Revue - Revue du droit public et de la science politique en France et à l'étranger N°4-2024 - 107

Les transferts de données UE-États-Unis
Commission européenne a réussi à qualifier de « substantiellement
équivalent » après diverses 21
« pirouettes interprétatives
» et surtout grâce à l'insertion d'une clause dilatoire
prévoyant le réexamen régulier du niveau de protection américain
(sunset clause).
Certes, l'ordre juridique nord-américain a opéré des réformes
non négligeables visant à améliorer la protection des données
personnelles, si l'on compare l'état du droit à l'heure du DPF
à celui de la période du Safe Harbor ou du Privacy Shield.
Nonobstant, des interrogations persistent, ce qui peut laisser
penser qu'un arrêt Schrems III est nécessaire (I). Pourtant, un
tel arrêt pourrait ne pas intervenir si l'on considère que la
mesure d'un niveau élevé de protection des données personnelles
après 2016 n'est in fine qu'un instrument interprétatif
suffisamment souple pour intégrer ou permettre le rapprochement
d'un maximum d'ordres juridiques autour d'un
standard dont l'UE aurait le monopole (II).
I. En attendant Schrems III
L'ordre juridique nord-américain a connu plusieurs réformes
à la suite des arrêts précités de la CJUE. Celles-ci sont significatives
mais pourraient ne pas empêcher un nouveau retentissement
au regard de la notion de niveau élevé de la protection
européenne. Ces réformes ont principalement pris
la forme de deux actes gouvernementaux : un décret édicté
par le président nord-américain (Executive Order n° 14086)
le 7 octobre 2022 afin de donner des garanties quant à l'accès
aux données européennes par les autorités publiques nordaméricaines
(A) et l'Order (ordonnance) du procureur général
(Attorney General) n° 5517-2022 du 14 octobre 2022 qui a
mis en place les voies de recours demandées (B). On analysera
également le DPF ou Privacy Shield 2.0. dont l'adoption,
mais aussi la survie, dépend des deux précédents actes (C).
A. L'Executive Order n° 14086 pour pallier les
défaillances en termes d'accès des autorités
publiques aux données européennes
L'Executive Order (EO) ou décret n° 14086 22
constitue la
pièce maîtresse des réformes qui ont eu lieu outre-Atlantique
dans la mesure où cet acte orchestre les deux modifications
majeures demandées par la CJUE concernant : a) les
conditions légales de l'accès aux données européennes par les
services de renseignement nord-américains ; b) les voies de
recours effectives.
Dans une « Section 1 », le décret définit sa finalité, à savoir
établir les garanties permettant la conciliation entre l'objectif
prioritaire de sauvegarde de la sécurité de la nation, de ses
ressortissants, alliés ainsi que partenaires et la nécessaire prise
en compte du droit au respect de la vie privée mais aussi de la
21 64 pages de décision et 70 pages d'annexes.
22 Executive Order 14086, Enhancing Safeguards for United States Signals
Intelligence Activities, 7 oct. 2022, https://lext.so/TRWIj3.
protection des données personnelles des individus indépendamment
de leur nationalité.
Puis, dans une « Section 2 », l'EO consacre les éléments suivants.
a)
Les garanties de la collecte « classique » ou « ciblée » (« targeted
») de données personnelles :
- Douze finalités légitimant la collecte de données par les
services de renseignement et cinq finalités interdites ;
- Principe de l'évaluation préalable (avis obligatoire mais
non-contraignant) du Civil Liberties Protection Officer of the
Office (CLPO) lorsque la collecte relève de l'une des douze
finalités légitimatrices et le National Intelligence Priorities
Framework ;
- Principes de nécessité et de proportionnalité afin que les
activités de renseignement ne soient menées que « si elles
sont jugées nécessaires » et se déroulent « d'une manière qui
ne soit pas préjudiciable à la sécurité ». La détermination
de la nécessité repose sur une « évaluation raisonnable » de
tous les « facteurs pertinents ». L'objectif du test de proportionnalité
est d'éviter un « impact disproportionné » à
l'égard des droits et libertés.
b) Les garanties de la collecte exceptionnelle « en vrac » (bulk
collection) de données personnelles :
- Principe du caractère exceptionnel de la collecte « en
vrac » ;
- Six finalités légitimes de la bulk collection (ex. protection
contre le terrorisme, l'espionnage et les menaces liées à la
cybersécurité).
c) Les principes applicables aux services de renseignement
lorsqu'ils traitent de données personnelles :
- Minimisation, sécurisation, accès, qualité, accountability.
La « Section 3 » du décret prévoit quant à elle un cadre légal
pour un mécanisme de recours effectif tenant compte des
reproches exposés par la CJUE en 2020. Précisément, le procureur
général (Attorney General) a été habilité à adopter une
ordonnance mettant en place la Data Protection Review Court
(DPRC).
Bien que pour nombre de commentateurs, cet acte a apporté
des avancées en termes de protection des données personnelles,
il n'a pas été exempt de critiques dont les plus vives
viennent de la doctrine américaine et britannique. Leur
analyse mérite attention. D'après Douwe Korff 23
, au regard
du standard européen issu des « garanties essentielles européennes
pour les mesures de surveillance » adoptées par
l'EDPB 24
, on ne peut considérer que le décret présidentiel
n° 14086 dispose des qualités de la loi en ce qu'il n'est ni clair,
ni précis, ni prévisible dans son application. En effet, comme
l'analyse Elizabeth Goitein, le président nord-américain dispose
notamment de la compétence de modifier secrètement
23 D. Korff, « The Inadequacy of the October 2022 New US Presidential Executive
Order on Enhancing Safeguards for United States Signals Intelligence Activities »,
SSRN, 30 nov. 2022, https://lext.so/ECDSWp.
24 EDPB, recommandations 02/2020 sur les garanties essentielles européennes pour
les mesures de surveillance, 10 nov. 2020, 15 p.
Re vue du dr oit public * Déc embr e 2024
107
https://www.lext.so/ECDSWp https://www.lext.so/TRWIj3
Revue - Revue du droit public et de la science politique en France et à l'étranger N°4-2024

Table des matières de la publication Revue - Revue du droit public et de la science politique en France et à l'étranger N°4-2024
