Avec l'évolution des paysages en matière de protection des données à travers le monde, comment les organisations peuvent-elles gérer les transactions transfrontalières tout en restant conformes aux réglementations ? C'est une question brûlante depuis ces dernières années. Il est courant que les organisations aient une présence mondiale ou mènent des activités dans plusieurs pays. La nécessité de mettre en place des transferts de données impliquant des zones soumises à une réglementation stricte, comme le Règlement général sur la protection des données (RGPD) de l'UE, a créé des obstacles. Un cadre mis à jour pour les transferts de données entre les États-Unis et l'UE a récemment été finalisé. Les organisations concernées doivent comprendre comment ce changement s'est matérialisé, les nouvelles exigences imposées par le cadre et ce que les analystes prévoient pour l'avenir des transferts de données entre l'UE et les États-Unis.

L'historique

Pendant près de 25 ans, l'UE et les États-Unis avaient un accord en place pour faciliter les transferts de données tout en maintenant des protections adéquates. Lorsque le RGPD a radicalement changé le paysage de la vie privée de l'UE, d'importantes révisions du processus de transfert de données ont été nécessaires. Voici un aperçu chronologique :

• En 2000, le cadre de la protection des données UE-États-Unis (Safe Harbor) a été établi pour permettre les transferts transfrontaliers. Il a été déclaré invalide en octobre 2015.

• En juillet 2016, le nouveau cadre du Bouclier de protection des données (Privacy Shield) est devenu effectif.

• En juillet 2020, l'arrêt historique Schrems II a invalidé le cadre du Privacy Shield en raison de la diminution des protections de la vie privée violant le RGPD et de l'appréhension concernant la surveillance américaine lors des activités de transfert. L'UE a déclaré ne pas reconnaître les États-Unis comme ayant des garanties adéquates en matière de protection des données.

• En juin 2021, la Commission européenne a créé de nouvelles clauses contractuelles types (CCT) qui renforcent la responsabilité et la transparence. Les CCT s'appliquent aux transferts de données à caractère personnel des États membres de l'UE vers d'autres pays et assurent une activité transfrontalière conforme aux normes du RGPD.

• Avec la disparition du Privacy Shield, les organisations se sont tournées vers les nouvelles CCT pour effectuer les transferts de données entre l'UE et les États-Unis. Il s'agit d'un mécanisme plus complexe et imprévisible qui nécessite des évaluations d'impact sur le transfert de données prenant du temps.

• En mars 2022, l'UE et les États-Unis ont conclu un accord de principe pour mettre en place un autre mécanisme de transfert qui simplifierait le processus, permettrait l'auto-certification et améliorerait les protections de la vie privée.

• En octobre 2022, le président Biden a signé un décret présidentiel détaillant les étapes pour mettre en œuvre officiellement le nouveau cadre, mentionnant à nouveau l'auto-certification et un contrôle renforcé sur les transferts de données.

• Le 10 juillet 2023, la Commission européenne a finalisé la décision d'adéquation dans le cadre du nouveau cadre de protection des données UE-États-Unis, affirmant que les dispositions concernant la surveillance américaine et les recours des consommateurs étaient satisfaisantes.

Le nouveau cadre

Le Département du commerce des États-Unis gérera le nouveau programme de protection des données UE-États-Unis. Il n'est pas obligatoire, et les organisations peuvent choisir d'utiliser d'autres mécanismes tels que les CCT pour effectuer les transferts, mais ce cadre simplifiera le processus. Voici les principales caractéristiques :

• Les organisations doivent déclarer publiquement qu'elles se conformeront aux obligations de confidentialité prescrites lors des transferts. Cela inclut la minimisation des données, les limites de partage des données, et plus encore. Ce faisant, la Commission fédérale du commerce aura compétence pour faire respecter, si nécessaire.

• Les organisations doivent fournir des protections similaires au RGPD aux individus afin que les informations puissent circuler sans recourir à des mesures de sécurité supplémentaires.

• Pour répondre aux préoccupations concernant la surveillance, il existe maintenant des limites sur le moment où certaines agences peuvent accéder aux informations en provenance de l'UE, un contrôle renforcé et la mise en place d'un processus de recours indépendant.

• Les individus peuvent déposer des plaintes auprès de leur propre autorité de protection des données nationale pour traiter les soupçons de mauvaise gestion des informations. Ensuite, il y aura des mécanismes supplémentaires pour transmettre les plaintes aux États-Unis pour enquête, examen et résolution devant une nouvelle Cour d'examen de la protection des données. Ce processus de recours sera également disponible pour les transferts en dehors du nouveau cadre, y compris la méthode des CCT.

• L'UE effectuera un examen continu du programme pour garantir qu'il maintient son statut d'adéquation.

Avec cela, les organisations peuvent maintenant entreprendre des démarches pour s'auto-certifier en vertu du nouveau cadre. Alors que beaucoup ont attendu dans l'incertitude, certaines ont choisi de maintenir des certifications en vertu du Privacy Shield invalidé même si elles ne sont plus en utilisation.

Prévisions pour l'avenir

Avec cette troisième tentative de mettre en œuvre un mécanisme de transfert de données simplifié, deux questions préoccupent tout le monde. Est-ce que cela va fonctionner cette fois-ci ? Et si le nouveau cadre est rejeté, que faudra-t-il pour qu'il soit considéré suffisant ? Les analystes sont partagés et les opinions divergent.

Le leader de l'affaire Schre ms a déjà déclaré qu'il ne pense pas que ce cadre soit valide et qu'il a l'intention de le contester en justice. Le Parlement européen et d'autres autorités de protection des données ont concouru. Les sceptiques estiment qu'il faut une action législative du Congrès pour modifier la législation américaine sur la surveillance afin de fournir des protections supplémentaires.

D'un autre côté, le président de la Commission européenne a reconnu que le nouveau cadre contient des engagements sans précédent qui faciliteront les transferts sûrs et sécurisés. Mais cela s'avérera-t-il vrai ? Seul le temps nous le dira. En attendant, certains analystes encouragent les organisations à profiter du cadre pour alléger le fardeau porté au cours des trois dernières années. D'autres conseillent d'être plus prudents, de considérer de nouvelles obligations en matière de conformité et de procéder à une analyse des risques avant de passer à l'action.

Quelle que soit la voie choisie, suivre les nouveaux développements devrait être en tête de liste. Un défi judiciaire prendra probablement des années pour se résoudre et étant donné que l'industrie est divisée sur cette question, il est difficile de savoir comment la décision se déroulera. En attendant, les efforts de conformité des organisations américaines et les décisions à venir de la nouvelle Cour d'examen de la protection des données éclaireront davantage le sort du dernier cadre de protection des données UE-États-Unis.