Réponse publiée le 17 octobre 2023

Le 10 juillet 2023, la Commission européenne a adopté une nouvelle décision d'adéquation concernant les transferts de données personnelles vers les Etats-Unis (Data Privacy Framework), destinée à remplacer la précédente (Privacy Shield), qui avait été annulée par la Cour de justice de l'Union européenne (CJUE) dans un arrêt du 16 juillet 2020 (C-311/18). L'entrée en vigueur de la nouvelle décision d'adéquation permet à nouveau le transfert de données à caractère personnel vers les opérateurs certifiés aux Etats-Unis sans qu'il soit nécessaire d'adopter des instruments de transferts supplémentaires, à l'instar des clauses contractuelles types. Le règlement (UE) 2016/679, dit règlement général sur la protection des données (RGPD), prévoit que le transfert de données à caractère personnel vers un pays tiers ne peut avoir lieu que si le pays tiers en question assure un « niveau de protection adéquat » de ces données. Au titre de l'article 45 du RGPD, la Commission européenne est habilitée à adopter une décision d'adéquation, sous la forme d'un acte d'exécution, si plusieurs critères sont réunis (législation interne du pays tiers, existence d'une ou plusieurs autorités de contrôle, engagements internationaux souscrits…). Les Etats membres participent à l'élaboration de la décision d'adéquation dans le cadre de la procédure de comitologie : le comité prévu par l'article 93 du RGPD, qui rassemble les experts des 27 Etats membres, est chargé d'examiner la proposition de décision d'adéquation présentée par la Commission. La Commission ne peut adopter la décision d'adéquation finale qu'à l'issue d'une procédure de vote écrite favorable du comité. La décision d'adéquation adoptée le 10 juillet dernier l'a été conformément à la procédure prévue par le RGPD. Un premier projet de décision d'adéquation avait été ainsi soumis au Comité européen à la protection des données (CEPD), qui a rendu un avis 5/2023 le 28 février 2023. Cet avis constitue une analyse juridique approfondie du projet de décision d'adéquation et est publié sur le site du CEPD. A la suite de cet avis et d'une résolution adoptée par le Parlement européen le 11 mai 2023, la Commission a présenté une version révisée au comité de l'article 93 du RGPD. Les Etats membres ont été invités à faire part de leurs observations lors de plusieurs réunions du comité. La France a été particulièrement active lors de cette consultation, en portant des positions ayant fait l'objet d'un travail interministériel approfondi, et a obtenu des modifications importantes. La décision d'adéquation a été adoptée à la suite d'un avis favorable d'une large majorité d'Etat membres. L'article 45 du RGPD prévoit également un réexamen périodique de la décision d'adéquation prenant en compte l'ensemble des évolutions pertinentes observables dans le pays tiers. La décision d'adéquation concernant les Etats-Unis fera ainsi l'objet d'un réexamen un an après son adoption, en juillet 2024. L'adoption de cette nouvelle décision d'adéquation fait suite à des évolutions notables du cadre juridique américain, obtenues à la suite de négociations menées par la Commission européenne auprès des autorités américaines, avec pour objectif de répondre aux critiques formulées par la CJUE. Un Executive order présidentiel (EO 14086) et un règlement de l'Attorney General, adoptés début octobre 2022, ont permis la mise en place de nouvelles mesures visant à renforcer la protection de la vie privée et des données personnelles des individus dont les données sont collectées en Europe et transférées ou hébergées aux Etats-Unis, en limitant l'accès à ces données par les services de renseignement américains à ce qui est nécessaire et proportionné à la protection de la sécurité nationale. Le nouveau cadre juridique américain instaure également un nouveau mécanisme de recours indépendant et impartial permettant aux Européens de demander réparation s'ils estiment que leurs données personnelles ont été illégalement collectées par les renseignements américains. Ce mécanisme prévoit deux niveaux de recours, l'un auprès d'un officier chargé de la protection des libertés civiles auprès de la direction du renseignement américain, l'autre auprès d'un nouveau tribunal indépendant, la Data Protection Review Court, chargé d'examiner les recours contre les décisions rendues par l'officier chargé de la protection des libertés civiles. Le projet de décision d'adéquation a également été modifié pour tenir compte des critiques formulées par le CEPD et le Parlement européen, et des remarques formulées par les Etats membres dans le cadre du comité de l'article 93 du RGPD. Plusieurs dispositions ont été précisées pour en clarifier la portée, notamment s'agissant de la mise en œuvre des principes de nécessité et de proportionnalité, des droits des personnes concernées par le transfert des données, et concernant le volet commercial. Des garanties supplémentaires ont été ajoutées s'agissant des voies de recours disponibles, par exemple pour faire obstacle à toute annulation des décisions rendues par la Data Protection Review Court par le Président américain et préciser les procédures de nomination pour garantir l'indépendance des juridictions constituant le mécanisme de recours. Le CEPD et le comité de l'article 93 du RGPD ont également été associés à la révision périodique de la décision d'adéquation. Dans ce cadre, et dans le prolongement de leur implication dans les négociations de la décision d'adéquation, les autorités françaises feront preuve de la plus grande vigilance pour s'assurer de l'application effective et constante des dispositions de la décision d'adéquation par les Etats-Unis et ainsi garantir un haut niveau de protection des données personnelles des résidents européens.