Revue - Revue du droit public et de la science politique en France et à l'étranger N°4-2024 - 106

Articles
Shield) 8
adoptée en remplacement du dispositif Safe Harbor.
Même si la question alors posée - au fond - par le requérant
Maximilian Schrems portait sur la faiblesse du contrat en
tant que base légale alternative du transfert faute de décision
d'adéquation, la CJUE a apporté dans cet arrêt deux enseignements
majeurs en matière d'échanges transfrontaliers de
données : tout d'abord, l'exigence d'un niveau de protection
« substantiellement équivalent » (pt 96) - et non plus simplement
« équivalent » - comme critère d'appréciation de la base
légale du transfert (clause contractuelle type, décision d'adéquation)
; ensuite, l'invalidation de la décision d'exécution
Privacy Shield à la suite d'un examen de fond du cadre légal
américain qui a permis de conclure à l'absence d'un niveau de
protection substantiellement équivalent contrairement aux
conclusions de la Commission. Les défaillances principales
relevées par la Cour étaient au nombre de deux et portaient
sur l'appréciation de l'adéquation au regard des conditions
essentielles de l'État de droit tel qu'entendu en Europe : en
premier lieu, il a été jugé que les bases légales des limitations
à la protection des données découlant de la législation américaine
autorisant les services du renseignement à avoir un accès
indiscriminé ou « en vrac » (bulk collection) aux données personnelles
détenues par les intermédiaires techniques ne pouvaient
être considérées comme étant ni prévisibles à l'égard de
leur contenu et de leur portée, ni limitées au strict nécessaire,
ni proportionnées compte tenu de leur portée et de l'absence
d'exigences minimales de droits opposables devant les tribunaux
américains (pt 168-185) ; en second lieu, l'attention
du juge européen s'est portée sur l'absence de voies de
recours pour le justiciable auprès d'un tribunal indépendant
et impartial habilité à prendre des décisions contraignantes à
l'égard des services de renseignement du gouvernement nordaméricain
et susceptibles de corriger une éventuelle violation
détectée (pt 186-201).
Après trois ans d'insécurité juridique pour les entités publiques
et privées des deux côtés de l'Atlantique et malgré les nombreuses
« sonnettes d'alarme » tirées par le Comité européen
de protection des données 9
, le Parlement européen 10
, la doctrine
américaine 11, britannique 12
société civile 14
, européenne 13
ainsi que la
, la Commission s'est de nouveau positionnée,
le 10 juillet 2023, en faveur de l'équivalence des protections
dans les deux pays. Précisément, elle a indiqué : « Article 1 -
For the purpose of Article 45 of Regulation (EU) 2016/679,
the United States ensures an adequate level of protection for
personal data transferred from the Union to organisations
in the United States that are included in the " Data Privacy
Framework List " , maintained and made publicly available
by the U.S. Department of Commerce, in accordance with
Section I.3 of Annex I » 15
.
L'intérêt politique des transferts de données personnelles
dispensés de formalités contractuelles considérées comme
coûteuses, chronophages et juridiquement fragiles 16
étant
d'une telle envergure, nul ne doutait en réalité de cette issue
juridique favorable, voire indispensable, au commerce international.
En outre, un « précédent » s'était produit avec la
reconnaissance de l'adéquation de l'ordre juridique britannique
aux exigences européennes 17
. Si la différence est de
taille entre l'ordre juridique d'un État précédemment membre
de l'Union européenne 18
ainsi que le contexte géopolitique
et un État tiers, en l'occurrence les
États-Unis, la similitude de la pression politique dans les deux
cas est cependant flagrante compte tenu du rôle primordial
de la décision d'adéquation dans les rapports marchands des
entreprises concernées 19
. En l'espèce, l'analogie porte sur le fond. En effet,
dans les deux cas, il a été question d'une mise à disposition
en masse de données personnelles de ressortissants européens
aux autorités de renseignement nord-américaines par les opérateurs
de communication numérique ; un transfert que la
actuel 20
11 E. Goitein, « The Biden Administration's SIGINT Executive Order, Part I :
New Rules Leave Door Open to Bulk Surveillance », Just Security, 31 oct.
2022, https://lext.so/I72r6R ; A. Gorski, « The Biden Administration's SIGINT
Executive Order, Part II : Redress for Unlawful Surveillance », 4 nov. 2022,
https://lext.so/xw3L6b.
12 D. Korff, « The Inadequacy of the October 2022 New US Presidential Executive
Order on Enhancing Safeguards for United States Signals Intelligence Activities »,
SSRN, 30 nov. 2022, https://lext.so/ECDSWp.
13 F. Boehm, S. Carrera et V. Mitsilegas (task force report for the Center for European
Policy Studies), rapp., Reconstitutionalising privacy, EU-US data transfers and
their impact on the rule of law, rights, and trust, 2024, https://lext.so/2ocYNA.
14 NOYB, « New US Executive Order Unlinkely to Satisfy EU Law », 7 oct.
2022, https://lext.so/xg2MjA ; C. Baumohl, « New executive Order on Signals
Intelligence : A meaningful-but insufficient- step forward », 6 déc. 2022, https://
lext.so/_GugzU ; Accessnow, « Biden signs Executive Order for EU-US data
transfer deal : privacy and surveillance reforms missing », 7 oct. 2022, https://
lext.so/duDt9J.
15 Commission européenne, Implementing Decision on the adequate level of protection
of personal data under the EU-US Data Privacy Framework, 10 juill.
2023, C (2023) 4745 final, p. 63.
16 H. A. Mildebrath, « EU-UK private-sector data flows after Brexit : Settling on
adequacy », EPRS, European Parliament, avr. 2021, p. 12 et s.
8 Commission européenne, 12 juill. 2016, déc. n° 2016/1250, conformément à la
directive 95/46/CE du Parlement européen et du Conseil relative à l'adéquation
de la protection assurée par le bouclier de protection des données UE-États-Unis
[notifiée sous le numéro C (2016) 4176].
9 EDPB, Opinion 5/2023 on the European Commission Draft Implementing
Decision on the adequate protection of personal data under the EU-US Data
Privacy Framework, 28 févr. 2023.
10 Résolution du Parlement européen du 11 mai 2023 sur l'adéquation de la
protection assurée par le cadre de protection des données UE-États-Unis
(2023/2501(RSP)), P9_TA(2023)0204 ; H. A. Mildebrath, Reaching the EU-US
Data Privacy Framework : First reactions to Executive Order 14086, 2022, ERPS,
12 p.
17 C. Koumpli, « L'impact du Brexit sur la protection des données à caractère personnel.
Entre Charybde et Scylla », in V. Barbé et C. Koumpli, Brexit, droits et
libertés, 2022, Larcier, Droit de l'Union européenne - Colloques, p. 235-260.
18 H. A. Mildebrath, « EU-UK private-sector data flows after Brexit : Settling on
adequacy », EPRS, European Parliament, avr. 2021, p. 12 et s.
19 European center for international political economy, « The economic costs of
restricting the cross-border flow data », (study commissioned by Facebook), mentionné
par H. A. Mildebrath, Reaching the EU-US Data Privacy Framework :
First reactions to Executive Order 14086, 2022, ERPS, p. 3.
20 N. Lenoir, « La Commission européenne valide les conditions de l'adéquation
des États-Unis à la libre circulation des données personnelles de part et d'autre de
l'Atlantique », LPA août 2023, n° LPA202m2.
106
Re vue du dr oit public * Déc embr e 2024

https://www.lext.so/I72r6R https://www.lext.so/xw3L6b https://www.lext.so/ECDSWp https://www.lext.so/2ocYNA https://www.lext.so/xg2MjA http://https:// http://www.lext.so/_GugzU http://https:// http://www.lext.so/duDt9J

Revue - Revue du droit public et de la science politique en France et à l'étranger N°4-2024

Table des matières de la publication Revue - Revue du droit public et de la science politique en France et à l'étranger N°4-2024