L’accord « Privacy Shield » est venu remplacer l’accord « Safe Harbor ». Ce dernier, qui organisait une partie du transfert des données entre l’Union européenne et les États-Unis, a été annulé par la Cour de justice de l’Union européenne le 6 octobre 2015. Après cette décision, la Commission européenne a donc négocié rapidement un nouvel accord avec les États-Unis, afin d'assurer la continuité du flux massif de données entre les deux continents. C’est ainsi qu’a été proposé le Privacy Shield, qui est entré en vigueur depuis le 1er août 2016.Cela va donc faire bientôt un an que cet accord a été établi. Aussi, l’Europe évalue sa pertinence pour pouvoir l’ajuster si le besoin s’en faisait ressentir.
C’est en prévision de cette évaluation annuelle que les membres du Conseil National du Numérique ont reçu une délégation américaine durant l’été pour échanger sur les différents enjeux du dispositif et formuler leurs interrogations. Au terme de cet échange, le CNNum a estimé que le « Privacy Shield » présente un trop grand nombre de zones d’ombre et ne donne pas suffisamment de garanties à la protection des données personnelles des Européens.
Les pratiques de renseignement américain, mises au jour par les révélations d’Edward Snowden, étaient au cœur de la décision de la Cour de justice européenne lorsqu’elle a invalidé Safe Harbor. Aussi, lors des négociations sur l’accord Privacy Shield, la Commission européenne avait obtenu, de la part des autorités américaines, la promesse que la collecte de données ciblée resterait prioritaire sur la collecte de masse.
Néanmoins, le CNNum estime que cette avancée est relative, car il ne s’agit en réalité que d’une simple directive présidentielle. Cette promesse n’est pas inscrite « en dur » et le droit américain reste largement inchangé. Il en va ainsi de la portée de la collecte, qui peut toujours être justifiée à des fins « sécurité nationale », un motif comprenant des objectifs aussi larges que non définis.
Le CNNum s’inquiète également de certaines évolutions concomitantes : « Les évolutions législatives et jurisprudentielles récentes, combinées à la position affichée par la nouvelle administration, jettent un éclairage nouveau sur le dispositif. Si ces développements ne remettent pas fondamentalement en cause l’équilibre juridique (au demeurant très perfectible) de la protection des données aux États-Unis, ils constituent à tout le moins un signal politique particulièrement préoccupant. »
Le Conseil estime alors que la vigilance doit être de mise : « Le Conseil restera attentif aux futures évolutions américaines, en particulier la reconduction éventuelle du titre VII du FISA Amendments Act (FAA) américain, censé expirer à la fin de l’année. Ces dispositions comprennent la controversée « section 702 », qui permet la surveillance très large de tout ressortissant d’un pays étranger. Cette section a également servi de fondement aux programmes PRISM et UPSTREAM. »
À la question du respect de la vie privée des citoyens européens s’ajoutent des considérations plus économiques. Pour le CNNum, dans un contexte d’asymétrie très forte entre les industries numériques européennes encore naissantes et les géants extraeuropéens, l’accord Safe Harbor a contribué à renforcer ce déséquilibre. Les contrôles, particulièrement faibles, liés aux mécanismes d’autocertification ont pu entraîner une perte de compétitivité pour les entreprises européennes, soumises à des exigences plus strictes. Dans ce contexte, l’entrée en vigueur prochaine du règlement général pour la protection des données (RGPD), qui renforce les obligations des entreprises opérant sur le territoire européen, conduit au même risque de déséquilibre.
Le Conseil estime qu’il est essentiel de ne pas faire preuve de naïveté et de ne pas répéter les erreurs du passé et défend une approche prioritairement défensive par le fait que la position de prédominance des acteurs extraeuropéens sur le territoire de l’Union peut conduire à ce genre d’attitude.
Le Conseil conclut en disant que « L’accord Privacy Shield doit ainsi être conçu comme un dispositif transitoire. Il est nécessaire de s’atteler à la négociation d’un accord plus robuste juridiquement, pour garantir la protection des données personnelles de tous les Européens, dans un cadre suffisamment stable pour nos entreprises. Il s’agit également de prendre la pleine conscience de l’asymétrie existante en matière de flux de données entre les États-Unis et l’Union européenne. L’entrée en vigueur, l’an prochain, du RGPD et l’harmonisation des législations nationales, doit permettre cette négociation sur des bases plus solides. »
Source : CNNum
Et vous ?
Partagez-vous ce point de vue ? 
Envoyé par Jon Shannow
.