Données personnelles: «Il y a encore du travail» sur le nouvel accord UE-USA

Le successeur du «Safe Harbor» ne convainc pas encore les autorités européennes de protection des données personnelles. Réunies au sein d'un groupe de travail, le G29, elles ont exprimé mercredi 13 avril 2016 leurs «inquiétudes» face au nouveau cadre juridique négocié avec les Etats-Unis pour les transferts transatlantiques de données.

Baptisé «Bouclier de confidentialité» (Privacy shield), il est censé remplacer «Sphère de sécurité (Safe Harbor)», un cadre qui été invalidé en octobre 2015 par la Cour de justice de l'Union européenne (CJUE). Cette décision a plongé dans une inscurité juridique les entreprises qui transfèrent les données personnelles de leurs clients européens vers les Etats-Unis pour les traiter. 

Flou sur les modalités de recours 
«Il y a des améliorations majeures dans le "Bouclier de confidentialité" par rapport au précédent "Safe Harbor" sur la protection de la confidentialité des données transférées aux Etats-Unis», a estimé lors d'une conférence de presse Isabelle Falque-Pierrotin, la présidente de la Commission nationale de l'informatique et des libertés (CNIL, France) qui assure la présidence du G29.

Cependant, «il y a encore du travail», selon Isabelle Falque-Pierrotin. Cette dernière a pointé la «complexité» de l'ensemble de textes constituant le «bouclier» et le manque de clarté des voies de recours offertes aux personnes qui estimeraient qu'il y a eu un accès abusif à leurs données personnelles.

«Nous pressons la Commission de répondre à ces inquiétudes, d'identifier les solutions appropriées et de fournir les clarifications demandées», a déclaré la présidente française du G29. Elle a aussi déploré «la possibilité qui est laissée» dans le nouvel accord de voir les données personnelles transférées faire l'objet d'une surveillance «massive et indiscriminée», l'un des points qui a conduit la CJUE à invalider le "Safe Harbor".

Sous la menace d'une action judiciaire
Cet avis fragilise la position de la Commission européenne, qui estimait de son côté avoir conclu en février 2016 un accord satisfaisant avec Washington. Les autorités indépendantes des Etats membres peuvent saisir la justice si elles considèrent que des transferts de données ne respectent pas les normes européennes. Si la Commission européenne ne répond pas à leurs inquiétudes, elles pourraient donc lancer une action en justice.

«La balle est désormais dans le camp de la Commission européenne qui doit en principe adopter sa décision finale sur le Privacy Shield dans le courant du mois de juin. Il est toutefois possible que celle-ci soit repoussée jusqu’en septembre. Si elle venait à ignorer l’avis du G29, la Commission prendrait le risque de voir à nouveau sa décision invalidée par la CJUE, au terme d’un combat judiciaire qui pourrait toutefois prendre plusieurs années», note le site Numerama.