Le 13 avril 2023, le Parlement européen a adopté une résolution critique à l’égard de la Commission européenne, lui conseillant de ne pas accordé aux États-Unis une décision d’adéquation sur la protection des données personnelles. Bien que le cadre de protection proposé par les États-Unis représente une avancée par rapport aux précédents, il ne fournit pas de garanties suffisantes. Les députés ont identifié deux faiblesses majeures dans ce cadre : la collecte en masse de données et le mécanisme de recours. Premièrement, le droit américain permet encore des pratiques de collecte de données sans autorisation préalable indépendante, ce qui soulève de sérieuses inquiétudes. Deuxièmement, le mécanisme de recours, bien qu’existant, est jugé insuffisant. La Data Protection Review Court (DPRC), nouvellement créée, doit faire face à des doutes quant à son indépendance, notamment en raison de la possibilité pour le président américain de révoquer ses juges et de contourner ses décisions. Les députés insistent sur la nécessité d’une évaluation concrète de l’impact de ce cadre, soulignant que les évolutions récentes des pratiques américaines compliquent cette tâche. Le rapporteur a conclu que, bien que des améliorations aient été réalisées, le cadre actuel ne protège pas adéquatement les données personnelles des citoyens européens. Il appelle à une poursuite des efforts pour répondre aux préoccupations soulevées, même si cela implique de rouvrir les négociations avec les États-Unis.
La résolution adoptée ce jour, 13 avril 2023, estime que la Commission européenne ne devrait pas accorder aux États-Unis une décision d’adéquation considérant que son niveau de protection des données personnelles est essentiellement équivalent à celui de l’UE et permettant les transferts de données personnelles entre l’UE et les États-Unis.
Selon le texte, le cadre de protection des données UE-États-Unis est une amélioration par rapport aux cadres précédents, mais ne prévoit pas de garanties suffisantes.
Première faiblesse : la collecte en masse
Les députés notent que le cadre juridique américain :
- Permet encore la collecte en masse de données personnelles dans certains cas ;
- Ne soumet pas la collecte en masse de données à une autorisation préalable indépendante ;
- Ne prévoit pas de règles claires sur la conservation des données.
Deuxième faiblesse : la DPRC
Les députés se montrent peu enthousiastes devant le mécanisme de recours mis en place. Ceci est crucial car c’est sans nul doute autour de cette question fondamentale que la CJUE sera amenée à trancher. Les décisions précédentes indiquent assez clairement que sans mécanisme de contrôle, et sans recours effectif, aucune décision d’adéquation ne passera la rampe.
Pour rappel, le cadre américain crée une nouvelle autorité de contrôle et un mécanisme de recours à double niveau :
- Premier niveau – CLPO : les citoyens de l’Union européenne pourront déposer une plainte auprès de l’Officier de protection des libertés civiles (« Civil Liberties Protection Officer ») chargé de contrôler la communauté du renseignement américaine et de veiller au respect de la vie privée et des droits fondamentaux par les agences de renseignement américaines.
- Second niveau –DPRC : les individus auront la possibilité de faire appel de la décision du Civil Liberties Protection Officer devant la Data Protection Review Court nouvellement créée. Cette Cour sera composée de membres nommés en dehors du gouvernement américain sur la base de qualifications spécifiques. Ces derniers feront à cet égard l’objet d’une protection spécifique puisqu’ils ne pourront être licenciés que pour des motifs graves et ne pourront recevoir d’instructions de la part du gouvernement. La Data Protection Review Court aura le pouvoir d’enquêter sur les plaintes déposées par des personnes concernées de l’Union européenne, y compris d’obtenir des informations pertinentes auprès des agences de renseignement, et pourra prendre des décisions correctives contraignantes telles que la suppression des données si elle l’estime nécessaire
Les députés estiment que les décisions de la DPRC seront secrètes, violant le droit des citoyens d’accéder et de rectifier les données les concernant.
De plus, pour les députés, les juges de la DPRC pourraient être révoqués par le président américain, qui pourrait également passer outre à ses décisions, de sorte que la cour de révision n’est pas vraiment indépendante.
Chat échaudé craint l’eau froide
Les députés européens soulignent encore que l’évaluation de l’adéquation doit être fondée sur la mise en œuvre pratique des règles.
Or, l’expérience passée n’est pas franchement concluante et, selon les députés, la communauté du renseignement des États-Unis est actuellement en train de mettre à jour ses pratiques en fonction du cadre de protection des données, de sorte qu’une évaluation de son impact concret sur le terrain n’est pas encore possible.
Le rapporteur de la Commission a conclu comme suit : « Le nouveau cadre est certainement une amélioration par rapport aux mécanismes précédents. Cependant, le travail n’est pas fini. Nous ne sommes pas convaincus que ce nouveau cadre protège suffisamment les données personnelles de nos citoyens, et nous doutons donc qu’il survive à l’épreuve de la CJUE. La Commission doit continuer à travailler pour répondre aux préoccupations soulevées par le Comité européen de la protection des données et la commission des libertés civiles, même si cela signifie rouvrir les négociations avec les États-Unis. »
Plus d’infos sur le site du Parlement.
Vous avez besoin d'un avis personnalisé
ou d'une aide juridique ?
