RGPD
Transfert de données personnelles vers les Etats-unis de nouveau possible
Les Etats-Unis offrent une protection adéquate pour les données personnelles transférées des entreprises de l'UE vers les Etats-Unis. C'est en ce sens que le 11 juillet, la Commission européenne a adopté sa décision d'adéquation pour le Cadre de Protection des Données UE-États-Unis .
Temps de lecture :
3 min
Les Etats-Unis offrent une protection adéquate pour les données personnelles transférées des entreprises de l'UE vers les Etats-Unis. C'est en ce sens que le 11 juillet, la Commission européenne a adopté sa décision d'adéquation pour le Cadre de Protection des Données UE-États-Unis.
La décision fait suite à la signature par les États-Unis d'un décret présidentiel pour renforcer les protections pour les activités de renseignement américaines, en réponse aux préoccupations soulevées par la Cour de justice de l'UE dans son jugement "Schrems II".
Notamment, des mesures ont été mises en place pour limiter l'accès des agences de renseignement américaines aux données nécessaires et proportionnées, et établir un mécanisme indépendant pour résoudre les plaintes des Européens concernant la collecte de leurs données à des fins de sécurité nationale.
Si vous souhaitez en savoir, plus n’hésitez pas à me contacter afin d’échanger avec un avocat RGPD.
- Qu'est-ce qu'une décision d'adéquation ?
Une décision d'adéquation, prévue par le Règlement Général sur la Protection des Données (RGPD), permet le transfert de données personnelles de l'UE vers des pays tiers qui offrent un niveau de protection comparable à celui de l'UE. Suite à de telles décisions, les données peuvent circuler librement et en toute sécurité depuis l'Espace Économique Européen (EEE) vers un pays tiers, sans conditions ou autorisations supplémentaires.
- Quels sont les critères pour évaluer l'adéquation ?
L'adéquation ne nécessite pas que le système de protection des données du pays tiers soit identique à celui de l'UE, mais repose sur le principe de "l'équivalence essentielle".
Cela implique une évaluation globale du cadre de protection des données du pays, incluant les mécanismes de surveillance et de recours disponibles.
- Qu'est-ce que le Cadre de Protection des Données UE-États-Unis ?
Dans sa décision d'adéquation, la Commission a soigneusement évalué les exigences du Cadre UE-États-Unis, ainsi que les limitations et garanties applicables lorsque les données transférées aux États-Unis sont accessibles par les autorités publiques américaines, en particulier pour l'application du droit pénal et la sécurité nationale.
- Quelles sont les limitations et garanties concernant l'accès aux données par les agences de renseignement américaines ?
Un élément clé de la décision d'adéquation concerne le décret présidentiel qui introduit des garanties pour limiter l'accès aux données par les autorités de renseignement américaines à ce qui est nécessaire et proportionné pour protéger la sécurité nationale, et établir un mécanisme indépendant et impartial de recours.
- Quel est le nouveau mécanisme de recours dans le domaine de la sécurité nationale et comment les individus peuvent-ils l'utiliser ?
Le gouvernement américain a mis en place un nouveau mécanisme de recours en deux étapes, avec une autorité indépendante et contraignante, pour traiter et résoudre les plaintes concernant la collecte et l'utilisation de leurs données par les agences de renseignement américaines.
- Quand la décision entrera-t-elle en vigueur ?
La décision d'adéquation est entrée en vigueur dès son adoption le 11 juillet.
Elle sera revue régulièrement, avec une première révision un an après son entrée en vigueur.
- Quel est l'impact de la décision sur la possibilité d'utiliser d'autres outils pour les transferts de données vers les États-Unis ?
Toutes les garanties mises en place par le gouvernement américain dans le domaine de la sécurité nationale s'appliquent à tous les transferts de données en vertu du RGPD vers les entreprises aux États-Unis, quel que soit le mécanisme de transfert utilisé.
* * *
En conclusion, la décision d'adéquation EU-États-Unis sur la protection des données personnelle renforce la sécurité et les droits des individus.
Cependant, sa mise en œuvre et sa compréhension nécessitent une expertise spécifique.
Si vous traitez des données personnelles entre l'UE et les États-Unis, il est crucial d'être correctement conseillé.
N'attendez plus et contactez dès aujourd'hui un avocat RGPD pour garantir une conformité optimale et sécuriser vos transferts de données.
Pour aller plus loin
Le transfert de données vers les États-Unis est-il à nouveau autorisé ?
Oui. Le 11 juillet, la Commission européenne a adopté une décision d'adéquation pour le Cadre de Protection des Données UE-États-Unis, considérant que les États-Unis offrent une protection adéquate pour les données transférées depuis l'UE. Les transferts vers les entreprises américaines certifiées sont de nouveau facilités.
Qu'est-ce qu'une décision d'adéquation ?
Prévue par le RGPD, c'est une décision de la Commission européenne reconnaissant qu'un pays tiers offre un niveau de protection des données comparable à celui de l'UE. Elle permet alors aux données de circuler librement vers ce pays sans condition ni autorisation supplémentaire.
Sur quels critères repose l'adéquation ?
L'adéquation n'exige pas un système identique à celui de l'UE, mais une équivalence essentielle. La Commission évalue globalement le cadre de protection du pays, y compris ses mécanismes de surveillance et de recours, pour vérifier que les droits des personnes y sont effectivement protégés.
Quel lien avec l'arrêt Schrems II ?
La décision fait suite aux préoccupations de la Cour de justice de l'UE dans l'arrêt Schrems II. Les États-Unis ont signé un décret renforçant les protections relatives aux activités de renseignement, en réponse à ces critiques, ce qui a permis l'adoption de la nouvelle décision d'adéquation.
Quelles garanties ont été mises en place côté américain ?
Des mesures limitent l'accès des agences de renseignement américaines aux données à ce qui est nécessaire et proportionné, et un mécanisme indépendant a été créé pour traiter les plaintes des Européens concernant la collecte de leurs données à des fins de sécurité nationale.
Mon entreprise peut-elle transférer librement des données aux États-Unis ?
Le transfert est facilité vers les entreprises américaines adhérant au cadre, mais il faut vérifier leur certification et continuer à documenter les transferts. La conformité RGPD reste requise pour les autres aspects du traitement. Un point de vigilance demeure sur la qualification des destinataires.
Cette décision peut-elle être remise en cause ?
Les décisions d'adéquation précédentes concernant les États-Unis ont déjà été invalidées par la justice européenne. Il est donc prudent de suivre l'évolution juridique et de conserver des mécanismes de transfert alternatifs, afin de ne pas dépendre exclusivement de cette décision.
Comment sécuriser ses transferts de données hors UE ?
En identifiant les transferts, en vérifiant l'existence d'une décision d'adéquation ou en mobilisant d'autres garanties (clauses contractuelles types, règles d'entreprise contraignantes), et en documentant le tout. Un accompagnement RGPD permet de sécuriser ces flux et d'anticiper les évolutions du cadre juridique.
Vous avez encore des questions ?
Notre équipe est à disposition !
Une question ?
Ressources
Aller plus loin
Avocat en droit du numérique et de la distribution, Barreau de Paris. Nous sécurisons vos contrats, vos données et votre activité.
Services
Secteurs
Nous contacter