Invalidation du Privacy Shield : le secteur numérique s’inquiète de l’impact immédiat et demande des mesures transitoires, en vue d’un cadre protecteur stabilisé

Les associations professionnelles du secteur expriment ainsi leur vive inquiétude quant à l’impact immédiat de la décision de la CJUE sur les échanges économiques, non seulement pour les grandes mais également pour les petites et moyennes entreprises, européennes ou internationales, ainsi que pour les échanges sociaux et scientifiques.

 Pour rappel, s’agissant des transferts de l’Union Européenne vers les Etats Unis, la Cour de Justice de l’Union européenne (CJUE) a, dans son arrêt du 16 Juillet 2020 :

• invalidé le mécanisme d’auto-certification « Privacy Shield », pourtant préalablement reconnu par la Commission européenne comme offrant un niveau de protection adéquat
• précisé que les Clauses Contractuelles Types approuvées par la Commission européenne et listées par le RGPD comme un mécanisme valable de transfert hors UE des données restent valables, mais qu’il s’avère nécessaire d’y ajouter des garanties supplémentaires pour assurer un niveau de protection adéquat aux données transférées dans des pays ne fournissant pas de protection essentiellement équivalente à celle qui est garantie au sein de l’Union européenne.

En d’autres termes, la CJUE exige désormais que les entreprises exportatrices évaluent elles-mêmes le niveau d’adéquation du pays tiers ne bénéficiant pas de décision d’adéquation valide, en tenant compte des lois du pays où se situe l’importateur, et en particulier des pratiques permettant l’accès auxdites données par les autorités publiques du pays en question.

Cette remise en cause non-anticipée des mécanismes existants impacte directement un grand nombre d’entreprises, tous secteurs et tailles confondus, ainsi que les administrations publiques, qui exportent leurs données en dehors de l’Union Européenne. Ces mécanismes permettent que les données d’origine européenne soient accessibles en dehors de nos frontières, et ainsi garantissent leur libre circulation dans l’UE et en dehors de l’UE, afin de favoriser l’économie et l’innovation européennes. Plusieurs entreprises, tout secteur d’activité confondu, font d’ores et déjà l’objet de plaintes (plus d’une centaine déposée), traduisant une situation déjà actuelle. Cette situation est d’autant plus préoccupante que les entreprises tentent de se remettre des répercussions économiques de la pandémie de COVID-19.

Afin d’assurer la continuité des transferts internationaux dans un cadre juridique sûr et respectueux des valeurs de l’Union européenne, et permettre la poursuite de l’activité économique des entreprises, l’Asic, Syntec Numérique et TECH IN France alertent sur la nécessité que :  

• les autorités européennes et nationales mettent tout en œuvre pour proposer des mesures transitoires d’application immédiate qui permettront de sécuriser les entreprises dans l’attente d’un cadre protecteur stabilisé
• les autorités de protection des données, rassemblées au sein du Comité Européen de Protection des Données (CEPD) et la Commission Européenne discutent avec les entreprises et le secteur public au plus vite de leur analyse et recommandations sur la nature et la mise en œuvre des garanties complémentaires pouvant accompagner l’utilisation des Clauses Contractuelles Types ainsi que sur les dérogations. Il est essentiel que les recommandations des autorités de protection des données soient précises, opérationnelles et adaptées au niveau de risque présenté par différents transferts, en fonction de facteurs tels que le types de données, le but du transfert ou le rôle de l’entreprise. Les recommandations doivent également être respectueuses des traités de commerce internationaux afin de permettre une mise en œuvre rapide et efficace par l’ensemble des acteurs concernés. Il est tout aussi essentiel que les contrôles et les enquêtes menées, à l’échelle nationale, par différentes autorités, soient cohérentes et ne conduisent pas à un éclatement des interprétations et des recommandations au sein de l’UE ;
• la Commission européenne procède dans les meilleurs délais à la mise à jour des Clauses Contractuelles Types, en prenant en compte la décision de la CJUE, afin de garantir la stabilité juridique de ce mécanisme de transfert vers les pays tiers ;
• la Commission européenne et les autorités de protection des données se prononcent sur les risques ou, le cas échéant, le niveau d’adéquation des pays tiers, afin de faciliter la mise en conformité des acteurs responsables souhaitant poursuivre leurs transferts vers des pays tiers jugés non adéquats et de garantir ainsi une approche harmonisée et cohérente pour toutes les organisations européennes