Le nouvel accord visant à protéger les données personnelles des Européens traitées par des entreprises américaines est désormais conclu. Les craintes au sujet des garanties qu’il est censé assurer perdurent.
Le 12 juillet 2016, la Commission européenne a annoncé avoir formellement adopté le « Bouclier vie privée » ou Privacy Shield. Cet accord entre l’Union européenne et les États-Unis autorise et encadre les transferts de données personnelles de l’un vers l’autre côté de l’Atlantique, où sont basés les datacenters des multinationales du web (voir La rem n°38-39, p.17). Le Privacy Shield est né à la suite de l’invalidation par la Cour de justice de l’Union européenne, dans l’arrêt Schrems du 6 octobre 2015, du précédent accord : le Safe Harbor (voir La rem n°36, p.5). L’adoption du Privacy Shield par la Commission européenne a suivi de quelques jours son approbation par une large majorité des États membres de l’Union, seuls quatre États ont préféré s’abstenir : la Slovénie, la Croatie, la Bulgarie et l’Autriche.
La secrétaire au commerce des États-Unis, Penny Pritzker, se réjouit de la conclusion de ce qu’elle qualifie d’« accord historique [qui] va aider à la croissance de l’économie numérique en garantissant que des milliers d’entreprises européennes et américaines, et des millions de particuliers, continuent à avoir accès aux services en ligne ». Il n’en demeure pas moins que cet accord, dont les GAFA et autres multinationales du web se félicitent, continue d’être largement critiqué et même dénoncé par les défenseurs du droit au respect des données personnelles et de la vie privée. En France, la CNIL a rapidement publié un communiqué dans lequel elle exprime son inquiétude. Elle rappelle que le G29, groupe des instances européennes de protection des données personnelles, avait le 13 avril 2016 exprimé de graves réserves face aux trop faibles progrès du Privacy Shield par rapport au Safe Harbor.
Le 29 juillet 2016, le G29 a fait part à nouveau de sa position. S’il salue quelques améliorations, il demeure préoccupé sur différents points, notamment concernant l’accès des pouvoirs publics aux données transférées vers les États-Unis. Pour ce qui est de la collecte en vrac de données personnelles, le G29 ne se satisfait pas des engagements pris en raison du « manque de garanties concrètes ». Par ailleurs, le G29 regrette que les informations relatives à l’application effective des principes du Privacy Shield soient trop rares.
Bien d’autres autorités, personnalités et associations, ont pu exprimer leurs doutes quant à la protection des données personnelles que permettrait le Privacy Shield, certains n’y voyant qu’un Safe Harbor 1.1 et jugeant que le changement de nom serait le seul véritable changement. Si la France a donné son accord au texte, le ministre de la justice, quelques semaines auparavant, avait adressé une lettre à la Commission européenne afin d’exiger « des dispositions tangibles, garantissant l’effectivité des droits des citoyens européens, de même qu’une sécurité juridique pour les entreprises ». Et le député Lionel Tardy de s’inquiéter, à la suite du G29, du « manque de garanties concrètes » et des « incertitudes sur l’application pratique de certains principes » du Privacy Shield. Quant à Maximilian Schrems, il estime que l’accord serait loin de répondre aux attentes pourtant affichées par la Commission européenne et ne serait pas plus conforme aux exigences de la Cour de justice de l’Union européenne que ne l’était le Safe Harbor. Et l’étudiant autrichien de conclure : « Le « Bouclier vie privée » est le produit de la pression des États-Unis et de l’industrie des technologies, non le fruit d’une démarche rationnelle ou de considérations raisonnables ».
Le Privacy Shield est donc né et engagé dans une vie juridique et politique qui s’annonce tumultueuse. Si les États-Unis et l’Union européenne l’ont jusqu’à présent porté, il devra faire face à des attaques, notamment juridictionnelles, qui risquent de lui mener la vie dure.
