveau de protection essentiellement \u00e9quivalent \u00e0 celui garanti par l\u2019article 47 de la Charte. La CJUE rappelle le droit \u00e0 un tribunal ind\u00e9pendant et impartial. Or l\u2019ind\u00e9pendance du m\u00e9diateur par rapport \u00e0 l\u2019ex\u00e9cutif est discutable et il n\u2019a pas le pouvoir d\u2019adopter des d\u00e9cisions contraignantes pour les services de renseignement.<\/p>\n<h2>Quelles sont les cons\u00e9quences de l\u2019invalidation ?<\/h2>\n<p>L\u2019arr\u00eat devrait avoir un impact tr\u00e8s important sur le transfert de donn\u00e9es de l\u2019UE vers des pays tiers, sans pour autant les paralyser. La Cour a d\u2019ailleurs pris soin d\u2019observer que l\u2019invalidation du Privacy Shield ne cr\u00e9e pas de vide juridique d\u00e8s lors que le RGPD offre la possibilit\u00e9 d\u2019organiser des transferts internationaux licites en l\u2019absence de d\u00e9cision d\u2019ad\u00e9quation. Il n\u2019emp\u00eache : la Cour dit clairement que le syst\u00e8me am\u00e9ricain n\u2019est pas conforme \u00e0 ce qui est exig\u00e9 par les standards europ\u00e9ens. Les nombreuses entreprises qui utilisaient le Privacy Shield vont devoir trouver une nouvelle base au transfert des donn\u00e9es en attendant une d\u00e9cision d\u2019ad\u00e9quation ent\u00e9rinant de nouvelles n\u00e9gociations entre l\u2019Union europ\u00e9enne et les \u00c9tats-Unis. Troisi\u00e8me d\u00e9cision susceptible de conna\u00eetre le m\u00eame sort que le Safe Harbor et le Privacy Shield, tant que la l\u00e9gislation am\u00e9ricaine n\u2019aura pas \u00e9volu\u00e9\u2026<\/p>\n<p>La base du transfert pourra se trouver dans les conventions conclues entre les acteurs du num\u00e9rique. Mais, l\u00e0 aussi, les perspectives ouvertes par l\u2019arr\u00eat sont limit\u00e9es.<\/p>\n<h2>Qu\u2019en est-il des transferts r\u00e9alis\u00e9s sur la base de clauses contractuelles type ?<\/h2>\n<p>Indirectement, l\u2019arr\u00eat condamne en l\u2019\u00e9tat actuel de la l\u00e9gislation am\u00e9ricaine de tels transferts. La CJUE pr\u00e9cise en effet qu\u2019il ne suffit pas que les CCT soient respect\u00e9es ; il faut encore que le syst\u00e8me juridique du pays tiers assure le niveau minimal de protection qu\u2019exige le droit de l\u2019Union europ\u00e9enne, en raison du possible acc\u00e8s des autorit\u00e9s publiques de ce pays aux donn\u00e9es transf\u00e9r\u00e9es.<\/p>\n<p>En cons\u00e9quence, le transfert fait sous couvert de CCT doit \u00eatre suspendu ou interdit s\u2019il est impossible d\u2019assurer le niveau de protection requis par le droit de l\u2019UE. La d\u00e9cision 2010\/87 est conforme \u00e0 ces exigences d\u00e8s lors qu\u2019elle impose \u00e0 l\u2019exportateur de donn\u00e9es et au destinataire des donn\u00e9es l\u2019obligation de s\u2019assurer, avant tout transfert, du respect de ce niveau de protection et exige du destinataire qu\u2019il informe l\u2019exportateur de son incapacit\u00e9 \u00e0 le respecter. La l\u00e9gitimit\u00e9 de la d\u00e9cision ne signifie pas pour autant que les entreprises vont pouvoir op\u00e9rer facilement des transferts en recourant aux CCT. Elles doivent en effet, ainsi que les autorit\u00e9s nationales de protection des donn\u00e9es (la CNIL, en France), s\u2019assurer que les pays vers lesquels les donn\u00e9es sont transf\u00e9r\u00e9es offrent des protections suffisantes et \u00e9quivalentes \u00e0 celles de l\u2019UE. L\u2019accent est mis sur l\u2019empowerment des entreprises, d\u00e9j\u00e0 retenu pour la mise en \u0153uvre du droit au d\u00e9r\u00e9f\u00e9rencement (<a href=\"http:\/\/curia.europa.eu\/juris\/liste.jsf?language=fr&amp;num=C-131\/12\" target=\"_blank\" rel=\"noopener noreferrer\">arr\u00eat Google Spain<\/a>) notamment. Ici, la t\u00e2che para\u00eet ardue : l\u2019invalidation du Safe Harbor et du Privacy Shield montre que la Commission europ\u00e9enne a \u00e9chou\u00e9 \u00e0 l\u2019assumer et d\u00e9sormais on la confie \u00e0 des entit\u00e9s moins bien arm\u00e9es, des entreprises qui ne sont pas n\u00e9cessairement des acteurs du num\u00e9rique. Comment pourraient-elles consid\u00e9rer que le transfert vers les \u00c9tats-Unis, plus g\u00e9n\u00e9ralement vers un pays tiers, est licite alors m\u00eame qu\u2019ont \u00e9t\u00e9 point\u00e9es du doigt les insuffisances de leur l\u00e9gislation ? La Cour de justice mentionne sans plus de pr\u00e9cision la prise de \u00ab mesures suppl\u00e9mentaires \u00bb. Le European data protection board (r\u00e9union des diff\u00e9rentes autorit\u00e9s nationales de protection des donn\u00e9es) a d\u2019ores et d\u00e9j\u00e0 indiqu\u00e9 se pencher sur le sujet mais on voit mal quels moyens pourraient \u00eatre mis en \u0153uvre pour immuniser les donn\u00e9es \u00e0 l\u2019\u00e9gard du FBI et de la NSA.<\/p>\n<h2>L\u2019Union europ\u00e9enne, envers et contre tout ?<\/h2>\n<p>Le transfert des donn\u00e9es personnelles hors Union europ\u00e9enne (demain, le cas de la Grande-Bretagne sera sensible en raison de sa l\u00e9gislation en mati\u00e8re de renseignement ; aujourd\u2019hui la question se pose avec acuit\u00e9 pour la Chine dont la l\u00e9gislation est bien moins protectrice que celle des \u00c9tats-Unis) a du plomb dans l\u2019aile. Le transfert des donn\u00e9es peut cependant se poursuivre mais il ne pourra concerner que des donn\u00e9es qui ne permettent pas l\u2019identification de la personne (sur les techniques d\u2019anonymisation des donn\u00e9es, le G29, l\u2019anc\u00eatre du European Data Protection Board, a publi\u00e9 un avis en 2014). Pour les donn\u00e9es personnelles, l\u2019Union europ\u00e9enne cherche \u00e0 imposer ses vues. Reste \u00e0 savoir si l\u2019influence des r\u00e8gles europ\u00e9ennes sur le reste du monde (<a href=\"https:\/\/www.amazon.fr\/Brussels-Effect-European-Union-Rules\/dp\/0190088583\" target=\"_blank\" rel=\"noopener noreferrer\">le Brussels effect, d\u00e9crit par Anu Bradford, Oxford University Press 2020<\/a>), jouera.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>","protected":false},"excerpt":{"rendered":"<p>Quel avenir pour le transfert international des donn\u00e9es personnelles apr\u00e8s le nouvel arr\u00eat Schrems ? Par Fabienne Jault-Seseke, Professeur des Universit\u00e9s en Droit Priv\u00e9, Universit\u00e9 Paris Saclay (Versailles Saint-Quentin) Le 16 juillet 2020, la Cour de justice de l\u2019Union europ\u00e9enne a rendu son troisi\u00e8me arr\u00eat dans l\u2019affaire Schrems (C-311\/18, qualifi\u00e9 d\u2019arr\u00eat Schrems II, apr\u00e8s l\u2019arr\u00eat<\/p>","protected":false},"author":33,"featured_media":17058,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_uf_show_specific_survey":0,"_uf_disable_surveys":false,"footnotes":"","rank_math_focus_keyword":"","rank_math_title":"","rank_math_description":"","rank_math_canonical_url":"","rank_math_robots":null,"rank_math_facebook_title":"","rank_math_facebook_description":"","rank_math_twitter_title":"","rank_math_twitter_description":""},"categories":[819],"tags":[],"class_list":["post-17057","post","type-post","status-publish","format-standard","has-post-thumbnail","category-justice"],"acf":[],"_links":{"self":[{"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/posts\/17057","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/users\/33"}],"replies":[{"embeddable":true,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/comments?post=17057"}],"version-history":[{"count":0,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/posts\/17057\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/media\/17058"}],"wp:attachment":[{"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/media?parent=17057"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/categories?post=17057"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/antilla-martinique.com\/en\/wp-json\/wp\/v2\/tags?post=17057"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}