Une nouvelle sphère de sécurité

Le Collège des commissaires de l’Union européenne vient d’approuver le nouvel accord transatlantique de sphère de sécurité qui doit remplacer l’accord du Safe Harbor, invalidé par la Cour de justice de l’Union européenne le 6 octobre 2015.

Le nouvel accord apporterait les améliorations suivantes :

Des garanties claires et des obligations de transparence concernant l’accès du gouvernement américain

Pour la première fois, les États-Unis ont donné par écrit à l’UE l’assurance que l’accès des autorités publiques pour l’application de la loi et pour la sécurité nationale sera soumis à des limites, des garanties et des mécanismes de contrôle clairs. Ces exceptions doivent être utilisées uniquement dans la mesure où elles sont nécessaires et proportionnées. Les États-Unis ont exclu de surveiller en masse et sans discernement les données à caractère personnel transférées aux États-Unis en vertu de ce nouvel arrangement. Pour contrôler régulièrement le fonctionnement de l’arrangement, il y aura un examen conjoint annuel, qui comprend aussi la question de l’accès de la sécurité nationale. La Commission européenne et le département américain du Commerce vont procéder à l’examen, auquel seront invités des experts du renseignement national des États-Unis et les autorités européennes de protection des données.

Une protection efficace des droits des citoyens de l’Union européenne avec plusieurs possibilités de recours

Tout citoyen qui estime que ses données ont été mal utilisées dans le cadre du nouvel arrangement aura plusieurs possibilités de recours. Les entreprises ont des délais limités pour répondre aux plaintes. Les agences de protection des données des États membres peuvent renvoyer les plaintes au Department of Commerce ou à la Federal Trade Commission. En outre, la résolution extrajudiciaire des différends sera gratuite. Pour les plaintes sur l’accès illégal éventuel par un service de renseignement, un nouveau médiateur sera créé.

Obligations fortes et application robuste sur les entreprises traitant les données personnelles des citoyens européens

Les entreprises américaines qui souhaitent importer des données personnelles de l’Europe devront s’engager à de robustes obligations sur la façon dont les données personnelles sont traitées et les droits individuels sont garantis. Le Department of Commerce va surveiller que les entreprises publient leurs engagements, ce qui les rend exécutoires en vertu de la loi des États-Unis par la FTC. En outre, toute entreprise traitant des données de ressources humaines de l’Europe doit s’engager à respecter les décisions prises par les agences de protection des données européennes.

Étapes suivantes

Le vice-président en charge du marché unique numérique Andrus Ansip, et Věra Jourová, la commissaire européenne à la Justice, devront préparer un document qui devra être adopté par le Collège des commissaires après avoir consulté les agences de protection des données. Les États-Unis devront pendant ce temps préparer les mesures mentionnées.

Un accord prometteur ?

On peut être prudemment optimiste sur le futur accord. Des détails gênent néanmoins :

• Les garanties claires ne le sont pas, et les obligations n’engagent que les autorités américaines. Est-ce une protection vraiment suffisante, conforme à la Charte des droits fondamentaux de l’Union européenne ? Le citoyen européen est censé faire confiance à une administration américaine qui ment systématiquement à ses concitoyens, jusqu’à ce qu’elle soit acculée par des preuves ?
• Est-il censé faire confiance à des organismes comme la FTC et le Department of Commerce pour faire respecter aux entreprises américaines des règles contre lesquelles elles se sont battues bec et ongles, et dont la priorité absolue est le rayonnement économique de ces entreprises ? Quelles sont les peines encourues par les entreprises américaines qui passeraient outre ? Seront-elles dissuasives ?
• Le citoyen européen devra-t-il abdiquer son droit aux procédures judiciaires, et être cantonné à des résolutions extrajudiciaires dont on sait qu’elles avantagent toujours les entreprises ? (Les arbitres ayant un intérêt essentiel à conserver de bonnes relations à des entreprises qui apporteront un chiffre d’affaires récurent, et aucun intérêt à défendre des citoyens qu’ils ne côtoieront plus jamais.)