Privacy Shield : le commissaire européen à la justice se montre plutôt satisfait du premier examen
De l'accord sur les transferts de données

Le , par Stéphane le calme, Chroniqueur Actualités
L’Europe a évalué la pertinence de l’accord Privacy Shield, signé entre les États-Unis et l’UE sur les transferts des données, un an après son implémentation. Malgré les réserves émises par de nombreuses entités à l’endroit du Privacy Shield et une réponse très mince du groupe de travail de l'article 29 de l'UE (composé des autorités de protection des données des États membres), le commissaire européen à la Justice Věra Jourová et le secrétaire américain au Commerce Wilbur Ross ont publié une déclaration commune à la fin de l'examen qui ont estimé que cet accord est encourageant.

« Cette semaine, des représentants du gouvernement des États-Unis, de la Commission européenne et des autorités de la protection des données de l'UE se sont réunis à Washington DC pour lancer la première évaluation annuelle du Framework de protection de la vie privée entre l'UE et les États-Unis établi en 2016.

« Cette première évaluation annuelle marque une étape importante pour le Framework ainsi que pour la coopération entre les États-Unis et l'UE en matière de protection des données. Le Privacy Shield a mis la barre de protection des données transatlantiques haut en veillant à ce que les entreprises participantes et les autorités publiques concernées fournissent un niveau élevé de protection des données pour les individus de l'UE.

« Depuis la création du programme, plus de 2400 organisations ont rejoint le Privacy Shield. Les responsables des États-Unis et de l'UE se sont félicités des informations partagées par les participants conformément au Framework Privacy Shield et par la société civile et les fournisseurs de mécanismes de recours indépendants. Les fonctionnaires ont noté que cette contribution a largement informé le processus d'examen et entraînera des améliorations continues au fonctionnement du programme.

« L'évaluation s’est penchée sur tous les aspects de l'administration et de l'application du Privacy Shield, y compris les questions liées à la sécurité commerciale et à la sécurité nationale, ainsi que des développements juridiques plus importants aux États-Unis. Les participants ont également discuté de leurs travaux respectifs pour mettre en œuvre le programme du Privacy Shield au cours de l'année inaugurale, en reconnaissant la valeur de la communication régulière entre les États-Unis et les autorités de l'UE. »

« Privacy Shield a une importance vitale pour les entreprises américaines et européennes afin qu’elles puissent continuer à transférer des données à travers l'Atlantique, à faire des affaires en plus d’établir un niveau élevé pour la protection des données des consommateurs », a déclaré Kara Sutton, de la Chambre de commerce américaine dans un communiqué.

Jourová a souligné que l'accord sur la protection de la vie privée avait une solide analyse de rentabilisation. « Le transfert de données sous-tend nos importantes relations commerciales et est comme le pain et le beurre pour de nombreuses entreprises européennes et américaines », a-t-elle déclaré.

Vendredi dernier, la Maison-Blanche a assuré dans un communiqué que cet examen allait « démontrer la force de la promesse américaine de protéger les données personnelles des citoyens des deux côtés de l'Atlantique. »

Rappelons que le CNNum a estimé pour sa part que Privacy Shield doit être renégocié. Pour le Conseil, la promesse obtenue par Bruxelles que la collecte de données ciblée resterait prioritaire sur la collecte de masse est une avancée relative étant donné qu’il ne s’agit en réalité que d’une simple directive présidentielle. Le CNNum rappelle que cette promesse n’est pas inscrite « en dur » et le droit américain reste largement inchangé. Il en va ainsi de la portée de la collecte, qui peut toujours être justifiée à des fins de « sécurité nationale », un motif comprenant des objectifs aussi larges que non définis.

Le CNNum s’inquiète également de certaines évolutions concomitantes : « Les évolutions législatives et jurisprudentielles récentes, combinées à la position affichée par la nouvelle administration, jettent un éclairage nouveau sur le dispositif. Si ces développements ne remettent pas fondamentalement en cause l’équilibre juridique (au demeurant très perfectible) de la protection des données aux États-Unis, ils constituent à tout le moins un signal politique particulièrement préoccupant. »

Le Conseil estime alors que la vigilance doit être de mise : « Le Conseil restera attentif aux futures évolutions américaines, en particulier la reconduction éventuelle du titre VII du FISA Amendments Act (FAA) américain, censé expirer à la fin de l’année. Ces dispositions comprennent la controversée « section 702 », qui permet la surveillance très large de tout ressortissant d’un pays étranger. Cette section a également servi de fondement aux programmes PRISM et UPSTREAM. »

Source : Europa

Mise à jour du 20/10/2017 : Bruxelles approuve le Privacy Shield
La Commission européenne a déclaré mercredi 18 octobre que l’accord Privacy Shield a passé son premier examen annuel.

Selon la commissaire à la justice de l'UE, Vera Jourova, qui a présenté le premier rapport annuel sur l'accord, Privacy Shield fonctionne « bien » et continue d'assurer un niveau adéquat de protection des données personnelles des Européens transférées aux entreprises participantes aux États-Unis.

« Les autorités américaines respectent leurs engagements » en mettant en place les structures et procédures nécessaires pour assurer le bon fonctionnement de l'accord, telles que de nouvelles possibilités de recours pour les citoyens européens ou encore une meilleure coopération avec les autorités européennes de protection des données.

Néanmoins, le commissaire a expliqué qu'une certaine « marge d'amélioration » est encore nécessaire, notamment sur le fait que le département du Commerce des États-Unis a besoin d'un suivi plus rigoureux de la conformité des entreprises avec ses règles de confidentialité.

Andrus Ansip, vice-président de la Commission pour le marché unique numérique, a déclaré : « Cette première revue annuelle démontre notre engagement à créer un système de certification solide avec un travail de supervision dynamique. »

Au cours des prochains mois, la Commission continuera à suivre de près le fonctionnement de Privacy Shield et veillera notamment à ce que les autorités américaines respectent leurs engagements.

Source : EU Observer


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse Signaler un problème

Avatar de Matthieu Vergne Matthieu Vergne - Expert éminent https://www.developpez.com
le 22/09/2017 à 21:30
Citation Envoyé par Stéphane le calme Voir le message
« L'évaluation s’est penchée sur tous les aspects de l'administration et de l'application du Privacy Shield, y compris les questions liées à la sécurité commerciale et à la sécurité nationale, ainsi que des développements juridiques plus importants aux États-Unis. Les participants ont également discuté de leurs travaux respectifs pour mettre en œuvre le programme du Privacy Shield au cours de l'année inaugurale, en reconnaissant la valeur de la communication régulière entre les États-Unis et les autorités de l'UE. »

« Privacy Shield a une importance vitale pour les entreprises américaines et européennes afin qu’elles puissent continuer à transférer des données à travers l'Atlantique, à faire des affaires en plus d’établir un niveau élevé pour la protection des données des consommateurs », a déclaré Kara Sutton, de la Chambre de commerce américaine dans un communiqué.

Jourová a souligné que l'accord sur la protection de la vie privée avait une solide analyse de rentabilisation. « Le transfert de données sous-tend nos importantes relations commerciales et est comme le pain et le beurre pour de nombreuses entreprises européennes et américaines », a-t-elle déclaré.
Dans les faits, on nous sorts des objectifs de sécurité en disant que l'accord fait dans la rentabilité. On est d'accord, il ne fait pas ce qu'il est censé faire, et ça ne choque personne là haut.
Avatar de marsupial marsupial - Membre émérite https://www.developpez.com
le 20/10/2017 à 12:10
Lorsque le patriote act sera aboli, alors le privacy Shield aura un sens. Que Macron ait descendu les lois de l'état d'urgence dans la constitution.,.
Avatar de Olivier Famien Olivier Famien - Chroniqueur Actualités https://www.developpez.com
le 14/06/2018 à 2:57
La Commission des libertés civiles de l’UE demande la suspension du Privacy Shield
si les États-Unis ne s’y conforment pas d’ici le 1er septembre

Depuis le 12 juillet 2016, le Privacy Shield, l’accord constituant un bouclier de protection des données et conclu entre l’Union européenne (UE) et les États-Unis afin de protéger les données des citoyens et résidents de l’UE transférées et exploitées sur le sol américain, a été approuvé. À la suite de cet accord, plusieurs voix se sont élevées afin d’exprimer des réserves ou des désaccords vis-à-vis de ce nouveau programme.

Avant l’entrée en vigueur de cet accord, le G29, l’organe consultatif européen qui rassemble les autorités de protection des données et de la vie privée parmi lesquelles se trouve la CNIL, l’agence française de protection des données, a émis des réserves vis-à-vis de cet accord. Pour le G29, les dispositions sur la surveillance de masse exercées par les agences américaines restaient encore à améliorer en plus d’autres points comme celui qui prévoit que tout citoyen européen puisse demander réparation, auprès des tribunaux américains, en cas de mauvaise utilisation de ses données. Pour le G29, cette dernière procédure devrait introduite par les Européens auprès des CNIL nationales pour faciliter la tâche aux non anglophones.

Quelques points soulevés par le G29 ont également été repris par le CNNum en France qui est le Conseil national du numérique. À la faveur de l’examen annuel qui devait avoir lieu un an après l’entrée en vigueur de cet accord, le CNNum, après avoir échangé avec une délégation américaine durant l’été 2017, a souligné que le Privacy Shield présente un trop grand nombre de zones d’ombre et ne donne pas suffisamment de garanties à la protection des données personnelles des Européens.

Selon l’article 72 de cet accord, il est stipulé que « les composantes de la communauté du renseignement [y compris les États-Unis] doivent parfois collecter des renseignements d’origine électromagnétique en vrac dans certaines circonstances, par exemple pour détecter et évaluer les nouvelles menaces ou les menaces émergentes ». L’article 73 ajoute que « lorsque la communauté du renseignement ne peut pas utiliser des identifiants spécifiques pour cibler la collecte, elle s’efforcera de réduire “autant que possible” le champ de la collecte ». Enfin sur ce même point, l’article 76 précise que « la priorité est clairement donnée à une collecte ciblée, tandis que la collecte en vrac est limitée aux situations (exceptionnelles) dans lesquelles une collecte ciblée n’est pas possible pour des raisons techniques ou opérationnelles ».


Pour le CNNum, le Privacy Shield doit être renégocié pour parvenir à un accord plus robuste, car par exemple la promesse formulée par le gouvernement américain sur le fait que la collecte de données ciblée resterait prioritaire sur la collecte de masse demeure légère dans la mesure où elle n’est pas inscrite dans la loi américaine pour qu’elle soit une obligation pour les agences américaines. En raison de ces dispositions et d’autres encore, certaines associations notamment la Quadrature du Net, French Data Network et la fédération FDN ont porté plainte devant la Cour de justice de l’Union européenne à l’effet d’obtenir l’annulation de cet accord.

Au parlement européen, ces points de désaccord ne sont pas passés sous silence. Après un débat houleux sur l’avenir de cet accord, un nouveau projet de résolution a été adopté par les parlementaires. Avec ce projet de résolution adopté par 29 voix pour, 25 voix contre et 3 abstentions, l’accord du Privacy Shield devrait plus profiter aux Européens avec plus de contraintes pour les États-Unis. À la suite de l’adoption de projet de résolution, les députés de la commission des libertés civiles ont interpellé la Commission sur le fait « que l’accord devrait rester suspendu jusqu’à ce que les autorités américaines respectent totalement ses conditions ». Les députés ont fixé comme date butoir, le 1er septembre, pour déterminer si les États-Unis se sont conformés aux exigences de l’accord ou pas. En outre, « suite à la violation des données par Facebook-Cambridge Analytica, les députés de la commission des libertés civiles soulignent la nécessité d’un meilleur suivi de l’accord ».

Claude Moraes, le rapporteur de la Commission, a déclaré à la suite de l’adoption de ce projet de loi que « la commission des libertés civiles a adopté lundi 11 juin une position claire sur l’accord relatif au bouclier de protection des données entre l’UE et les États-Unis. Bien que des progrès aient été réalisés pour améliorer l’accord Safe Harbor, le bouclier de protection des données dans sa forme actuelle n’offre pas le niveau de protection adéquat requis par la législation de l’UE en matière de protection des données et la Charte de l’UE. Il appartient donc aux autorités américaines de suivre réellement les termes de l’accord et à la Commission européenne de prendre des mesures pour s’assurer qu’il se conformera pleinement au RGPR ».

Source : Projet de résolution dur le Privacy Shield (PDF),Parlement européen

Et vous ?

Que pensez-vous de ce nouveau durcissement de ton de la Commission de l’UE ?

Est-ce suffisant pour régler les points de désaccord soulevés ?

Voir aussi

Le vote sur l'ePrivacy, le règlement sur la protection de la vie privée des citoyens, sera retardé d'une semaine suite à un désaccord européen
UE : des groupes de défenses de la vie privée exposent leur pessimisme sur les modifications apportées à la protection des données personnelles
Europe : nouvelle réglementation générale sur la protection des données à respecter avant le 25 mai 2018, vos applications seront-elles conformes ?
« Vos données personnelles sont utilisées pour vous contrôler », Bruce Schneier décrit la guerre de l'information à laquelle se livre le monde
UE : des groupes de défenses de la vie privée exposent leur pessimisme sur les modifications apportées à la protection des données personnelles
Avatar de Grogro Grogro - Membre extrêmement actif https://www.developpez.com
le 14/06/2018 à 11:46
Je n'ai pas les compétences pour juger du point de vue juridique, mais je pense que c'est surtout le reflet de la "trade war" qui émerge entre l'UE et les USA.

Sans compter que la confiance est rompue depuis Snowden jusqu'à l'affaire Cambridge Analytica.
Avatar de Stéphane le calme Stéphane le calme - Chroniqueur Actualités https://www.developpez.com
le 06/07/2018 à 12:43
Le Parlement européen appelle à la suspension du Privacy Shield,
estimant qu'il n'offre pas le niveau de protection requis par le droit européen en matière de protection des données

L’accord « Privacy Shield » est venu remplacer l’accord « Safe Harbor ». Ce dernier, qui organisait une partie du transfert des données entre l’Union européenne et les États-Unis, a été annulé par la Cour de justice de l’Union européenne le 6 octobre 2015. Après cette décision, la Commission européenne a donc négocié rapidement un nouvel accord avec les États-Unis, afin d'assurer la continuité du flux massif de données entre les deux continents. C’est ainsi qu’a été proposé le Privacy Shield, qui est entré en vigueur depuis le 1er août 2016.

Cependant, les députés ont adopté une résolution appelant à la suspension de Privacy Shield. Le Parlement européen explique que :
  • considérant que les transferts de données à caractère personnel entre les organisations commerciales de l’UE et des États-Unis constituent un élément important des relations transatlantiques, au vu de la numérisation toujours croissante de l’économie mondiale; que ces transferts devraient être menés dans le strict respect du droit à la protection des données à caractère personnel et du droit au respect de la vie privée; que l’un des objectifs fondamentaux de l’Union est la protection des droits fondamentaux consacrés dans la charte;
  • considérant que Facebook, signataire du bouclier de protection des données, a confirmé que les données de 2,7 millions de citoyens de l’UE figuraient parmi les données utilisées de manière abusive par le consultant politique Cambridge Analytica;
  • considérant que le bouclier de protection des données UE-États-Unis est assorti de plusieurs engagements et assurances unilatéraux de la part de l’administration américaine, explicitant, entre autres, les principes de la protection des données, le fonctionnement de la surveillance, de la mise en application de la loi et des voies de recours, et les protections et garanties en vertu desquelles les agences de sécurité peuvent avoir accès aux données à caractère personnel et traiter ces dernières;
  • considérant que le groupe de travail «article 29» a recensé un certain nombre de questions en suspens, importantes et très préoccupantes, concernant à la fois le commerce et l’accès des autorités publiques américaines aux données transférées aux États-Unis au titre du bouclier de protection des données (que ce soit à des fins de répression ou de sécurité nationale), qui doivent être abordées aussi bien par la Commission que par les autorités américaines; qu’il a demandé la mise en place immédiate d’un plan d’action pour démontrer que toutes ces questions seront abordées, au plus tard lors du deuxième examen conjoint;

  • considérant que le 11 janvier 2018, le Congrès américain a modifié et réautorisé pour six ans la section 702 du FISA sans répondre aux préoccupations que la Commission exprime dans son rapport d’examen conjoint et de l’avis du groupe de travail «article 29» ;
  • considérant que, dans le cadre de la législation budgétaire générale promulguée le 23 mars 2018, le Congrès américain a promulgué le «Clarifying Overseas Use of Data (‘CLOUD’) Act», qui facilite l’accès à des fins répressives au contenu des communications et autres données liées en permettant aux autorités répressives des États-Unis d’imposer la production de données de communication même si elles sont stockées en dehors des États-Unis, et en permettant à certains pays étrangers de conclure des accords exécutifs avec les États-Unis de manière à permettre aux fournisseurs de services américains de répondre à certaines décisions de justice étrangères réclamant un accès à des données de communication;
  • considérant que Facebook Inc., Cambridge Analytica and SCL Elections Ltd sont des entreprises certifiées dans le cadre du bouclier de protection des données et qu’en tant que telles, elles ont bénéficié de la décision d’adéquation comme base juridique pour le transfert, en vue du traitement ultérieur, de données à caractère personnel de l’Union européenne vers les États-unis.


Aspects institutionnels / Nominations

Le Parlement européen souligne que les récentes révélations concernant les pratiques de Facebook et de Cambridge Analytica mettent en exergue la nécessité d’une surveillance en amont ainsi que de mesures d’exécution qui ne se fondent pas exclusivement sur des plaintes et qui prévoient des contrôles systématiques de la conformité pratique des politiques de protection de la vie privée avec les principes du bouclier de protection des données tout au long de la durée de vie de la certification; invite les autorités compétentes de l’Union en matière de protection des données à prendre des mesures appropriées et à suspendre les transferts en cas d’absence de conformité.

Aspects commerciaux

Le Parlement estime que les différentes procédures de recours offertes aux citoyens de l’Union européenne peuvent s’avérer trop complexes, difficiles à utiliser et, partant, moins efficaces; note que, comme le soulignent les entreprises qui proposent des mécanismes de recours indépendants (IRM), la plupart des plaintes sont déposées directement auprès des entreprises par des personnes cherchant des informations générales sur le bouclier des données et le traitement de leurs données; plaide donc pour que les autorités américaines donnent, sur le site Internet du bouclier de protection des données, des informations plus concrètes sur les divers droits et les voies de recours existantes, et ce sous une forme accessible et facilement compréhensible;


Il s’est montré vivement préoccupé par les conséquences de la révision des conditions d’utilisation de Facebook pour les utilisateurs de pays tiers résidant hors des États-Unis et du Canada, qui ont jusqu’à présent bénéficié des droits octroyés par la législation européenne sur la protection des données, et qui doivent désormais accepter que le responsable du traitement des données ne soit plus Facebook Irlande mais Facebook États-unis. Le Parlement considère que cette pratique constitue un transfert de données à caractère personnel d’environ 1,5 milliard d’utilisateurs vers un pays tiers et doute sérieusement qu’une telle limitation à grande échelle et sans précédent des droits fondamentaux des utilisateurs d’une plateforme, de fait monopolistique, corresponde au but recherché par le bouclier de protection des données. Aussi, il invite les autorités de protection des données de l’UE à enquêter sur cette question.

Appréciation de la loi et sécurité nationale

Le Parlement estime que la définition de l’expression «sécurité nationale» dans le mécanisme du bouclier de protection des données n’est pas suffisamment circonscrite pour s’assurer que les violations de la protection des données peuvent être effectivement examinées par les tribunaux sur la base d’un contrôle strict de ce qui est nécessaire et proportionné; demande par conséquent une définition claire de la «sécurité nationale».

Il réitère ses préoccupations concernant le décret présidentiel 12333, qui permet à la NSA de partager de vastes quantités de données privées, recueillies sans mandat, ordonnance de justice ou autorisation du Congrès, avec 16 autres organismes, dont le FBI, l’agence de lutte contre la drogue et le ministère de la sécurité intérieure; regrette l’absence de tout contrôle juridictionnel des activités de surveillance fondées sur le décret présidentiel 12333.


Il exprime ses vives préoccupations concernant l’adoption récente de la loi CLOUD [Clarifying Lawful Overseas Use of Data Act] (H.R. 4943) visant à clarifier les règles relatives aux réquisitions des autorités américaines sur les données stockées en dehors de leur territoire, qui étend les compétences des services répressifs américains et étrangers en leur permettant de cibler et d’accéder aux données des personnes au-delà des frontières internationales sans recourir aux instruments d’entraide judiciaire (MLAT), qui eux prévoient des garanties appropriées et respectent les compétences judiciaires des pays sur le territoire desquels l’information est stockée; fait observer que la loi CLOUD pourrait avoir de graves conséquences pour l’UE car elle a une grande portée et est source de conflit potentiel avec la législation de l’UE sur la protection des donnée.

Conclusions

Le Parlement :
  • invite la Commission à prendre toutes les mesures nécessaires pour garantir que le bouclier de protection des données sera entièrement conforme au règlement (UE) 2016/679, applicable à partir du 25 mai 2018, et à la charte des droits fondamentaux de l’UE pour éviter ainsi que les critères d’adéquation ne se traduisent par des lacunes ou par un avantage concurrentiel pour les entreprises américaines;
  • rappelle que la protection des données et de la vie privée sont des droits fondamentaux juridiquement contraignants, consacrés par les traités, par la charte des droits fondamentaux et par la convention européenne des droits de l’homme, ainsi que par le droit et la jurisprudence; souligne qu’ils doivent être appliqués d’une manière qui n’entrave pas inutilement le commerce ou les relations internationales, mais qu’ils ne peuvent pas être «mis en balance» avec les intérêts commerciaux ou politiques;
  • est d’avis que l’actuel bouclier de protection des données n’offre pas le niveau de protection adéquat requis par le droit de l’Union en matière de protection des données et par la charte des droits fondamentaux de l’Union européenne, telle qu’interprétée par la Cour de justice de l’Union européenne.


Source : proposition de résolution

Voir aussi :

Des pays d'Europe utiliseraient les données téléphoniques des migrants pour valider ou rejeter leurs demandes d'asile, pour ou contre cette pratique ?
Wikipédia Italie ferme son service pour dénoncer la réforme sur le droit d'auteur en Europe, dont l'adoption pourrait être accélérée le 5 juillet
Un mois après l'entrée en vigueur du RGPD, personne ne respecte vraiment le règlement européen qui est interprété différemment d'un acteur à l'autre
La CJUE estime que la marque « France.com » ne peut être déposée en Europe, et évoque un risque de confusion avec une marque déjà déposée
UE : 62 associations saisissent la Commission européenne sur la conservation généralisée des données par les opérateurs de télécoms dans 17 pays
Contacter le responsable de la rubrique Accueil