Les transferts de données à caractère personnel entre l'Union européenne et les Etats-Unis: une valse à mille temps [1]?

TABLE DES MATIERES

Introduction

Section 1. Le passé en guise de prologue 1.1. Le contexte des transferts européano-américains: les entreprises établies aux Etats-Unis, mieux loties que celles établies en Europe? 1.1.1. L'article 25, 1., de la directive: le niveau de protection adéquat

1.1.2. Les autres solutions: comment la Commission européenne a permis les transferts de données vers les Etats-Unis

1.2. La Commission européenne: l'autocritique avant l'annulation? Les révélations d'Edward Snowden ou l'impossibilité pour la Commission de continuer sa politique de l'autruche

Section 2. Le « trait d'union entre ce qui a été et ce qui sera » 2.1. La Cour de justice de l'Union européenne tranche le noeud gordien

2.2. L'annulation du Safe Harbor condamne-t-elle les transferts de données vers les Etats-Unis?

2.3. L'ultimatum du Groupe 29: un jeu dangereux

Section 3. Une lumière au bout du tunnel? 3.1. Le Privacy Shield, laisser Big Brother agir en toute liberté?

3.2. Le règlement: se rattraper sans avoir à forcer la main des Américains?

Conclusion

Introduction

«  Le partage et la communication internationale de données sont devenus la règle et non l'exception. » [3].

1.Cette citation, vieille de 15 ans, est plus que jamais d'actualité [4]. Les transferts de données sont légion et des données personnelles transitent depuis le territoire de l'Union européenne vers celui des Etats-Unis de manière quotidienne. De tels transferts sont légalement encadrés mais cet encadrement a rarement été aussi branlant. De la directive (CE) n° 95/46 [5], qui introduit le droit à la protection des données personnelles dans l'arsenal juridique européen, au règlement qui est voué à la remplacer [6], en passant par les décisions dites « Safe Harbor » [7] et « Privacy Shield » [8], les transferts européano-américains ont une existence pour le moins troublée.

2.La réglementation relative aux données à caractère personnel a en effet été amendée à diverses reprises, notamment suite à l'affaire Schrems [9] qui nous intéresse tout particulièrement. Pour les expliquer, nous partirons du passé, de la directive et de la décision « Safe Harbor », avant de détailler l'affaire Schrems, qui sonne le glas du Safe Harbor, le rôle majeur de la Cour de justice de l'Union européenne et le nouveau cadre législatif européen (que ce soit le règlement ou le nouvel accord européano-américain [10]) qui façonnera le futur en la matière, et ce dans le but d'examiner sa compatibilité avec les critiques de la Cour de justice. Comme nous le verrons, le nouvel accord ne fait pas l'unanimité [11].

3.Le présent article ne vise que le droit européen; les données personnelles telles que définies par la directive et par le règlement; et les relations commerciales entre l'Union européenne et les Etats-Unis dans ce cadre, c'est-à-dire les transferts de données à des fins commerciales et non à des fins judiciaires, pénales ou administratives. Nous ne pouvons cependant ignorer les intérêts des autorités publiques tant celles-ci sont liées au sujet qui nous occupe (les surveillances exercées par les autorités américaines sont notamment au coeur de l'affaire Schrems). Trois acteurs sont ainsi concernés: les individus, les entreprises et les autorités étatiques.

4.Seul le droit européen sera analysé et ce pour plusieurs raisons: d'une part, la marge d'appréciation octroyée aux Etats membres par la directive est assez restreinte [12] puisque celle-ci vise à une harmonisation en principe complète [13] et, d'autre part, l'Union européenne a adopté un nouveau règlement en la matière, qui, à terme, remplacera la directive et fera donc place à une réglementation unique. Dans cette optique, il est peu pertinent d'analyser les quelques différences nationales pouvant exister à l'heure actuelle car celles-ci disparaîtront sous peu [14]. Notre propos se concentrera cependant sur la directive, celle-ci restant en vigueur jusqu'en 2018 [15].

5.L'application de cette directive [16] est, dans le cadre de cette contribution, considérée comme acquise, c'est-à-dire que nous prendrons pour acquis d'être face à des données à caractère personnel qui entrent dans le champ d'application de la directive et qui sont traitées d'une manière visée par la directive [17] (et, dans le futur, par le règlement [18]).

6.Les données à caractère personnel y sont définies comme « toute information concernant une personne physique identifiée ou identifiable [19] (personne concernée) » [20]. A contrario, les données anonymes [21] et les données concernant les personnes morales [22] ne sont en principe [23] pas protégées et ne seront donc pas examinées. De même, nous n'entrerons pas dans le champ de ce que la directive appelle les « catégories particulières de traitements » pour lesquelles il existe des règles spécifiques [24].

7.La notion de « données à caractère personnel » vise des données aussi diverses qu'une adresse postale [25], un nom [26], un dossier médical, une photographie, une empreinte digitale, etc. [27]. Il peut s'agir de données objectives (le nom d'une personne) mais aussi de données subjectives comme des avis se rapportant à cette personne (« Julien mérite une promotion ») sans que ces données soient nécessairement vraies ou prouvées [28]. Tant les données de la sphère privée que celles qui concernent la sphère professionnelle ou publique sont visées [29].

8.Le spectre des données touchées par cette définition est volontairement large afin de couvrir toute donnée liée à une personne physique [30]. En effet, le but premier de la directive est de protéger la vie privée des individus [31] et elle doit donc être interprétée en ce sens [32], ce qui aura son importance, comme nous le verrons, dans la jurisprudence de la Cour de justice de l'Union qui se pose comme gardienne des droits fondamentaux que sont la protection de la vie privée et la protection des données à caractère personnel [33], trop souvent convoitées par les entreprises comme le nouvel Eldorado.

9.Néanmoins, pour que la directive s'applique, il ne faut pas seulement être en présence de ce type de données, il faut aussi que ces données soient traitées [34]. L'article 2, b), de la directive définit le traitement comme « toute opération ou ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction ».

10.Nous pouvons très vite nous apercevoir que cette définition est aussi large que celle des données à caractère personnel et que toute opération est en principe visée dès qu'elle touche à ces données. La Cour suit cette interprétation extensive et estime généralement qu'il y a bien un traitement sans s'attarder sur cette qualification [35]. Nous n'examinerons donc pas davantage cette notion puisqu'il est clair que le transfert de données vers un pays tiers, au coeur de notre étude, est bien un traitement tel que défini par l'article 2, b), ce que la Cour a confirmé explicitement dans l'arrêt Schrems [36].

11.Les transferts de données à caractère personnel protégées par la directive depuis le territoire de l'Union vers un pays tiers sont non seulement visés par l'article 2, b), de la directive mais ils sont aussi abordés de manière spécifique par celle-ci: la directive les distingue des transferts de données à caractère personnel vers des destinataires établis dans un Etat membre de l'Union européenne (et de l'Espace économique européen plus généralement [37]) [38]. Ce dernier type de traitement est libre tant qu'il est légal aux yeux de la loi nationale applicable transposant la directive puisque la protection des données est équivalente au sein de chaque Etat membre suite à cette transposition (« libre circulation des flux intracommunautaires ») [39].

12.Les transferts de données vers les pays tiers suivent un autre parcours et celui-ci est tout à fait particulier pour les Etats-Unis puisque la Commission européenne, suite à des négociations avec les Etats-Unis au sujet des données à caractère personnel, a pris, en 2000, une décision dénommée « Safe Harbor », pour permettre des transferts de données à des fins commerciales entre le territoire de l'Union européenne et certaines entreprises situées aux Etats-Unis [40].

13.Nous examinerons donc tout d'abord la réglementation prévue par la directive et cette décision Safe Harbor avant de passer à son invalidation par l'arrêt Schrems et ses conséquences, dont les négociations autour d'un nouvel accord et son adoption pour le moins rapide, et le tout récent règlement.

Section 1. Le passé en guise de prologue

« Même si les Etats-Unis et l'Union européenne ont comme objectif commun de protéger davantage la vie privée de leurs citoyens, les Etats-Unis préconisent dans ce domaine une approche différente de celle de l'Union européenne. » [41].

1.1.

Le contexte des transferts européano-américains: les entreprises établies aux Etats-Unis, mieux loties que celles établies en Europe?

14.Le chapitre IV de la directive, visant le transfert de données à caractère personnel vers des pays tiers, se compose d'un principe tempéré par des exceptions. Le principe, énoncé à l'article 25, est simple: « le transfert vers un pays tiers de données à caractère personnel faisant l'objet d'un traitement, ou destinées à faire l'objet d'un traitement après leur transfert, ne peut avoir lieu que si (…) le pays tiers en question assure un niveau de protection adéquat. » [42]. Les exceptions prévues subséquemment permettent, sous certaines conditions, des transferts vers un pays tiers n'assurant pas un niveau de protection adéquat.

15.Une remarque préliminaire s'impose avant d'examiner en détails les règles applicables: il est important de garder à l'esprit que ces règles existent pour éviter que la législation européenne ne soit réduite à néant par le simple transfert des données protégées en dehors du territoire de l'Union. Il fallait en effet imaginer une réglementation permettant d'assurer un niveau de protection équivalent à celui prévu par la directive même lorsque les données concernées sont transférées hors Union [43]; à défaut, il suffirait que toute entreprise traite ces données sur le territoire d'un pays tiers pour échapper à la législation européenne et violer les droits fondamentaux des citoyens européens [44]. Le but des articles 25 et 26 de la directive est ainsi de faciliter les transferts [45] tout en protégeant les données et les droits des citoyens européens, même en dehors de l'Union [46].

1.1.1. L'article 25, 1., de la directive: le niveau de protection adéquat

16.Le critère central est le « niveau de protection adéquat ». Cette notion n'est pas définie dans la directive [47] qui précise simplement que ce caractère adéquat s'apprécie « au regard de toutes les circonstances relatives à un transfert ou à une catégorie de transferts de données; en particulier, sont prises en considération la nature des données, la finalité et la durée du ou des traitements envisagés, les pays d'origine et de destination finale, les règles de droit, générales ou sectorielles, en vigueur dans le pays tiers en cause, ainsi que les règles professionnelles et les mesures de sécurité qui y sont respectées » [48]. Ces critères sont exemplatifs, d'autres pourraient être pris en considération.

17.De manière générale, un pays tiers est considéré comme offrant un niveau de protection adéquat lorsque les principes majeurs prévus par la directive [49] sont effectivement mis en oeuvre dans le droit interne de ce pays tiers [50], sans qu'il soit nécessaire que toutes les règles du pays tiers soient semblables à celles édictées par le législateur européen [51]. Le pays tiers doit assurer un « niveau satisfaisant de respect » de ces principes, apporter soutien et assistance aux personnes concernées dans l'exercice de leurs droits et leur fournir des voies de recours appropriées [52].

18.Pour le G29, auquel se rallie le Parlement européen [53], deux critères fondamentaux doivent finalement être pris en compte: « le contenu des règles applicables et les moyens d'assurer leur application efficace » [54]. Ces éléments sont primordiaux dans l'analyse de la Cour de justice pour déterminer si le pays tiers dispose du niveau de protection adéquat. Si c'est le cas, le transfert peut en principe avoir lieu, pour autant qu'il respecte par ailleurs les autres règles encadrant le droit à la protection des données personnelles dans l'Etat membre de départ [55].

1.1.2. Les autres solutions: comment la Commission européenne a permis les transferts de données vers les Etats-Unis

19.Certains pays tiers, comme les Etats-Unis, ne disposent pas du niveau de protection des données requis [56]. Ainsi, notamment suite à la déclaration du G29 constatant que, en l'état, les Etats-Unis ne disposaient pas du niveau de protection adéquat requis par la directive [57], c'est en vertu des paragraphes 5 et 6 de l'article 25 que la décision Safe Harbor a été adoptée par la Commission européenne [58].

20.En effet, le rôle joué a posteriori par la Cour complète et corrige celui joué a priori par la Commission puisque celle-ci a la possibilité d'engager des négociations avec un pays tiers en vue de permettre à celui-ci d'être reconnu au sein de l'Union comme assurant un niveau de protection adéquat [59].

21.La Commission et les Etats-Unis ont dès lors négocié pendant 2 ans un cadre légal permettant les transferts, à des fins commerciales, de données protégées par la directive [60]. Au vu des relations commerciales entre ces deux « géants » [61], il semblait en effet peu raisonnable et peu praticable de faire appel, pour chaque transfert, aux dérogations prévues à l'article 26 de la directive.

22.Cet article 26 prévoit, pour les responsables de traitement [62] établis dans des pays tiers ne disposant pas du niveau de protection adéquat, qu'un transfert de données pourra être autorisé sous le couvert d'une des conditions prévues en son point 1. [63] ou « lorsque le responsable de traitement offre des garanties suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes, ainsi qu'à l'égard de l'exercice des droits correspondants », c'est-à-dire lorsque des clauses contractuelles ou des règles contraignantes d'entreprises prévoyant de telles garanties sont mises en place [64].

23.Ces solutions visent néanmoins des transferts plutôt ponctuels ou entre sociétés liées et non des flux continus de données, ce qui a amené les Etats-Unis à négocier un accord plus global avec l'Union.

24.L'accord intervenu s'est formalisé par l'adoption de la décision Safe Harbor en 2000 [65]. Celle-ci disposait que, en raison des engagements internationaux pris par les Etats-Unis suite à ces négociations, les « organisations » établies sur le territoire des Etats-Unis qui le désiraient seraient considérées comme disposant du niveau adéquat de protection si elles respectaient les principes relatifs à la protection de la vie privée prévus à l'annexe I de cette décision (ci-après « les principes ») et qu'elles les appliquaient conformément aux orientations fournies par les « questions souvent posées » (frequently asked questions, ci-après « les FAQ »), prévues à l'annexe II de la décision [66].

25.Ce système est donc tout à fait particulier puisque la décision Safe Harbor ne s'applique pas à tout transfert de données vers les Etats-Unis de manière générale mais s'applique aux « organisations » basées aux Etats-Unis qui, de manière volontaire, s'engagent à en respecter les principes et les FAQ (première condition) [67]. La décision ne concerne donc pas le niveau de protection prévu par la législation américaine de manière générale comme c'est le cas pour d'autres Etats repris sur une liste de pays considérés comme assurant le niveau de protection requis [68].

26.La seconde condition prévue pour qu'un transfert soit licite est que l'organisation doit être soumise aux pouvoirs légaux de l'un des organes administratifs américains énumérés à l'annexe VII de la décision, cet organe devant être habilité à instruire des plaintes et à obtenir des mesures de redressement contre les pratiques déloyales ou frauduleuses ainsi que la réparation des préjudices subis par les personnes concernées en cas de non-respect des principes précités [69]. Les deux organes énumérés sont la Commission fédérale du commerce (Federal Trade Commission) et le ministère du Transport. Les banques, les sociétés de télécommunications et les entreprises financières d'épargne et de prêt notamment ne relèvent pas de leur compétence et sont donc exclues de l'accord Safe Harbor  [70].

27.Les principes du Safe Harbor sont présumés respectés dès que l'organisation concernée déclare y adhérer [71] et ce sans aucune vérification préalable [72] ni obligation de prouver qu'elle les respecte [73]. Il s'agit d'un système d'autocertification [74], découlant d'un consensus entre l'approche européenne, prévoyant un contrôle par les autorités administratives, et l'approche américaine, privilégiant l'autorégulation par les entreprises elles-mêmes [75]. Ce système, non interdit par la directive [76], permet également aux Etats-Unis de ne pas devoir modifier leur réglementation sur les traitements de données à caractère personnel [77] dont la protection n'est pas un droit fondamental [78].

28.Le Safe Harbor a fait l'objet de nombreuses critiques depuis ses débuts, que ce soit du Parlement européen lui-même [79] ou de la part d'auteurs [80], notamment en ce qui concerne son manque d'effectivité et de transparence concernant les règles de protection des données dans les entreprises autocertifiées [81]. De même, le G29 a donné son avis à divers stades des négociations entre les Etats-Unis et la Commission, énonçant de nombreuses critiques, avec un dernier avis en mai 2000 [82] qui continue à pointer certains problèmes, notamment les nombreuses exceptions possibles aux principes [83] et l'absence de voies de recours appropriées pour la personne concernée en cas de non-respect des principes [84]. Ce protocole ne semble avoir été bien accueilli ni en Europe, ni aux Etats-Unis [85].

29.L'une des critiques, reprise plus tard par la Commission européenne elle-même, est la distorsion de concurrence que le système mis en place peut générer [86]. En effet, puisqu'une entreprise établie aux Etats-Unis qui désire utiliser des données de citoyens européens peut elle-même déclarer qu'elle respecte les principes Safe Harbor sans que cette déclaration ne soit prouvée et sans mettre en place les mécanismes pour s'y tenir, cette entreprise peut éviter de nombreux coûts et ce à moindre risque puisque les recours semblent peu accessibles aux citoyens européens alors qu'une entreprise européenne exerçant les mêmes activités auprès des mêmes citoyens sera beaucoup plus contrôlée et devra même obtenir l'accord préalable de l'autorité nationale de contrôle compétente pour traiter ce type de données [87]. Le Parlement regrette à cet égard l'absence « de consultations des entreprises européennes sur les risques de discriminations par rapport aux entreprises US qui, en matière de protection des données, seraient soumises à des obligations moins contraignantes que celles que doivent respecter les entreprises européennes » [88].

30.Malgré les critiques, cet accord est resté en vigueur 15 ans avant d'être invalidé, le 20 octobre 2015, par la Cour de justice de l'Union européenne. Pourtant, la Commission avait déjà remis en question ce système...

1.2.

La Commission européenne: l'autocritique avant l'annulation? Les révélations d'Edward Snowden ou l'impossibilité pour la Commission de continuer sa politique de l'autruche

31.Suite aux révélations de M. Snowden concernant la surveillance de masse des données par les autorités américaines, la Commission européenne a émis deux communications en date du 27 novembre 2013 dans lesquelles, tout en rappelant l'importance des transferts de données entre l'Union européenne et les Etats-Unis, elle réaffirme la nécessité d'assurer un niveau élevé de protection des données [89]. Ce niveau est, selon la Commission, assuré grâce à différentes réglementations existantes entre les deux entités dont seule la décision Safe Harbor nous intéresse en l'espèce.

32.Les révélations précitées ont bouleversé le monde entier [90]. Pour restaurer la confiance entre l'Union et les Etats-Unis, la Commission a dès lors proposé de procéder en plusieurs étapes [91], notamment en réformant la législation européenne en place, en renforçant les principes Safe Harbor et leur contrôle effectif par le ministère américain du Commerce [92] et en offrant les mêmes garanties procédurales aux citoyens européens qu'aux citoyens américains concernant le traitement de leurs données et ce via un système de recours accessible et économiquement abordable [93].

33.La Commission critique ainsi le système qu'elle a elle-même mis en place mais en propose les solutions via 13 recommandations [94]. Son objectif est clair: il existe effectivement des défauts, notamment concernant l'accès aux données de citoyens européens octroyé par certaines entreprises certifiées aux agences de renseignement américaines sous le couvert de la « sécurité nationale » [95] et le traitement de ces données d'une « manière incompatible, notamment, avec les finalités de leur transfert et au-delà de ce qui était strictement nécessaire et proportionné à la protection de la sécurité nationale » [96], mais la Commission ne met pas pour autant fin au système qu'elle a mis tant d'années à organiser.

34.Malgré ces communications émises en 2013, la nouvelle législation européenne concernant les données à caractère personnel n'a été adoptée qu'en 2016 et les principes Safe Harbor ne furent remis en question que suite à leur invalidation par la Cour de justice. Les entreprises américaines ont donc pu continuer à transférer des données jusque fin 2015 sous le couvert du Safe Harbor malgré les problèmes constatés. L'arrêt de la Cour, d'une clarté solaire, permet enfin d'avancer.

Section 2. Le « trait d'union entre ce qui a été et ce qui sera » [97]

« Du fait de son histoire et de sa culture communes, l'Europe doit faire entendre sa voix sur les moyens d'assurer le respect des droits fondamentaux, parmi eux la protection de la vie privée et la protection des données à caractère personnel, sans faire obstacle ni à l'innovation, ni au besoin d'assurer la sécurité de nos sociétés. » [98].

2.1.

La Cour de justice de l'Union européenne tranche le noeud gordien

35.Il est dorénavant impossible d'étudier les transferts transfrontaliers de données à caractère personnel entre l'Union européenne et les Etats-Unis sans mentionner et analyser l'affaire Schrems qui a eu l'effet d'un tsunami, ou, en réalité, considérant les critiques préexistantes, de la goutte d'eau faisant déborder le vase.

36.Maximillian Schrems, citoyen autrichien, utilisateur du réseau Facebook [99], a lancé cette affaire en Irlande, pays d'établissement de Facebook Ireland, filiale de Facebook Inc., établie aux Etats-Unis. Suite aux révélations de Snowden concernant les activités des services de renseignement américains [100], Schrems a saisi l'autorité de contrôle irlandaise [101] pour lui demander d'empêcher Facebook Ireland de transférer ses données vers les Etats-Unis [102] (les serveurs de traitement des données de Facebook y sont situés [103]) car « le droit et les pratiques en vigueur dans ce pays ne garantissaient pas une protection suffisante des données à caractère personnel conservées sur le territoire de celui-ci contre les activités de surveillance qui y étaient pratiquées par les autorités publiques » [104].

37.L'autorité irlandaise a refusé de faire droit à sa plainte, estimant que la décision Safe Harbor constatait que les Etats-Unis assuraient un niveau de protection adéquat [105]. La Haute Cour de justice irlandaise (High Court of Ireland), saisie d'un recours contre cette décision, a décidé d'interroger la Cour de justice de l'Union européenne sur le caractère liant de la décision Safe Harbor pour l'autorité de contrôle, estimant celle-ci contraire aux articles 7, 8 et 47 de la charte des droits fondamentaux de l'Union européenne [106], protégeant la vie privée, les données à caractère personnel, le droit à un recours effectif et à accéder à un tribunal impartial. Autrement dit, l'autorité irlandaise pouvait-elle examiner la demande de M. Schrems concernant le transfert de ses données vers les Etats-Unis et, le cas échéant, décider que ce pays n'offre pas un niveau de protection adéquat au sens de l'article 25, 1., de la directive [107]?

38.Après avoir rappelé la présomption de légalité recouvrant les actes des institutions de l'Union [108], dont la décision Safe Harbor de la Commission, ainsi que l'aspect contraignant de cette décision pour les Etats membres [109], la Cour dit pour droit que ni cette présomption de légalité, ni l'aspect contraignant de la décision, ne pourraient empêcher les personnes concernées par un transfert de leurs données vers un pays tiers de saisir les autorités nationales de contrôle d'une demande concernant la protection de leurs droits et libertés à l'égard du traitement de ces données et ces autorités de se prononcer [110]. En effet, la Cour note que ni l'article 8, 3., de la charte [111], ni l'article 28 de la directive [112] n'excluent le contrôle des transferts de données personnelles vers des pays tiers du domaine de compétence des autorités nationales même lorsque ces transferts sont réglementés par une décision de la Commission adoptée en vertu de l'article 25, 6., de la directive [113].

39.Néanmoins, lorsqu'une personne fait valoir que le droit et les pratiques d'un pays vers lequel ses données ont été ou pourraient être transférées n'assurent pas un niveau de protection adéquat alors qu'une décision de la Commission constate le contraire, seule la Cour de justice est compétente pour se prononcer sur la validité de cette décision [114]. Une question préjudicielle s'impose donc afin d'obtenir son avis.

40.La Cour commence par rappeler que l'article 25, 6., de la directive vise à assurer un niveau de protection élevé en cas de transfert de données vers un pays tiers [115], ce niveau ne devant pas être identique à celui garanti dans l'ordre juridique de l'Union mais « substantiellement équivalent » [116]. Comme nous l'avons relevé [117], à défaut d'une telle exigence, il serait facile de contourner la directive en transférant simplement les données personnelles depuis l'Union vers des pays tiers pour les traiter là-bas [118].

41.L'article 25, 6., de la directive prévoit que la Commission doit prendre en compte, avant de décider qu'un pays tiers offre un niveau de protection adéquat, la législation interne, les engagements internationaux et la pratique de ce pays [119]. Ce niveau doit par ailleurs être vérifié de manière périodique, tant en fait qu'en droit, puisqu'il est susceptible d'évoluer [120] et la validité de la décision adoptée par la Commission peut être remise en cause suite à des circonstances intervenues après l'adoption de la décision [121].

42.En l'espèce, la Cour estime que le niveau de protection requis n'est pas atteint et ce notamment parce que (1) les autorités publiques américaines ne sont pas soumises au respect des principes Safe Harbor  [122]; (2) la décision ne constate pas de manière suffisante qu'il existerait des mesures par lesquelles les Etats-Unis assureraient un niveau de protection adéquat [123]; (3) les limitations à l'application des principes Safe Harbor sont exorbitantes [124]; (4) la décision Safe Harbor ne mentionne aucune règle à caractère étatique qui pourrait limiter les éventuelles ingérences dans les droits fondamentaux des personnes dont les données sont visées [125] et; (5) la décision ne mentionne pas l'existence d'une protection juridique efficace contre ces éventuelles ingérences (seuls les litiges commerciaux portant sur le respect des principes Safe Harbor par les entreprises américaines sont visés et non les ingérences d'origine étatique) [126].

43.Il est dès lors évident que les droits fondamentaux des personnes dont les données personnelles sont transférées ou pourraient être transférées depuis l'Union vers les Etats-Unis sont bafoués [127]. Notons qu'à l'heure actuelle, au vu de la mondialisation et du nombre de sociétés basées aux Etats-Unis qui possèdent des filiales en Europe [128] susceptibles de leur transférer des données, cela touche potentiellement chaque citoyen européen.

44.La Cour pousse ensuite le vice jusqu'à citer l'appréciation de la Commission elle-même, à travers les deux communications exposées supra, pour démontrer que la décision prise par cette même institution 15 ans plus tôt doit être déclarée invalide [129].

45.Pour toutes ces raisons, la Cour estime que l'article 1^er de la décision Safe Harbor méconnaît les exigences de l'article 25, 6., de la directive, lu à la lumière de la charte et qu'il est donc invalide [130]. Elle note ensuite que l'article 3, 1., alinéa 1^er, de la même décision empêche les autorités nationales de contrôle de prendre des mesures pour assurer le respect de l'article 25 de la directive, ce qui est contraire à l'article 28 de la directive et constitue un excès de pouvoir de la part de la Commission qui ne pouvait pas restreindre ainsi les pouvoirs des autorités de contrôle en vertu de l'article 25, 6., de la directive, lu à la lumière de la charte. Cet article 3 est donc également invalidé [131]. Comme ces deux articles sont indissociables du reste, leur invalidité emporte l'invalidité de la décision dans son ensemble [132], et ce sans que la Cour ne doive se prononcer sur les principes Safe Harbor eux-mêmes.

46.Les deux points forts de la décision de la Cour, par lesquels elle suit les recommandations de son avocat général [133], concernent la marge de manoeuvre des autorités nationales de contrôle lorsqu'une décision de la Commission existe [134] et l'invalidation du système Safe Harbor [135] prononcée par la Cour sans qu'elle ne soit interrogée sur ce point par le juge a quo  [136]. Mentionnons également l'interprétation de la notion de « niveau de protection adéquat » par la Cour comme requérant un niveau de protection « substantiellement équivalent » à celui prévu au sein de l'Union européenne.

47.M. Schrems n'a pas été le premier à remettre en doute la décision Safe Harbor suite aux révélations concernant les programmes des agences de renseignement américaines mais c'est le seul particulier à avoir été aussi loin [137]. Le Parlement européen lui-même avait expressément demandé à la Commission de suspendre cette décision suite aux révélations concernant la NSA, tout comme le G29 [138] et la Commission LIBE [139], mais la Commission n'en a eu cure [140], préférant continuer, contre vents et marées, à utiliser le Safe Harbor. La Cour s'en est dès lors chargée.

48.Cet arrêt n'est pas le premier dans lequel la Cour se pose en véritable gardienne de la vie privée et de la protection des données des citoyens européens. En effet, en avril 2014, elle avait, dans son arrêt Digital Rights Ireland, invalidé une directive concernant la rétention de données personnelles et ce sur base de critiques également formulées dans l'arrêt Schrems telles que le non-respect du principe de proportionnalité, l'absence de garanties suffisantes pour éviter un accès abusif, notamment par les autorités nationales, aux données ainsi que l'absence de garanties procédurales pour les citoyens [141]. L'arrêt Google Spain [142] démontre lui aussi que la Cour décide de se positionner en véritable Cour constitutionnelle garantissant le respect des droits fondamentaux inscrits dans la charte de l'Union [143]. Dans cet arrêt, elle a ainsi affirmé l'existence du désormais célèbre « droit à l'oubli » [144].

49.L'un des points communs des arrêts Digital Rights Ireland et Schrems est l'affirmation par la Cour du fait que les critères de légalité, de nécessité et de proportionnalité doivent être rencontrés dans toute future (et actuelle) législation européenne concernant le droit à la protection des données à caractère personnel (et surtout les ingérences dans ce droit) et ce à la lumière des articles 7 et 8 de la charte de l'Union [145]. Ces articles sont également repris dans l'analyse juridique de l'arrêt Google Spain [146].

50.Ces trois arrêts datent de la période « post Snowden » et ce n'est sans doute pas un hasard. La position de la Cour s'est durcie: en 2006, également à propos d'une décision d'adéquation entre l'Union et les Etats-Unis, elle avait laissé aux autorités un délai de plusieurs mois durant lesquels l'une des décisions en cause [147] conservait ses effets [148] tandis que dans l'arrêt Schrems, elle ne mentionne aucun délai, l'invalidation est immédiate, et ce même si cela crée un climat d'incertitude dans les échanges commerciaux américano-européens. Ce dernier arrêt, selon O. Tambou, « prend les allures d'une décision Solange [149] », car la Cour affirme implicitement qu'aucun transfert ne pourra avoir lieu vers les Etats-Unis aussi longtemps que le niveau de protection des données n'y sera pas « adéquat » [150], tout comme la Cour constitutionnelle allemande avait affirmé qu'elle exercera son contrôle sur le droit communautaire dérivé aussi longtemps que (« Solange ») le niveau de protection des droits fondamentaux prévus par le droit européen ne sera pas équivalent à celui prévu par la législation allemande [151].

51.La Cour s'est ainsi chargée de rappeler l'importance du droit à la protection des données à caractère personnel, droit qui ne peut pas être sacrifié sur l'autel de l'ère numérique et des désirs sécuritaires des Etats-Unis, aussi légitimes soient-ils. Tant que l'accès aux données ne sera pas limité à ce qui est proportionnel et nécessaire, la Cour risque de continuer à jouer le gendarme dans les négociations entre l'Union et les Etats-Unis, gendarme soutenu par les citoyens qui, à la fois dans l'arrêt Google et dans l'arrêt Schrems, ont permis à l'Europe de garder la tête haute. Cela ne veut cependant pas dire qu'il faille arrêter tout transfert de données européennes vers des entreprises américaines...

2.2.

L'annulation du Safe Harbor condamne-t-elle les transferts de données vers les Etats-Unis?

52.Si c'est enfoncer des portes ouvertes que d'annoncer qu'après la décision de la Cour plus aucun transfert ne peut prendre la décision Safe Harbor pour fondement légal [152], et ce avec effet immédiat [153], les entreprises n'ont pas dû cesser tout transfert en attendant le nouvel accord: il existe en effet d'autres possibilités pour continuer à transférer des données vers les Etats-Unis, du moins en théorie, une fois les autres principes prévus par la directive respectés [154].

53.L'article 26 de la directive prévoit ainsi plusieurs cas de figure si le niveau adéquat de protection n'est pas atteint (supra, n^os 21-22): outre la possibilité d'obtenir le consentement de la personne concernée [155] et les cas dans lesquels le transfert lui est nécessaire [156], des solutions telles que les règles contraignantes d'entreprise ou les clauses contractuelles [157] existent. Ces solutions contractuelles seront examinées avant les autres dérogations prévues à l'article 26, 1., car ces dernières doivent être utilisées, selon le G29, en dernier ressort [158].

54.Les règles contraignantes d'entreprise, mieux connues sous le nom de « binding corporate rules » (ci-après les « BCR »), sont des règles internes adoptées par des groupes multinationaux de sociétés afin de définir leur politique globale concernant les transferts internationaux de données protégées par la réglementation européenne, entre sociétés du groupe, notamment celles situées dans des pays tiers n'offrant pas un niveau de protection adéquat [159]. Ces BCR ont été créées par le G29 en 2003 comme une alternative aux clauses contractuelles et au Safe Harbor pour les transferts internationaux complexes vers plusieurs pays tiers [160].

55.Les principes guidant ces BCR ne se trouvent donc pas dans la directive même mais dans des documents du G29 [161], ce qui a rendu ces BCR particulièrement attractives puisque moins sujettes à interprétation que la directive qui donne des principes plutôt larges [162] là où le G29 formule de nombreux conseils et précisions dans les divers documents adoptés à cet égard.

56.Ces BCR doivent être approuvées par l'autorité nationale de contrôle dite « chef de file » [163] mais permettent ensuite de transférer librement des données au sein du groupe sans aller à l'encontre des principes prévus aux articles 25 et 26 de la directive [164]. Ainsi, UCB dispose de telles BCR (approbation des autorités belges), tout comme BMW (approbation des autorités allemandes), e-Bay (approbation des autorités luxembourgeoises) ou le cabinet d'avocats Linklaters (approbation des autorités anglaises) [165].

57.Les clauses contractuelles visent, quant à elles, à fournir des garanties similaires aux BCR mais dans le cadre d'un contrat spécifique prévoyant un transfert de données dans un Etat n'assurant pas un niveau de protection adéquat [166] et ce en dehors d'un groupe de sociétés. Il s'agit donc d'un équivalent, quoique moins pratique puisqu'il implique des clauses inscrites dans chaque contrat, pour les transferts entre des sociétés non liées. Les entreprises peuvent choisir entre les clauses contractuelles types, adoptées par la Commission en vertu de l'article 26, 4., de la directive [167], et leurs propres clauses dont la conformité doit être examinée par les autorités nationales compétentes [168].

58.Si le transfert se fonde par contre sur l'un des cas de figure prévus par l'article 26, 1., de la directive, ce transfert peut avoir lieu dans tout pays, qu'il dispose ou non d'un niveau de protection adéquat, et aucune autorisation préalable des autorités compétentes n'est nécessaire [169]. Ces cas sont prévus comme des dérogations et doivent être interprétés de manière restrictive: l'exception ne peut en effet pas devenir la règle [170].

59.Il existe ainsi la possibilité de demander le consentement de la personne concernée [171], de démontrer que le transfert de données est nécessaire [172] (1) pour la conclusion ou l'exécution de certains contrats [173], (2) pour « la sauvegarde d'un intérêt public important [174], ou pour la constatation, l'exercice ou la défense d'un droit en justice » [175], (3) pour la sauvegarde de l'intérêt vital de la personne concernée [176]; ou (4) si le transfert intervient au départ d'un registre public destiné à l'information du public [177]. Ces trois derniers cas de figure [178] ne sont cependant pas pertinents dans notre contexte de transferts commerciaux. Il reste donc les conclusions de contrats qui nous semblent être un fondement valide à un transfert européano-américain (p. ex. disposer du nom d'une personne qui désire louer une chambre d'hôtel) et le consentement de la personne concernée.

60.Concernant la possibilité de demander le consentement de la personne concernée, certains auteurs notent cependant qu'il est très peu probable que celui-ci puisse être valide considérant l'impossibilité pour la personne de savoir exactement ce à quoi elle consent concernant l'utilisation de ses données puisque, quand bien même nous pourrions imaginer une formule standard selon laquelle les entreprises expliquent que les services de renseignement américains pourraient avoir accès aux données avec une case à cocher pour le citoyen dont les données sont concernées, les services de renseignement sont pour le moins peu transparents sur le traitement de ces données, or le consentement doit être informé pour être valide (pour ne relever que cette critique-là) [179]. Néanmoins, les autorités allemandes estiment que, sous des conditions strictes, le consentement de la personne concernée peut être une base valide de transfert mais de tels transferts ne peuvent pas s'opérer de manière répétitive ou à grande échelle [180], ce qui rend cette base inutilisable pour de grands groupes transférant quotidiennement les données de leurs clients ou de leurs travailleurs.

61.L'annulation de la décision Safe Harbor ne condamne donc pas, en tant que tels, les transferts de données vers les Etats-Unis mais les rend plus compliqués puisqu'il ne s'agit plus d'avoir un seul cadre juridique pour l'ensemble des transferts effectués (les principes Safe Harbor) mais bien d'avoir des clauses y afférant dans chaque contrat prévoyant un transfert, de disposer de BCR dans les groupes de sociétés (solutions contractuelles) ou de se situer dans le champ précis de l'article 26, 1., de la directive (cas prévus par la législation).

62.Cependant, déjà en 2013, la Commission notait que certaines entreprises ne pourraient pas se satisfaire de ces options, comme c'est le cas de MasterCard qui traite avec des milliers de banques [181]. De même, dans certains Etats membres, la procédure d'approbation de BCR ou de clauses contractuelles [182] est très lourde (en Belgique, cette approbation doit prendre la forme d'un arrêté royal après avis de la Commission de la protection de la vie privée [183]).

63.Cette approbation par les autorités nationales compétentes, qui doivent, selon la Cour dans l'arrêt Schrems, pouvoir examiner en toute indépendance si les pays tiers disposent du niveau de protection adéquat [184], est d'ailleurs l'un des noeuds du problème actuel. En effet, là où la Grande-Bretagne estime que la fin du Safe Harbor ne change pas fondamentalement la donnée [185], les autorités allemandes de protection des données ont décidé que ni les clauses contractuelles ni des BCR ne pourraient remplacer le Safe Harbor et qu'elles ne délivreraient aucune nouvelle autorisation à cet égard [186] car les problèmes pointés du doigt par la Cour existent également en cas de clauses contractuelles ou de BCR (les agences nationales de renseignement peuvent également accéder à des données de citoyens européens transmises via ces mécanismes) [187]. De même, suite à la modification de la plainte de Schrems, qui ne porte désormais plus sur le Safe Harbor mais sur les clauses contractuelles standards adoptées par la Commission et utilisées par Facebook pour certains transferts, l'autorité irlandaise de protection des données estime qu'il faut interroger la Cour de justice sur leur légalité [188].

64.Il reste donc aux entreprises une marge de manoeuvre variant selon les autorités de contrôle auxquelles elles ont affaire. L'Allemagne semble être à l'avant-garde de la protection des données à caractère personnel [189], suivie de près par la France notamment, qui n'a pas hésité à lancer des ultimatums à Facebook [190], ainsi que la Belgique dont l'autorité nationale de contrôle tente de combattre certaines politiques utilisées par Facebook [191], tandis que les autorités anglaises sont bien moins alarmistes [192]^, [193].

65.Le voeu de la Commission, partagé par le G29, d'une application uniforme de l'arrêt Schrems et du droit européen semble bien loin [194]. Seul le futur pourra désormais nous dire si ces différences sont vouées à disparaître rapidement par le biais du nouvel accord avec les Etats-Unis et/ou par le biais du nouveau règlement de manière générale ou si cela donnera naissance à une nouvelle forme de « forum shopping » pour les entreprises qui désirent s'établir en Europe.

2.3.

L'ultimatum du Groupe 29: un jeu dangereux

66.Suite à l'arrêt Schrems, le G29 n'a pas tardé à réagir en demandant de toute urgence aux Etats membres et aux institutions européennes de négocier avec les Etats-Unis pour qu'un nouvel accord soit mis en place [195]. A cet égard, le G29, composé, pour rappel, des autorités de contrôle de chaque Etat membre, n'a pas hésité à poser comme deadline la fin du mois de janvier 2016. A défaut, le groupe prévient que les autorités nationales de contrôle s'engagent à prendre toutes les actions nécessaires et appropriées, y compris, le cas échéant, des mesures répressives coordonnées [196].

67.Bien que certains Etats ne semblent pas prêts à aller aussi loin [197], cette menace a été entendue par la Commission qui a négocié de manière assez rapide la conclusion d'un nouvel accord avec les Etats-Unis. L'arrêt de la Cour et l'ultimatum posé par le G29 semblent avoir donné l'impulsion manquante pour que le nouvel accord soit acté puisqu'avant cela des négociations étaient en cours depuis 2 ans mais n'avaient jamais abouti [198]. Notons qu'à défaut de respecter cet ultimatum, il est fort probable que certaines autorités nationales de contrôle auraient fait pression par d'autres ultimatums, si ce ne sont des actions, à l'encontre des entreprises concernées qui, à leur tour, auraient sollicité les institutions européennes [199], ce qui se faisait déjà en partie via des lettres ouvertes d'organisations touchées par la fin du Safe Harbor  [200].

68.L'accord politique fut ainsi annoncé le 2 février 2016 [201], soit seulement quelques jours après la deadline, mais les divers textes de l'accord en tant que tel, baptisé « Privacy Shield », n'ont été fournis que le 29 février 2016 par la Commission [202], suite à une autre deadline imposée par le G29 [203].

69.Ce calendrier pousse certains à dire que la Commission a affirmé l'existence d'un accord pour respecter la deadline et s'est ainsi piégée elle-même vis-à-vis des Etats-Unis qui ont finalement pu se contenter d'attendre la fin du délai fixé par le G29 pour imposer leurs vues [204]. L'Union semblait pourtant en position de force suite à l'arrêt de la Cour [205] qui exprimait un point de vue fort sur l'accès aux données par les autorités américaines, accès qui semblait être le problème bloquant les négociations entamées entre la Commission et les Etats-Unis [206].

70.Cette rapidité peut néanmoins également se comprendre au vu de la position prise par la Commission d'affirmer que l'arrêt Schrems a « confirmé l'approche adoptée par la Commission depuis novembre 2013 » [207]. Si cet arrêt n'est qu'une confirmation et que les travaux ont déjà débuté, 3 mois étaient peut-être amplement suffisants pour finaliser un accord.

Section 3. Une lumière au bout du tunnel?

« Si l'Europe parvient à mettre en place un régime juridique équilibré de protection des données à caractère personnel, elle deviendrait attractive pour les géants du web. » [208].

3.1.

Le Privacy Shield, laisser Big Brother agir en toute liberté?

71.« Tout nouvel accord devra satisfaire aux exigences énoncées dans l'arrêt de la Cour. » [209]. La Commission ne pouvait pas être plus claire sur le niveau de protection qui se doit d'être atteint dans tout futur accord entre l'Union et un pays tiers concernant les données personnelles.

72.Celui qui nous concerne a reçu une dénomination imagée: « bouclier de protection des données UE-Etats-Unis » [210]. Mais qui ou que ce bouclier protège-t-il? Les données des citoyens européens contre les intrusions constantes des agences de renseignement américaines? Les entreprises américaines des conséquences inévitables des programmes de surveillance de masse existant aux Etats-Unis [211]? La question reste ouverte. Ce bouclier, dévoilé en février 2016, les Etats-Unis ont contribué à le créer puisqu'il est le fruit du nouvel accord avec l'Union européenne concernant les transferts de données. Il comprend des « Privacy Shield Principles », rappelant les « Safe Harbor Principles », ainsi que divers documents annexés [212] (ci-après le « Privacy Shield »).

73.Les discussions concernant cet accord sont en réalité bien plus anciennes que 2016 ou que l'arrêt Schrems puisqu'elles ont débuté suite aux révélations de Snowden en 2013 [213]. Snowden n'a en effet (et heureusement!) pas secoué que le seul Schrems. Néanmoins, la Commission fut bien lente à réagir et malgré des recommandations formulées en 2013 et des discussions lancées en 2014 avec les Etats-Unis [214], elle n'aura adopté aucune nouvelle décision avant que la Cour ne se charge de lui rappeler, durement, que la réalité américaine ne correspond pas à la législation européenne.

74.Pour savoir si le nouvel accord risque ou non d'être, à son tour, invalidé par la Cour, il faut se remémorer les critiques de cette dernière vis-à-vis du protocole Safe Harbor: le Privacy Shield répond-il aux exigences de la Cour telles que nous les avons précédemment énoncées, le niveau de protection est-il équivalent à celui prévu par le droit de l'Union [215]? Les changements apportés répondent-ils aux critiques ou sont-ils « purement cosmétiques » [216]?

75.Quatre changements principaux doivent être mentionnés [217].

76.Premièrement, sans critique de la Cour à ce sujet, les négociateurs européens et américains ont décidé de rester sur un système d'autocertification ouvert aux entreprises volontaires [218] et ce probablement pour ne pas devoir entreprendre une modification plus fondamentale de la législation américaine en la matière. Des mécanismes plus stricts de supervision sont cependant prévus pour contrôler ces entreprises (rappelons-nous que certaines entreprises étaient certifiées sous le système Safe Harbor alors même qu'elles n'en respectaient pas les principes), y compris la possibilité de les sanctionner ou de les exclure du système [219]. A cet égard, le G29 se demande cependant quels sont les pouvoirs exacts des autorités américaines pour contrôler les organisations autocertifiées et enquêter sur les violations du Privacy Shield [220].

77.Ensuite, il semblerait qu'au niveau des garanties procédurales offertes aux personnes dont les données sont concernées par un transfert, des efforts ont été mis en place, notamment par la possibilité pour ces personnes de s'adresser à leur autorité nationale de contrôle [221], par l'adoption d'une législation américaine ouvrant les recours judiciaires aux citoyens européens en cas de traitement de leurs données (Judicial Redress Act) [222] ainsi que par la création d'un service de médiation (« ombudsperson ») pour permettre un recours des citoyens européens en matière de plaintes et demandes d'informations concernant les services de renseignement américains [223].

78.A cet égard, le G29 estime que, bien qu'on puisse observer une amélioration, l'architecture des recours offerts aux individus est bien trop complexe et les recours possibles trop nombreux [224], ce qui risque de ne pas satisfaire l'exigence de l'existence d'un mécanisme de recours efficace pour les individus [225]. De même, le G29 doute de l'indépendance et de l'efficacité de l'ombudsperson [226] (qui n'a par ailleurs pas encore été nommée malgré l'entrée en vigueur du Privacy Shield le 1^er août dernier).

79.Troisièmement, la critique de la Cour visant l'absence de révision et de contrôle du système Safe Harbor semble avoir été entendue puisqu'un mécanisme de réexamen annuel est mis en place [227] avec la possibilité d'une suspension du régime le cas échéant. Il faudra cependant voir en pratique si ces mécanismes seront ensuite appliqués puisque la décision Safe Harbor prévoyait également à l'époque un examen régulier et une suspension possible [228], ce qui ne fut pas suivi d'effets, la Commission ayant seulement émis des recommandations en 2002, 2004 et 2013 et aucune suspension n'ayant eu lieu malgré les révélations de Snowden [229]. Le G29 a d'ailleurs demandé des précisions sur ce mécanisme et désirait que les parties s'accordent sur ses modalités à l'avance [230], craignant sans doute qu'en l'absence de telles précisions, le mécanisme finisse dans les mêmes oubliettes que le mécanisme prévu par la décision Safe Harbor.

80.Enfin, du point de vue de l'accès généralisé aux données par les autorités américaines, l'accord prête le flanc à la critique car il ne rencontre pas les exigences posées par la Cour. En effet, bien que les Etats-Unis se soient engagés à s'abstenir d'un accès non ciblé ou de masse aux données européennes stockées sur leur territoire [231], cet engagement est constellé d'exceptions. La Commission présente cet engagement comme l'une des améliorations majeures obtenues par l'Union mais il faut le replacer dans son contexte: suite aux révélations de Snowden, Barack Obama avait fait publier une directive présidentielle pour encadrer les activités de renseignement, directive prévoyant que la collecte de données par ces services doit être ciblée [232]. L'engagement des Etats-Unis envers l'Union n'est donc qu'une simple copie de cette directive datant de janvier 2014 et non une avancée extraordinaire comme semble le clamer la Commission. L'application de cette directive, citée dans l'annexe VI du Privacy Shield, démontre, et c'est là que le bât blesse, que le principe d'absence de collecte massive de données s'accompagne en fait de six exceptions libellées dans des termes tellement larges (notamment cybersécurité, lutte contre le terrorisme, menaces criminelles transnationales, détection et neutralisation de certaines activités menées par des puissances étrangères [233]) qu'en pratique les autorités américaines auront accès de manière généralisée aux données quand elles le désirent [234], ce que la Cour avait expressément condamné [235], de même que le G29 qui le répète dans son avis concernant tout spécialement le Privacy Shield [236].

81.Le G29 souligne également que le Privacy Shield manque de clarté et de cohérence au niveau du langage et de la terminologie usités [237] et que certains principes fondamentaux du droit européen de protection des données ne sont pas explicitement prévus [238].

82.De manière peu surprenante, les acteurs concernés du côté européen ne sont globalement pas convaincus par le nouvel accord, contrairement aux acteurs américains qui réagissent de manière plus positive [239]. Cela se comprend aisément: les acteurs européens concernés voient leurs droits fondamentaux bafoués tandis que les acteurs américains concernés désirent qu'un nouvel accord soit mis en place pour pallier l'insécurité actuelle. Les entreprises accueillent plutôt bien ce nouvel accord [240] qui les libère d'une position difficile puisque nous avons pu démontrer à quel point les autres fondements pour réaliser des transferts sont remplis d'incertitudes.

83.M. Schrems, parmi d'autres [241], a critiqué ce nouvel accord et estime que, malgré de nombreuses améliorations, cet accord ne répond pas aux critiques principales de la Cour [242]. Le Parlement européen partage cette opinion [243] et le G29 a, malgré les commentaires parfois positifs dans son avis sur le Privacy Shield, confirmé cela [244]. Son avis n'a d'ailleurs plus été sollicité suite aux quelques changements minimes adoptés par la Commission durant les mois de mai et juin avant l'adoption définitive du texte le 12 juillet dernier [245]. Le G29 a néanmoins spontanément donné son avis fin juillet pour prévenir que tous les problèmes n'étaient pas réglés mais qu'ils laisseraient le Privacy Shield « vivre » durant une année avant de revenir à la charge [246]. La Cour pourrait également confirmer la position du G29 quand elle sera amenée à se prononcer sur ce nouvel accord, ce qui ne saurait tarder puisque des requêtes en annulation ont été déposées devant le Tribunal [247]. Il semble donc que le Privacy Shield provoque une levée de boucliers.

84.Les entreprises peuvent adhérer au Privacy Shield depuis le 1^er août 2016 mais elles doivent rester prudentes puisque sa validité est déjà mise en doute. Les entreprises, à ce stade, bien que réceptrices au nouvel accord, ne sont d'ailleurs pas opposées à une législation plus protectrice des données puisque ce n'est pas tant leur accès aux données qui est critiqué mais plutôt l'accès concédé aux autorités américaines auxquelles ces entreprises sont contraintes de transmettre ces données [248]. Leur désir principal est finalement de disposer de règles claires et précises. Celles qu'il faut convaincre de changer de système à long terme sont donc les autorités américaines, ce qui ne semble pas être chose aisée tant celles-ci tiennent à jouer les Big Brother… [249]

3.2.

Le règlement: se rattraper sans avoir à forcer la main des Américains?

85.Le Privacy Shield devra, quoiqu'il en soit, être renégocié au moment de l'entrée en vigueur du nouveau règlement en matière de protection des données [250]. L'Union européenne tente en effet depuis plusieurs années de réformer sa législation sur les données à caractère personnel pour assurer un niveau de protection plus élevé [251].

86.La législation actuellement en vigueur date, il est vrai, de 1995 et ne répond donc pas aux exigences de notre ère numérique [252]. Sans s'attarder sur la question de savoir si un jour une législation pourra être considérée comme « à jour » tant les progrès technologiques actuels avancent à une vitesse phénoménale, nous allons voir quels changements cette nouvelle réglementation apporte en matière de transferts internationaux de données et en quoi cela pourrait permettre de cadenasser les transferts vers les Etats-Unis.

87.La nouvelle réglementation se compose de deux instruments: un règlement général sur la protection des données [253] et une directive de protection des données dans le domaine de la coopération policière et judiciaire [254]. Nous nous intéresserons seulement au premier puisque notre étude ne porte que sur les aspects commerciaux de la matière.

88.Le nouveau règlement a fait l'objet d'un accord politique du triumvirat européen le 15 décembre 2015, plus de 3 ans après la proposition de règlement formulée par la Commission européenne [255]. Il vient d'être adopté et entrera en vigueur en 2018 [256]. La directive actuelle s'appliquera donc jusque-là. De manière générale, ce règlement sera un soulagement pour les entreprises qui n'auront plus qu'à appliquer une législation paneuropéenne unique et non les diverses transpositions en droit national de la directive actuelle [257].

89.Les changements ne sont en revanche pas révolutionnaires en ce qui concerne directement les transferts [258]. Le règlement vise surtout à légaliser des pratiques existantes ou à clarifier certains concepts, par exemple en consacrant expressément le droit à l'oubli numérique existant en principe en pratique depuis l'arrêt Google Spain [259]^, [260], en prévoyant expressément l'application de la réglementation européenne aux entreprises non établies sur le territoire de l'Union si elles offrent des biens ou des services à des citoyens européens ou surveillent le comportement d'individus sur ce même territoire [261], en clarifiant l'utilisation des dérogations au principe du niveau de protection adéquat [262] ainsi qu'en précisant les relations entre les entreprises et les autorités de contrôle (principe du guichet unique et suppression des notifications) [263]. Il y a désormais également une mention expresse aux BCR [264] et d'autres instruments de transferts sont créés [265].

90.Les décisions d'adéquation de la Commission seront en outre mieux entourées: le règlement prévoit en effet les éléments à prendre en compte lorsque la Commission veut décider qu'un pays tiers dispose du niveau de protection adéquat et cela comprend l'accès aux données par les autorités du pays en question [266]. Cela permettra sans doute à la Commission de disposer de plus de moyens de pression face aux Etats-Unis puisqu'à défaut de restriction claire dans la décision d'adéquation à l'accès aux données par les autorités américaines, la décision risquera grandement d'être annulée par la Cour voire de ne pas être respectée par les autorités nationales dès l'entrée en vigueur du règlement.

91.L'un des changements qui ne satisfera certainement pas les entreprises est en revanche l'introduction dans le règlement [267] de sanctions administratives qui pourront atteindre 20 millions d'euros ou 4% du chiffre d'affaires mondial annuel de l'entreprise [268] en cas de manquement aux obligations prévues par le règlement [269]. Ce système de sanctions, bien supérieures à ce qui se faisait auparavant [270], pourrait être l'incitant nécessaire pour que des entreprises telles que Google ou Facebook s'exécutent [271]. De même, les mesures prévues par l'article 58, 2., telles que les suspensions de flux de données vers des pays tiers, devraient donner plus de poids à ce règlement et en permettre une meilleure application pratique [272].

92.Ces sanctions pourront en effet être prises par les autorités nationales de contrôle dont les pouvoirs seront renforcés [273] et, comme nous l'avons vu, certaines d'entre elles sont très actives dans le domaine. Ainsi, dans un futur proche, la mise en demeure lancée par la CNIL pourrait finir par coûter très cher à un géant tel que Facebook [274]. A défaut d'imposer des règles plus protectrices dans l'accord Privacy Shield, ces sanctions potentielles pourraient permettre une meilleure protection des données, du moins dans leur utilisation par les entreprises. Les citoyens, ainsi que des organisations ou associations qui oeuvrent à la protection des données, pourraient également se retourner contre les entreprises [275].

93.Ainsi, les critères devant être remplis pour qu'un pays soit considéré comme disposant du niveau de protection adéquat et les sanctions mises en place pourraient permettre de limiter les ingérences dans les droits fondamentaux des citoyens européens, que ce soit par les entreprises ou par les agences nationales, et ce sans devoir négocier avec les Etats-Unis ou n'importe quel autre pays tiers puisque ces principes seront inscrits dans le règlement même, applicable à toutes les données à caractère personnel transférées depuis le territoire de l'Union européenne. Tous les acteurs actifs en Europe se devront ainsi de suivre les mêmes règles.

Conclusion

« We need this global approach. Trust in our technologies without borders is at this prize. » [276].

94.Un bilan peut être tiré à ce stade. En effet, malgré les changements intervenus en 20 ans (qu'ils soient législatifs, technologiques, sécuritaires ou commerciaux), les mêmes critiques reviennent et se répètent. Ces critiques sont émises par tous les acteurs européens, que ce soit le Parlement, la Commission, la Cour de justice, le G29, la doctrine ou les citoyens [277]. Ces critiques, les entreprises américaines commencent petit à petit à s'y rallier pourvu finalement qu'un accord fort soit mis en place pour remplacer l'incertitude actuelle [278]. Ces critiques, l'Union y a finalement mieux répondu dans le règlement que dans l'accord Privacy Shield dont l'annulation est déjà demandée [279]. Ce règlement constituera probablement un fondement plus clair à suivre pour les entreprises concernées.

95.En pratique, les étapes par lesquelles il faut passer afin de transférer des données à caractère personnel de manière légale vers les Etats-Unis (ou tout autre pays tiers d'ailleurs) restent, fondamentalement, les mêmes dans la directive et dans le futur règlement [280].

96.En effet, en présence d'un transfert de données à caractère personnel vers un pays tiers [281], suite à la récolte légale des données sur le territoire de l'Union, il faudra d'abord vérifier si ce pays et les circonstances entourant le transfert démontrent qu'il existe un niveau adéquat de protection pour ces données [282]. Si c'est le cas, le transfert peut alors avoir lieu. Dans le nouveau règlement, des règles plus spécifiques existent pour que la Commission détermine si ce niveau adéquat est atteint ou non, ce qui rendra cette première étape plus aisée à franchir, que ce soit pour la Commission ou pour les autorités nationales de contrôle lorsqu'elles sont saisies d'une plainte à cet égard.

97.Si la protection n'est pas équivalente à celle de l'Union, il faudra vérifier si les parties concernées ont mis en place des garanties adéquates pour protéger ces données (p. ex. des clauses contractuelles, des BCR, ou encore, dans le règlement, un code de conduite ou une certification). A nouveau, si c'est le cas, le transfert pourra avoir lieu [283]. Dans le cas contraire, il reste possible de transférer les données dans le cadre des dérogations légales au principe du niveau adéquat de protection [284], dérogations qui sont mieux explicitées dans le règlement [285].

98.Les décisions de la Commission, telles que la décision Safe Harbor et la décision Privacy Shield, permettent seulement de s'arrêter à la première étape et d'offrir aux entreprises un cadre général pour transférer des données à un responsable basé aux Etats-Unis. Les clauses contractuelles, les BCR, les exceptions prévues par l'article 26, 1., de la directive (art. 49, 1., du règlement) continuent à exister et sont, selon nous, une toile de fond bien plus prudente à adopter que les décisions précitées dont la première fut invalidée par la Cour qui, petit à petit, dessine les contours du « niveau de protection adéquat » et risque bien d'invalider la seconde si elle n'est pas modifiée.

99.Comme le dit si bien S. Peyrou, « [d]ans un contexte mondialisé où l'échange de données a crû de façon exponentielle, et où l'identité numérique de tout un chacun est exploitée aussi bien par des sociétés multinationales pour des raisons lucratives que par les Etats pour des motifs sécuritaires, le juge européen construit ainsi pas à pas une protection robuste en indiquant les limites à ne pas franchir » [286].

100.Grâce aux arrêts Digital Rights Ireland, Google Spain et Schrems, l'interprétation de la Cour est désormais claire: la protection des données personnelles est un droit fondamental. Permettons-nous donc d'aller au-delà de la question de la légalité ou non du Privacy Shield pour prendre un peu de recul et tenter de voir quelle solution pourrait être trouvée pour assurer la protection des données à caractère personnel en tant que droit fondamental dans ce monde numérique qui est actuellement le nôtre sans pour autant restreindre les nombreux avantages qu'il offre.

101.Pour cela, il est impératif de trouver un équilibre entre les données conçues en tant que droit fondamental, les données conçues en tant que bien de commerce (la valeur des données à caractère personnel des citoyens européens pourraient atteindre près de 1.000 milliards d'euros par an d'ici à 2020 [287]) et les données conçues en tant que mine d'informations pour les autorités étatiques.

102.Ces trois approches ne sont pas incompatibles, il n'est pas paradoxal pour le règlement (et la directive avant lui) de vouloir protéger les données tout en assurant la libre circulation de celles-ci, mais une balance des intérêts (commerciaux, sécuritaires et de protection des droits fondamentaux) doit intervenir. Plus encore, il faut que l'ensemble des acteurs le fassent de la même manière.

103.La réglementation concernant les données personnelles est, selon nous, vouée à être sans cesse bafouée si elle reste cantonnée à l'Union européenne, bien que celle-ci tente coûte que coûte d'en étendre les effets et qu'elle a réalisé des avancées considérables dans le nouveau règlement à cet égard. Une telle réglementation devrait être mondiale [288] pour être effective car le monde numérique n'a pas de frontières. La prochaine question à se poser est cependant de savoir jusqu'à quel point les Etats sont prêts à faire confiance et à élargir les compétences d'une organisation internationale pour ce faire [289] et à quel point les visions actuelles, différentes, de la protection des données peuvent se concilier.

104.En outre, cette conciliation ne doit pas aboutir à diminuer le niveau de protection actuel en Europe. K. Lenaerts, président de la Cour, estime que l'Europe ne doit pas avoir honte de ses principes de base [290]: « the rule of law is not for sale » [291]. Cependant, C. Kuner estime que si les Etats-Unis et l'Union européenne, pour ne citer que ces deux grandes puissances, ne travaillent pas mieux ensemble et ne trouvent pas des standards communs, il est difficile d'imaginer qu'ils puissent résoudre les défis posés par les avancées technologiques, la globalisation économique et le pouvoir grandissant des pays d'autres régions vis-à-vis du droit à la protection des données personnelles [292].

105.L'Europe a un rôle à jouer dans ce dossier. Si elle a réussi, grâce aux arrêts de la Cour, à modifier les règles pour des géants tels que Google ou Facebook, il lui est tout à fait loisible d'imposer sa volonté à d'autres entreprises [293] et, via ce processus, de l'imposer à d'autres Etats [294]. L'Union peut en effet utiliser le pouvoir économique des données pour en instaurer une meilleure protection. Les géants du web ont besoin d'un territoire tel que celui de l'Union et sont prêts à en suivre les règles pour autant que celles-ci soient claires [295]. En effet, « la confiance du public dans les produits et services de l'économie numérique dépend en grande partie du respect des règles de protection des données par l'industrie. Le respect de ces règles constitue un facteur concurrentiel fondamental pour les acteurs numériques; il assurera la durabilité du développement de l'industrie numérique, au bénéfice de celle-ci comme de celui des consommateurs » [296]. Dans l'ère numérique actuelle, des nouvelles entreprises fleurissent d'ailleurs dans le but même de protéger les données [297] et un géant tel que Microsoft a récemment décidé de transférer ses données cloud en Europe pour une meilleure protection [298]. Le nouveau règlement pourrait ainsi devenir la pièce maîtresse de la protection des données et permettre à l'Union de développer des stratégies d'influence en s'appuyant sur le caractère mondial du monde numérique [299].

106.La mise en balance d'intérêts divergents tels que la protection des données à caractère personnel pour les individus, la valeur économique de ces données pour les entreprises et l'utilisation de celles-ci à des fins sécuritaires par les autorités étatiques, américaines ou européennes, est une question extrêmement complexe à résoudre [300]. L'un prend souvent le pas sur les deux autres et le gagnant de ce combat homérique n'est pas toujours le même selon l'époque ou la région concernée. Un juste équilibre devrait pourtant être trouvé entre ces trois intérêts [301] et ce rapidement et mondialement au risque de voir naître des batailles sans fin entre individus, entreprises et gouvernements. Mais qui osera et pourra prendre en charge le nettoyage des écuries d'Augias et à qui une telle réglementation sera-t-elle finalement bénéfique? Qui tirera son épingle du jeu? Ces questions restent, à ce jour, ouvertes.

107.Quoiqu'il en soit pour le futur, nous dansons depuis presque 20 ans une valse à mille temps sous les étoiles américaines et européennes. Entre négociations longues de plusieurs années, accords douteux, programmes de surveillance, plaintes d'individus et pressions d'entreprises, plusieurs danseurs se font sans cesse écraser les orteils et ne demandent qu'une chose: que cette valse américano-européenne trouve enfin sa juste mesure.