Transferts UE-USA : le parlement européen pas convaincu !

Publié le 13/04/2023 par Etienne Wery - 2328 vues

La résolution adoptée ce jeudi 13 avril par les députés de la Commission des libertés civiles considère que le cadre proposé de protection des données UE-USA constitue une « amélioration », mais que l’avancée n’est « pas suffisante » pour justifier une décision d’adéquation sur les transferts de données personnelles.

La résolution adoptée ce jour, 13 avril 2023, estime que la Commission européenne ne devrait pas accorder aux États-Unis une décision d’adéquation considérant que son niveau de protection des données personnelles est essentiellement équivalent à celui de l’UE et permettant les transferts de données personnelles entre l’UE et les États-Unis.

Selon le texte, le cadre de protection des données UE-États-Unis est une amélioration par rapport aux cadres précédents, mais ne prévoit pas de garanties suffisantes.

Première faiblesse : la collecte en masse

Les députés notent que le cadre juridique américain :

• Permet encore la collecte en masse de données personnelles dans certains cas ;
• Ne soumet pas la collecte en masse de données à une autorisation préalable indépendante ;
• Ne prévoit pas de règles claires sur la conservation des données.

Deuxième faiblesse : la DPRC

Les députés se montrent peu enthousiastes devant le mécanisme de recours mis en place. Ceci est crucial car c’est sans nul doute autour de cette question fondamentale que la CJUE sera amenée à trancher. Les décisions précédentes indiquent assez clairement que sans mécanisme de contrôle, et sans recours effectif, aucune décision d’adéquation ne passera la rampe.

Pour rappel, le cadre américain crée une nouvelle autorité de contrôle et un mécanisme de recours à double niveau :

• Premier niveau – CLPO : les citoyens de l’Union européenne pourront déposer une plainte auprès de l’Officier de protection des libertés civiles (« Civil Liberties Protection Officer ») chargé de contrôler la communauté du renseignement américaine et de veiller au respect de la vie privée et des droits fondamentaux par les agences de renseignement américaines.
• Second niveau –DPRC : les individus auront la possibilité de faire appel de la décision du Civil Liberties Protection Officer devant la Data Protection Review Court nouvellement créée. Cette Cour sera composée de membres nommés en dehors du gouvernement américain sur la base de qualifications spécifiques. Ces derniers feront à cet égard l’objet d’une protection spécifique puisqu’ils ne pourront être licenciés que pour des motifs graves et ne pourront recevoir d’instructions de la part du gouvernement. La Data Protection Review Court aura le pouvoir d’enquêter sur les plaintes déposées par des personnes concernées de l’Union européenne, y compris d’obtenir des informations pertinentes auprès des agences de renseignement, et pourra prendre des décisions correctives contraignantes telles que la suppression des données si elle l’estime nécessaire

Les députés estiment que les décisions de la DPRC seront secrètes, violant le droit des citoyens d’accéder et de rectifier les données les concernant.

De plus, pour les députés, les juges de la DPRC pourraient être révoqués par le président américain, qui pourrait également passer outre à ses décisions, de sorte que la cour de révision n’est pas vraiment indépendante.

Chat échaudé craint l’eau froide

Les députés européens soulignent encore que l’évaluation de l’adéquation doit être fondée sur la mise en œuvre pratique des règles.

Or, l’expérience passée n’est pas franchement concluante et, selon les députés, la communauté du renseignement des États-Unis est actuellement en train de mettre à jour ses pratiques en fonction du cadre de protection des données, de sorte qu’une évaluation de son impact concret sur le terrain n’est pas encore possible.

Le rapporteur de la Commission a conclu comme suit : « Le nouveau cadre est certainement une amélioration par rapport aux mécanismes précédents. Cependant, le travail n’est pas fini. Nous ne sommes pas convaincus que ce nouveau cadre protège suffisamment les données personnelles de nos citoyens, et nous doutons donc qu’il survive à l’épreuve de la CJUE. La Commission doit continuer à travailler pour répondre aux préoccupations soulevées par le Comité européen de la protection des données et la commission des libertés civiles, même si cela signifie rouvrir les négociations avec les États-Unis. »

Plus d’infos sur le site du Parlement.