Adéquation des États-Unis : les premières questions-réponses

Une décision d’adéquation est une décision adoptée par la Commission européenne sur la base de l’article 45 du RGPD, qui établit qu’un pays tiers (c’est-à-dire un pays non lié par le RGPD) ou une organisation internationale assure un niveau de protection adéquat des données personnelles.

Le RGPD (article 45.2) prévoit une liste non exhaustive d’éléments qui, cumulés, permettent à la Commission d’évaluer le caractère adéquat du niveau de protection des données du pays tiers. Ces éléments incluent notamment la législation interne du pays, l’existence d’une ou de plusieurs autorités de contrôle indépendantes en matière de protection des données et les engagements internationaux pris par le pays.

La décision d’adéquation a pour effet de permettre le transfert, sans exigences supplémentaires, de données personnelles depuis les organismes soumis au RGPD vers le pays tiers concerné. La liste des décisions d’adéquation adoptées par la Commission européenne est disponible sur son site web.

En l’absence d’une telle décision, des « garanties appropriées » doivent être mises en place. Le RGPD liste des outils pouvant être utilisés pour apporter ces garanties (article 46 du RGPD). En l’absence de telles garanties appropriées, le transfert peut enfin être réalisé par dérogation à ces outils globaux d’encadrement, dans des situations particulières et des conditions spécifiques.

Conformément à l’arrêt Schrems I de la Cour de justice de l’Union européenne (CJUE), les décisions d’adéquation s’imposent aux États-membres et à leurs organes, au nombre desquels figurent leurs autorités de protection des données.

Le 16 juillet 2020, la Cour de justice de l'Union européenne (CJUE) dans son arrêt Schrems II a invalidé la précédente décision d’adéquation de la Commission européenne à l’égard des États-Unis (Privacy Shield).

La CJUE a analysé la législation américaine alors en vigueur en matière d’accès aux données des fournisseurs de services Internet et entreprises de télécommunications par les services de renseignement américains (Section 702 FISA et Executive Order 12 333). Elle en a conclu que les atteintes portées à la vie privée des personnes dont les données étaient traitées par les entreprises et opérateurs états-uniens soumis à cette législation étaient disproportionnées au regard des exigences de la Charte des Droits Fondamentaux européenne. En particulier, la Cour a jugé que la collecte des données par les services de renseignement n’est pas proportionnée et que les voies de recours, y compris juridictionnelles, dont disposent les personnes à l’égard du traitement de leurs données étaient insuffisantes.

La CJUE a dès lors invalidé cette décision d’adéquation de la Commission européenne.

En réaction à cette invalidation, le président des États-Unis, Joe Biden, a adopté le 7 octobre 2022, un décret présidentiel (Executive Order) pour renforcer les garanties concernant la collecte et l’utilisation des données personnelles par les services de renseignement américains.

Ce nouveau cadre transatlantique a été soumis à la Commission européenne afin qu’elle évalue s’il permet d’assurer un niveau de protection adéquat des données des Européens. Avant d’adopter définitivement sa décision reconnaissant le caractère adéquat de ce nouveau dispositif, la Commission a soumis le 13 décembre 2022 un projet de décision pour avis au CEPD (organe qui regroupe l’ensemble des autorités de protection des données au niveau européen).

Le 28 février 2023, le CEPD a adopté et publié son avis sur ce projet d’adéquation. Le CEPD y relève les améliorations apportées par le gouvernement des États-Unis, tout en faisant part de ses préoccupations sur un certain nombre de points dont il dresse la liste.

Le cadre de protection des données UE-États-Unis est composé d’un nouvel ensemble de règles et de garanties contraignantes pour limiter l’accès aux données personnelles par les autorités de renseignement étatsuniennes à ce qui est nécessaire et proportionné pour protéger la sécurité nationale.

Le système d’auto-certification des entités important des données

Comme dans le précédant cadre de protection des données UE-États-Unis (Privacy Shield), un système d’auto-certification des entités américaines est mis en place. Une fois inscrites sur la liste des organismes certifiés, ces derniers s’engagent annuellement et publiquement à adhérer à ce cadre légal et à en respecter l’ensemble des principes. Des garanties similaires à celles de l’UE sont prévues telle que la limitation de la finalité, c’est-à-dire l’obligation de supprimer les données qui ne seraient plus nécessaires à la finalité de collecte. En cas de partage des données européennes à un tiers, la continuité de leur protection devra également être assurée.

Seuls les transferts vers les entités américaines certifiées ne nécessitent pas l’utilisation d’outils d’encadrement des transferts prévus par l’article 46 du RGPD. Pour les transferts de données vers d’autres entités que celles certifiées, des garanties appropriées doivent être fournies et ces transferts ne sont possibles qu’à condition de garantir des droits opposables aux personnes concernées ainsi que des voies de recours effectives.

Le décret présidentiel n°14086

Un des éléments clés de ce cadre est le décret présidentiel étatsunien n° 14086 qui a pour objet de renforcer la protection des données personnelles traitées par les services de renseignement américains en :

• consacrant les principes de nécessité et de proportionalité dans le cadre de l’accès des autorités étatsuniennes aux données, et
• introduisant un nouveau mécanisme de recours indépendant et impartial auprès d’une Cour de contrôle de la protection des données.

La Commission européenne constatant que les États-Unis assurent un niveau de protection substantiellement équivalent à celui de l’UE, les organismes soumis au RGPD (qu’ils soient responsables de traitement ou sous-traitants) peuvent désormais transférer des données personnelles vers les organismes certifiés qui se sont engagés, annuellement et publiquement, à adhérer à ce cadre légal. Ils n’ont pas l’obligation de mettre en place un outil de transfert au titre de l'article 46 du RPGD ou de se prévaloir d'une dérogation au titre de l'article 49 du RGPD.

Avant de procéder au transfert, les organismes doivent s’assurer que l’organisme destinataire figure sur cette liste mise à disposition sur le site du Département du Commerce des États-Unis.

Les responsables du traitement et les sous-traitants doivent néanmoins se conformer à d'autres obligations découlant du RGPD, notamment en ce qui concerne la nécessité de mettre à jour leurs registres de traitement et l’information des personnes concernées de leurs transferts vers les États-Unis.

Les transferts vers des entités étatsuniennes ne figurant pas sur la liste du Département du Commerce ne peuvent pas être fondés sur la décision d'adéquation et nécessitent des garanties appropriées. Il est notamment possible de réaliser le transfert en signant des clauses contractuelles types, ou en utilisant tout autre outil listé à l’Article 46 du RGPD.

Lorsqu’une entreprise ou un groupe d’entreprise a mis en place des  règles d'entreprise contraignantes en application de l’article 46 du RGPD, ces règles peuvent permettre d’encadrer les transferts. D’autres instruments de transferts de données sont prévus par l’Article 46 du RGPD.

Les garanties mises en place par le gouvernement étatsunien dans le domaine de la sécurité nationale (y compris le mécanisme de recours) s'appliquent à tous les transferts de données effectués par des entités publiques ou privées soumises au RGPD vers des entreprises situées aux États-Unis.

Elles sont donc applicables quel que soit l’outil de transfert utilisé (clauses contractuelles types ou règles d’entreprise contraignantes par exemple).

Une administration ou une collectivité locale qui souhaiterait recourir aux services d’un prestataire étatsunien inscrit sur la liste des entités auto-certifiées du Département du Commerce peut se baser sur cette décision d’adéquation pour ses transferts vers son prestataire.

Néanmoins, seuls les transferts vers les entités américaines certifiées ne nécessitent pas l’utilisation d’outils d’encadrement des transferts prévus par l’article 46 du RGPD. Pour les transferts de données vers d’autres entités que celles certifiées, des garanties appropriées  doivent être fournies à travers un des instruments listés à l’article 46 du RGPD et ces transferts ne sont possibles qu’à condition de garantir des droits opposables aux personnes concernées ainsi que des voies de recours effectives.

La décision d’adéquation est entrée en application le 10 juillet, après avoir été notifiée par la Commission européenne aux États-membres.

Conformément à l’article 45, paragraphe 9 du RGPD, une telle décision reste en vigueur jusqu’à sa modification, son remplacement ou son abrogation par une décision de la Commission européenne, si ce niveau de protection des données n’est plus adéquat.

Une première revue aura lieu dans un an à compter de l’entrée en application de la décision. Durant ce réexamen, la Commission prendra en compte l’ensemble des évolutions pertinentes observables aux États-Unis (article 45.3 du RGPD).

Selon le résultat de ce premier examen, la Commission décidera, en consultation avec les États membres et les CNIL européennes, de la périodicité des revues suivantes. Celle-ci ne pourra pas excéder quatre ans.

La CNIL continue d’instruire les plaintes relatives à des transferts vers les États-Unis ayant eu lieu avant l’entrée en application de cette décision d’adéquation.

Les manquements en lien avec l’arrêt Schrems II antérieurs à la décision d’adéquation peuvent juridiquement donner lieu à des mesures correctrices. Compte tenu de cette décision d’adéquation, de tels manquements ne pourront néanmoins pas faire l’objet de mise en demeures ou d’injonctions pour l’avenir. La CNIL tiendra compte de tous les éléments de contexte pertinents pour apprécier la suite à donner aux plaintes.