Peut-on transférer des données à caractère personnel vers les États-Unis ?

Pour transférer des données à caractère personnel vers un pays qui ne fait pas partie de l’Union européenne, comme les États-Unis, des garanties doivent être apportées par l’entreprise en charge des traitements de données. Ces garanties doivent permettre de justifier que les données garderont un niveau élevé de protection, au moins équivalent au RGPD.

Les garanties peuvent être de plusieurs natures :

• une décision d’adéquation de la Commission européenne avec le pays vers lequel les données sont exportées ;
• des mesures spécifiques prises par le pays, par exemple une législation spécifique ; ou
• des mesures (techniques, légales et/ou organisationnelles) prises par l’entreprise qui exporte les données.

Concernant les États-Unis, une décision d’adéquation (nommée « Safe Harbour ») avait été prise par la Commission européenne en juillet 2000. Suite aux révélations d’Edward Snowden, en juin 2013, sur les pratiques de surveillance de masse des États-Unis, cette décision a toutefois été invalidée^[1] par la CJUE en octobre 2015, estimant que les pratiques des États-Unis ne permettaient pas de garantir une protection adaptée des données.

Quatre mois plus tard, en février 2016, la Commission adopte une nouvelle décision d’adéquation (« Privacy Shield »^[2]). Cette seconde décision a toutefois été invalidée^[3] par CJUE en juillet 2020, car les pratiques de surveillance de masse des agences de renseignement états-uniennes ont, une nouvelle fois, été jugées incompatibles avec les droits et protections des européens.

« Dans le cadre du programme PRISM, les fournisseurs de services Internet [américains] sont tenus […] de fournir à la NSA toutes les communications envoyées et reçues par un "sélecteur", une partie d’entre elles étant également transmise au FBI et à la [CIA].

S’agissant du programme UPSTREAM, […] les entreprises de télécommunications [états-uniennes] exploitant la "dorsale" de l’internet – c’est-à-dire le réseau de câbles, commutateurs et routeurs – sont contraintes de permettre à la NSA de copier et de filtrer les flux de trafic Internet afin de recueillir des communications envoyées par ou reçues par ou concernant le ressortissant non américain visé par un « sélecteur ». Dans le cadre dudit programme, la NSA a […] accès tant aux métadonnées qu’au contenu des communications concernées. »

Suite à l’invalidation de cette seconde décision d’adéquation, il n’était plus autorisé de transférer des données à caractère personnel vers les États-Unis, même en prenant des mesures contractuelles, puisqu’elles n’engageaient pas les services gouvernementaux américains et ne permettaient pas d’informer les personnes concernées qu’elles ont fait l’objet d’une demande (FISA), non encadrée, des services de renseignement américains^[4]. L’utilisation de mesures organisationnelles ou techniques n’était plus non suffisante pour justifier un niveau de protection « substantiellement équivalent » au RGPD, puisqu’elles ne permettaient pas de compenser les pratiques de surveillance des États-Unis.

Certaines entreprises ont toutefois continué d’exporter des données vers les États-Unis et ont été sanctionnées. C’est le cas notamment de META (ex-Facebook), sanctionnée d’une amende d’1,2 milliard d’euros pour avoir transféré les données de ses utilisateurs européens vers les États-Unis^[5], et de l’opérateur suédois TELE2, sanctionné d’une amende d’1 million d’euros pour avoir effectué des transferts de données vers les États-Unis avec Google Analytics^[6].

En juillet 2023, c’est-à-dire trois ans après l’invalidation de la seconde décision d’adéquation, une troisième décision d’adéquation (« Data Privacy Framework »^[7]) est adoptée par la Commission européenne.

Cette nouvelle décision, prise contre l’avis de l’EDPB^[8] et de la Commission LIBE^[9] du Parlement européen, est toujours en cours à ce jour. Elle est toutefois vivement critiquée. Sa probabilité d’annulation est jugé « assez élevé » par l’une des autorités allemandes de protection des données^[10]. Un recours a, par ailleurs, été déposé par le député et membre de la CNIL, Phillipe Latombe^[11]. Un autre recours est également en préparation par l’organisation militante NOYB^[12], dont le fondateur Max Schrems est à l’origine de l’invalidation des deux premiers accords.

Dans l’attente d’une réponse détaillée de la CJUE et pour ne pas compromettre a confindentialité des données, il est donc plus prudent de ne pas exporter des données vers les États-Unis..