Ce que les entrepreneurs doivent savoir maintenant

Après la révocation du bouclier de protection des données UE-États-Unis par la CJCE en 2020, il n’y avait aucune garantie de protection des données reconnue par l’État pour le transfert de données personnelles vers les États-Unis. Le 10 juillet 2023, la Commission européenne a rendu une nouvelle décision d’adéquation pour l’accord successeur, le soi-disant “EU-US Data Privacy Framework”, donnant ainsi le feu vert aux futurs transferts de données vers les entreprises américaines. Cet article montre ce que prévoit la nouvelle décision d’adéquation, quels nouveaux mécanismes ont été mis en place et à partir de quand et dans quelles circonstances les transferts de données vers les États-Unis sont désormais légalement possibles.

I. Le cadre de confidentialité des données UE-États-Unis : Genèse

Pour la transmission de données personnelles conforme à la protection des données vers des pays tiers en dehors de l’UE, le RGPD exige des garanties de protection des données appropriées conformément aux articles 44 et suivants.

Après le bouclier de protection des données UE-États-Unis, qui visait à garantir la protection des données personnelles de l’UE lors de transferts vers les États-Unis pendant des années, en 2020 avant l’échec de la CJUE, il y avait une grande incertitude quant à la future conformité juridique des transmissions de données transatlantiques.

Le bouclier de protection des données UE-États-Unis était lié à une décision d’adéquation de la Commission européenne qui, en tant que garante de mécanismes de protection des données appropriés au sens de l’article 45 du RGPD, justifiait la transmission de données aux entreprises américaines connectées au bouclier dans son ensemble .

Cependant, le bouclier de protection des données n’a pas été en mesure d’empêcher ou de réglementer les droits d’accès étendus des autorités américaines, en particulier les services secrets américains, aux stocks de données transmises et a donc finalement été rejeté comme insuffisant pour la protection des droits et libertés des citoyens de l’UE.

Dans la période qui a suivi, des mécanismes alternatifs reconnus en principe par l’article 46 du RGPD, en particulier des réglementations internes contraignantes en matière de protection des données et des clauses contractuelles types (SCC), devraient garantir des garanties de protection des données appropriées pour les transferts américains et les concevoir dans le respect de la protection des données.

Cependant, les principales autorités de protection des données ont averti que de telles mesures ne lient que les entreprises concernées elles-mêmes, mais ne restreignent pas les droits d’accès de l’État des autorités américaines et ne pourraient donc pas éliminer le problème central des préoccupations en matière de protection des données.

Sous la pression des entreprises, l’UE et les États-Unis ont rapidement entamé des négociations sur un nouvel accord sur la protection des données, qui devait s’appeler “EU-US Data Privacy Framework” et visait à remédier aux lacunes antérieures du “Privacy Shield”.

Après la présentation du nouvel ensemble de règles en mars 2022, les révisions et les nouvelles consolidations nécessaires ont retardé l’entrée en vigueur jusqu’à ce que la Commission européenne 10 juillet 2023 la décision finale d’adéquation pour le nouveau cadre de protection des données UE-États-Unis pourrait édicter.

Ceci est considéré comme une justification reconnue pour les transferts de données vers des entreprises américaines participant au nouveau cadre de protection des données et, à cet égard, élimine complètement les incertitudes et les risques en matière de protection des données jusqu’à nouvel ordre.

II. Nouvelles mesures de protection des données du cadre UE-États-Unis sur la protection des données

Afin de contrer les plaintes de la CJCE concernant l’annulation du bouclier de protection des données, divers nouveaux mécanismes de protection des données ont été négociés dans le cadre de l’accord sur le cadre de protection des données UE-États-Unis.

La création d’un tribunal de contrôle de la protection des données (“Data Protection Review Court”) aux États-Unis est prévue, auquel les personnes concernées de l’UE devraient avoir accès.

En outre, par décret (Décret exécutif 14086) des pouvoirs d’accès limités à des fins répressives et de sécurité nationale et ne devraient désormais être accordés qu’en cas de nécessité et exercés de manière proportionnée.

Enfin, de nouvelles compétences et processus de surveillance ont été créés pour surveiller la conformité aux nouvelles mesures.

III. Conformité à la protection des données uniquement si les entreprises américaines sont certifiées

Contrairement aux autres pays tiers, la décision d’adéquation de la Commission européenne ne justifie pas universellement les transferts de données vers les États-Unis.

Il n’a pas été émis pour les États-Unis, mais pour le “EU-US Data Privacy Framework” et n’approuve donc que les transferts de données effectués dans le cadre du nouvel accord.

Comme pour son prédécesseur, le Privacy Shield, les entreprises américaines qui souhaitent se référer au traitement des données de l’UE conforme à la protection des données et dont le traitement des données de l’UE doit être couvert par la décision d’adéquation sont tenues d’opter pour le nouvel accord certifier. La certification doit avoir lieu par un engagement personnel envers le cadre de protection des données et des contrôles (partiels) de la mise en œuvre des mesures.

IV. Survie des anciennes certifications Privacy Shield ?

Selon un fonctionnaire Avis du Département américain du Commerce du 07/10/2023 Un nouveau site Web officiel sera publié dans les prochains jours pour afficher les certifications actives des entreprises américaines dans le cadre du nouveau cadre de confidentialité des données et pour permettre aux entreprises américaines qui souhaitent participer de passer du Privacy Shield au nouveau Data Privacy Framework.

Il n’est actuellement pas clair (au 11 juillet 2023) si les certifications obtenues dans le cadre de l’ancien bouclier de protection des données UE-États-Unis continueront automatiquement de s’appliquer dans le cadre de la nouvelle norme de protection des données ou si les entreprises précédemment certifiées devront passer par un nouvel auto-engagement et processus de certification.

V. Mises à jour des déclarations de confidentialité des cabinets d’avocats clients

La nouvelle décision d’adéquation a un impact significatif sur les déclarations de protection des données pour les boutiques en ligne, les pages d’accueil et les plateformes commerciales.

Les entrepreneurs qui Si vous avez réservé un package de protection auprès du cabinet d’avocats IT, vous bénéficierez dans le cadre de la Service de mise à jour d’ajustements automatiques aux textes juridiques concernés.

Dès qu’il est clair, sur la base du dialogue international et des communications officielles de l’État,

• si les certifications Privacy Shield existantes continueront de s’appliquer dans le cadre du nouveau cadre de protection des données ou si des recertifications sont nécessaires et
• quelles entreprises américaines ont rejoint avec succès le nouveau cadre de confidentialité UE-États-Unis

l’IT-Recht Kanzlei émettra des déclarations de protection des données pour

• Boutiques en ligne
• Page d’accueil
• Les plateformes de trading comme Amazon, eBay, Etsy, etc.

mettre à jour et modifier en profondeur les clauses qui fournissent des informations sur les transferts de données aux entreprises américaines ainsi certifiées, en référence à la nouvelle justification du traitement des données en vertu de la décision d’adéquation du cadre de protection des données UE-États-Unis.

Dès que la mise à jour aura lieu, les clients en seront informés séparément.

VI. Conclusion : une nouvelle décision d’adéquation permet des transferts de données aux États-Unis conformes à la loi

Le 10 juillet 2023, la Commission européenne a rendu la décision d’adéquation du “EU-US Data Privacy Framework” tant attendu par l’économie, qui légitime généralement les transferts de données dans le cadre de cet accord et les déclare conformes à la protection des données.

Les données personnelles conformes à la loi de l’UE peuvent désormais être transmises aux entreprises américaines qui ont rejoint le nouveau cadre de protection des données.

Il est actuellement difficile de savoir (au 11 juillet 2023) si les certifications existantes dans le cadre de l’ancien Privacy Shield sont suffisantes pour cette connexion ou si une nouvelle procédure de participation sera mise en place.

Le département américain du Commerce se positionnera là-dessus.

Dès qu’une liste des entreprises américaines participant au nouveau cadre de protection des données sera publiée, le cabinet d’avocats IT mettra à jour toutes les clauses concernées sur les transferts de données à ces entreprises dans les déclarations de protection des données.

Astuce: Avez-vous des questions sur la contribution ? N’hésitez pas à en discuter avec nous dans le
Groupe d’entrepreneurs du cabinet d’avocats IT sur Facebook.