Les transferts vers les USA bientôt encadrés

En octobre dernier, la Cour de justice de l’Union européenne (CJUE) invalidait le « Safe Harbor », cet accord qui légalisait jusqu’alors le transfert de données personnelles de citoyens européens vers les États-Unis. Depuis, Européens et Américains travaillent à l’élaboration d’un nouvel accord, baptisé « Privacy Shield », ou « bouclier vie privée ». Objectif : garantir aux Européens que leurs données personnelles bénéficient d’un niveau de protection équivalent à celui de l’Europe une fois qu’elles ont franchi l’océan Atlantique. Concrètement, les données concernées sont nombreuses : vos achats, les messages publiés sur les réseaux sociaux, votre navigation sur Internet ou bien les mots saisis dans les moteurs de recherche sont autant d’informations au cœur de l’activité de nombreuses entreprises américaines comme Amazon, Facebook, Google, Microsoft et des milliers d’autres (lire aussi encadré). Assurer leur sécurité est crucial, d’autant qu’Europe et États-Unis ont une vision radicalement différente de la protection des données personnelles des citoyens. Début février, les deux camps annonçaient néanmoins être parvenus à un accord dont Bruxelles vient de publier les détails. Les États membres de l’UE et les autorités de protection des données – la Cnil (1) et ses homologues – vont maintenant l’examiner, éventuellement le modifier, avant qu’il ne soit définitivement adopté. 

Fin de la surveillance généralisée ?

En l’état, le Privacy Shield renforce les règles de sécurité liées au traitement des données à caractère personnel. Le Département américain du commerce, la Federal Trade Commission (FTC) veillera à ce que les entreprises qui adhèrent au programme respectent leurs engagements. La Commission européenne explique par ailleurs que « les États-Unis ont exclu qu’une surveillance de masse soit exercée sur les données à caractère personnel transférées ». L’accès à ces données, même lorsqu’il est question d’ordre public et de sécurité, sera limité et contrôlé. Les États-Unis s’accordent néanmoins le droit de « collecter en vrac » dans six cas laissés à leur libre arbitre : la lutte contre certaines activités des puissances étrangères, contre le terrorisme, contre la prolifération nucléaire, la cybersécurité, la détection de menaces visant les US ou ses forces alliées, et la lutte contre les menaces criminelles transnationales.

Un médiateur pour gérer les plaintes

Parmi les autres nouveautés, le Privacy Shield offre aux citoyens plusieurs voies de recours s’ils estiment que leurs données ont fait l’objet d’un traitement abusif. D’abord, « les entreprises devront répondre aux plaintes dans des délais définis », explique la Commission européenne, sans plus de précisions. Ensuite, les Cnil pourront transmettre les plaintes reçues aux autorités américaines (ministère du Commerce et FTC). Enfin, les États-Unis ont nommé un médiateur chargé de recueillir les plaintes. Mais cette fois encore, les citoyens ne s’adresseront pas directement à lui, les autorités de protection des données serviront d’intermédiaires.

Pour contrôler le fonctionnement de l’accord, la Commission européenne et la FTC le réexamineront tous les ans avec l’aide d’experts du renseignement européens et américains.

(1) Commission nationale de l’informatique et des libertés.