Transfert de la donnée numérique : Etats-Unis et Europe s’accordent sur une nouvelle fondation juridique du Privacy Shield ! (un texte, deux visions…)

Actualités, Internet, Le condensé, Loi \ Droit informatique

De gauche à droite : Ursula Von Der Leyen (Présidente de la CE) et,

Joe Biden (Président des Etats-Unis)

Des suites de la décision de la Cour de Justice de l’Union Européenne (CJUE) en Juillet 2020 (Schrems II), la jurisprudence impulsée par l’affaire, un peu plus de deux ans après, a obligé à revoir la copie des deux pays ou entités avec, théoriquement, un usage de la donnée et de son transfert voire de son exploitation plus proportionnée ou, du moins, légitimée à son strict nécessaire. Derrière cette phrase, notamment, réside un enjeu d’harmoniser, pour l’Europe et les Etats-Unis, un texte légal commun où les points légaux sont autant valables pour l’un que pour l’autre ; un point que met en doute Noyb.

“La surveillance en masse se poursuit via deux types de “proportionnalité”. Les États-Unis soulignent que le nouveau décret utilise le libellé du droit de l’UE (“nécessaire” et “proportionné” comme dans l’article 52 CFR) au lieu du terme précédent “aussi adapté que possible” utilisé dans la section 1 (d) du PPD- 28 […] malgré la modification de ces mots, rien n’indique que la surveillance de masse aux États-Unis changera dans la pratique. La soi-disant “surveillance en masse” se poursuivra dans le cadre du nouveau décret exécutif (voir la section 2 (c)(ii)) et toutes les données envoyées aux fournisseurs américains se retrouveront toujours dans des programmes comme PRISM ou Upstream, malgré la déclaration de la CJUE sur la surveillance américaine. lois et pratiques comme non “proportionnées” (au sens européen du terme) deux fois. Comment est-ce possible? Il semble que l’UE et les États-Unis aient convenu de copier les mots “nécessaire” et “proportionné” dans le décret exécutif, mais n’ont pas convenu qu’il aurait la même signification juridique. Si cela avait le même sens, les États-Unis devraient fondamentalement limiter leurs systèmes de surveillance de masse pour se conformer à la compréhension de l’UE de la surveillance “proportionnée””, souligne, notamment, Max Schrems, Président de Noyb.

En décryptage de l’Ordre exécutif (depuis le 7 Octobre 2022) du Président des Etats-Unis actuel, Joe Biden, l’argument souligne les nombreuses actualisations ou modifications prises en compte post-décision de la CJUE tout en relevant les incohérences ou les paradoxes juridiques, du fait que les Etats-Unis et l’Europe ont une manière de légiférer qui leur est propre : un point, malgré l’écriture commune de ce texte, qui se reflète dans divers paragraphes ou articles de l’Ordre Exécutif américain ; notamment celui soulignant la notion de vie privée (aux Etats-Unis) : “la seule différence semble être que si l’UE considère la vie privée comme un droit de l’homme qui s’applique à tout être humain, le quatrième amendement ne s’applique qu’aux citoyens américains ou aux résidents permanents. De l’avis des États-Unis, les Européens n’ont aucun droit à la vie privée. La FISA 702 utilise cette différence dans la loi américaine et autorise une surveillance illégale en vertu du quatrième amendement – tant qu’aucun Américain n’est ciblé“, affirme Max Schrems, tout en rappelant, toujours aux Etats-Unis, que l’incohérence ou le paradoxe juridique perdure avec les entreprises américaines qui ne sont pas soumises au RGPD (règlement européen) du fait que celui-ci (?) n’est pas exploitable au sein-même du Privacy Shield ce qui permettra une exploitation de la donnée (et de son transfert, par ces entreprises, notamment, aux Etats-Unis, donc) hors cadre du RGPD ; donc, sans véritablement un socle juridique contraignant alors que la décision de la CJUE préconisait, entre-autres, un encadrement sécuritaire de la collecte de la donnée Europe-Etats-Unis (et vice-versa) “équivalente“.

Dans le concret pour le citoyen ou la citoyenne européenne, si un tel texte devait s’appliquer en l’état sur le sol européen, voici les droits qui seraient exploitables, en terme de recours ou de contestation relatif au transit de la donnée numérique entre les deux continents ou pays :

Niveau 1 : dépôt de plainte auprès de l’Officier de protection des libertés civiles (aux Etats-Unis, renseignement) ;

Niveau 2 : appel auprès de la Cour de révision de la protection de la donnée (constituée de membres non-américains) avec, pour chaque affaire, la nomination d’un “avocat spécial“.

Du côté de l’Europe, sont essentiellement annoncés en terme de changement, les points suivants : “des garanties contraignantes qui limitent l’accès aux données par les autorités de renseignement américaines à ce qui est nécessaire et proportionné pour protéger la sécurité nationale ; la mise en place d’un mécanisme de recours indépendant et impartial, qui comprend un nouveau tribunal de révision de la protection des données (« DPRC ») ; pour enquêter et résoudre les plaintes concernant l’accès à leurs données par les autorités de sécurité nationale des États-Unis ; le décret exécutif oblige les agences de renseignement américaines à revoir leurs politiques et procédures pour mettre en œuvre ces nouvelles garanties”.

Outre-Atlantique, les Etats-Unis exploite les nombreux outils et services de renseignement en les incluant dans cet Ordre Exécutif, dès lors “qu’il est nécessaire de s’engager dans une collecte de masse afin de faire avancer une priorité de renseignement validée”, via, notamment, des mesures ou techniques “raisonnables” : une mentalité propre au pays qui, au-delà de l’usage des services de renseignements aussi étendu, rien que sur le plan juridique et surtout le plan européen, rend la chose difficilement acceptable. La souplesse d’esprit aurait été de ne pas inclure de telles pratiques dans un texte conçu et exploité en commun avec l’Europe, par respect des différences juridiques entre les deux entités.

Un “projet de décision d’adéquation” est, désormais, à finaliser pour l’Europe (plusieurs étapes via l’accord du Comité Européen de la Protection des Données et du Comité des Etats-Membres de l’UE, en plus d’un “droit de regard” – consultatif – du Parlement Européen) d’ici le Printemps 2023, théoriquement. L’Europe estime que la CJUE, cette fois, ne devrait pas remettre en cause ce texte alors-même que deux sons de cloche juridique semblent déjà dissoner, que cela soit dans les propos employés ou les cadres légaux relatifs au droit américain et au droit européen… A suivre !

Sources :