Paris, le 7 avril 2016 — Le Privacy Shield, qui encadrera les transferts de données personnelles vers les entreprises établies aux États-Unis, est en cours de négociation. Cet accord fait suite à l'annulation du Safe Harbor par la Cour de justice de l'Union européenne (CJUE), qui a jugé qu'il ne permettait pas une protection substantiellement équivalente des données personnelles des personnes protégées par le droit européen et qui a proposé des garanties pour y remédier. Ces garanties n'étant pour l'instant pas prévues par le projet de Privacy Shield, l'accord qui en résultera nivellera par le bas les droits fondamentaux des Européens.
Madame la Présidente,
Monsieur le Président,
Mesdames et Messieurs les membres de la commission LIBE,Depuis sa signature par la Commission européenne en 2000, le Safe Harbor2 était censé certifier le respect par les entreprises outre-Atlantique de standards d'effet similaires aux standards européens de protection des données, et ce malgré les réserves formulées à l'époque par le G29 notamment en matière de lois dérogatoires américaines. Les révélations d'Edward Snowden en 20133 ont dévoilé au monde l'étendue de la surveillance des États-Unis sur les données traitées et conservées sur leur sol - ou à l'étranger - par les entreprises internationales, en application du Patriot Act.
En conséquence, la CJUE a invalidé le Safe Harbor le 6 octobre 2015, par sa décision Schrems4. Cette décision a posé les bases d'un nouvel accord, en énonçant des critères minimaux que la Commission devrait suivre.
Malheureusement, le nouveau projet d'accord, dit Privacy Shield5, n'intègre pas toutes les garanties jugées nécessaires par la CJUE. S'il était signé en l'état, ce projet saborderait la protection des droits fondamentaux à la protection des données et à la vie privée exigée par la Cour de justice.
Plus précisément, la CJUE avait souligné :
- la nécessité qu'un tel accord prévoie une « possibilité pour le justiciable d’exercer des voies de droit afin d’avoir accès à des données à caractère personnel le concernant, ou d’obtenir la rectification ou la suppression de telles données »6. Cette possibilité ne se retrouve pas dans le projet d'accord, qui se borne à déplorer la fragilité des recours disponibles7, ou qui se contente de rappeler que certains textes américains permettent de demander des informations aux agences fédérales, sans pouvoir les rectifier8. Pour pallier cette faiblesse, le projet d'accord doit a minima prévoir concrètement les modalités de suppression des transferts par les autorités nationales de protection des données9 ;
- que cette possibilité doit s'accompagner « de l’existence d’une protection juridique efficace contre des ingérences de cette nature »10. Or dans les faits le projet de Privacy Shield prévoit la mise en place aux États-Unis d'un médiateur traitant les demandes des autorités européennes chargé d'enquêter sur les allégations de surveillance, mais son indépendance a ouvertement été remise en cause11 par le médiateur européen12. De plus, la compétence de ce médiateur ne devrait pas se cantonner aux questions de surveillance ;
- son opposition de principe à la surveillance de masse. La Cour a ainsi posé l'exigence que le futur accord ne permette ni « aux autorités publiques d’accéder de manière généralisée au contenu de communications électroniques »13, ni la conservation, « de manière généralisée [...] de l’intégralité des données à caractère personnel de toutes les personnes dont les données ont été transférées depuis l’Union vers les États-Unis »14. Pourtant, les engagements américains citent six15 finalités leur permettant toujours de procéder à une collecte indiscriminée des données des utilisateurs de services tels que ceux proposés par Google ou Facebook. La Commission souligne explicitement dans le projet d'accord que l'accès aux données collectées serait strictement limité à des finalités spécifiques et légitimes de défense nationale16. Pourtant, aucun texte de loi américain, ni même engagement politique, ne va dans ce sens.
La Cour de justice de l'Union européenne avait annulé le Safe Harbor qui ne protégeait pas les données transférées aux USA depuis l'Europe contre la surveillance de masse américaine, et la Commission européenne est sur le point d'accepter un nouvel accord qui ne protège pas mieux les données des personnes concernées. De même, la Commission européenne refuse aujourd'hui d'investiguer les politiques de sécurité nationale des États membres en matière de collecte massive des données, allant ainsi à l'encontre de toutes les décisions de la CJUE17.
Enfin, la valeur juridique de ce texte n'est que très relative, relevant largement de promesses politiques que les élections présidentielles à venir pourraient balayer18, comme l'ont rappelé les eurodéputés lors de l'audition d'experts au Parlement européen le 17 mars. Cet accord, non ratifié par le Congrès américain, ne donne par conséquent aucune garantie sérieuse aux personnes dont les données sont transférées aux États-Unis.
L'Observatoire des Libertés et du Numérique (OLN) soutient les réserves apportées par le G29 et le Parlement européen et appelle à maintenir la pression sur la Commission européenne afin de l'inciter à publier une analyse juridique de la compatibilité du projet avec les autres instruments européens de protection des données19. Sur cette base, l'OLN milite pour une reprise des négociations avec les autorités américaines afin notamment que la conformité des transferts actuels soit réellement examinée.
Ce projet d'accord est dangereux et ne répond pas aux critères de protection des droits fondamentaux en Europe. En tant que tel, nul doute qu'il sera de nouveau attaqué et annulé par la CJUE, causant une instabilité juridique nuisible à la confiance nécessaire au bon fonctionnement de l'économie numérique. Une renégociation est donc incontournable pour la défense de nos droits fondamentaux !