Privacy Shield

Le Privacy Shield (ou "Bouclier de vie privée" en français) est une sorte « d'arrangement » entre l'Union européeenne et les États-Unis qui permet à des entreprises américaines de certifier qu'elles respectent les standards et les législations en vigueur dans l'Union européeenne en matière de protection des données et de la vie privée.

Ce n'est donc pas un « accord » entre l'UE et les États-Unis mais une « décision d'adéquation ». La Commission européenne certifie par cette décision que, dans le cas d'un transfert de données d'Européen-ne-s vers les États-Unis, le niveau de protection est conforme à la législation de l'UE.

Une telle décision est nécessaire afin de réaliser des transferts de données vers des pays tiers car la Directive 95/46/CE sur la protection des données personnelles (aujourd'hui remplacée par le règlement général sur la protection des données personnelles qui entrera en vigueur en 2018) interdit le transfert de données personnelles en dehors de l'Espace économique européeen (les 28 États membres de l'UE, ainsi que la Norvège, le Liechtenstein et l'Islande) si les pays destinataires ont un régime légal de protection des données personnelles inférieur à celui de l'UE. Plusieurs décisions d'adéquation avec des États tiers sont déjà en vigueur, par exemple avec le Canada, l'Argentine ou encore avec la Suisse.

Une décision d'adéquation suit une procédure d'adoption particulière puisqu'elle est négociée directement par la Commission européenne avec le gouvernement des États-Unis. Pour connaitre le détail de la procédure d'adoption, nous vous conseillons le site de la Commission européenne .

L'historique du Privacy Shield

Entre 2000 et 2015 une décision d'adéquation entre les États-Unis et l'Union européenne était en vigueur et encadrait les tranferts de données des Européen-ne-s de l'autre coté de l'Atlantique. Mais le 6 octobre 2015 cette décision a été invalidée par la Cour de justice de l'Union européenne dans l'arrêt Maximillian Schrems c. Data Protection Commissioner.

Le 25 juin 2013 Maximillian Schrems a saisi le Commissaire à la protection des données par une plainte dans laquelle il demandait qu'il soit interdit à Facebook de transférer ses données personnelles vers les États-Unis. Schrems estimait qu'une protection suffisante contre les activités de surveillance pratiquées par les autorités publiques aux États-Unis (pratiques rendues publiques quelques mois plus tôt par les révélations d'Edward Snowden n'était pas garantie.

Confirmant que le États-Unis assuraient un niveau adéquat de protection, le Commissaire a rejeté la plainte de Schrems. Ce dernier a donc saisi la Haute Cour de justice d'Irlande (High Court) qui, bien que reconnaissant qu'un accès massif et indifférencié à des données personnelles était contraire à la Constitution irlandaise, a considéré que cette affaire concernait la mise en oeuvre du droit de l'Union et a donc posé deux questions préjudicielles à la Cour de justice de l'Union européenne.

La Cour a tranché le 6 octobre 2015 en annulant la décision d'adéquation du Safe Harbor. Les juges ont considéré que la collecte et la conservation généralisée de l'intégralité des données à caractère personnel et ce sans que soit prévu aucune limitation de l'accès des autorités publiques aux données, était contraire au droit fondamental du respect de la vie privée, tel que garanti par l'article 7 de la Charte des droits fondamentaux de l'Union européenne.

Suite à l'annulation de la décision 2000/520/CE de la Commission, du 26 juillet 2000, autrement dit du Safe Harbor, la Commission européenne et les États-Unis ont commencé à négocier une nouvelle décision d'adéquation censée remplacer son précédesseur et prendre en compte les exigences de la CJUE : le Privacy Shield.

Analyse du contenu

Références

• PRESIDENTIAL POLICY DIRECTIVE 28 : https://www.fbi.gov/about-us/nsb/fbis-policies-and-procedures-presidential-policy-directive-28-1
• Avis du contrôleur européen des données sur le projet d'accord, 31 mai 2016
• Avis du G29 sur le projet d'accord, 13 avril 2016