Le sort du bouclier de protection des données UE-États-Unis et que doivent faire les entreprises qui transfèrent des données au-delà des frontières?

Intro

Le 16 juillet 2020, la Cour européenne de justice (CJUE) a rendu son arrêt dans l'affaire C-311/18, connue sous le nom de Schrems II. La CJUE a décidé que le bouclier de protection des données UE-États-Unis devait être invalidé. À leur tour, les clauses contractuelles types (CSC), un instrument juridique qui permet le transfert de données de l'UE vers des pays tiers, sont reconnues comme valides.

Bouclier de protection des données UE-États-Unis

Le bouclier de protection des données UE-États-Unis était un mécanisme «d'adéquation» qui permettait aux organisations qui adhéraient aux principes réglementaires de transférer des données personnelles de l'UE vers les États-Unis.



Et après?



Au moment d'écrire ces lignes, le verdict de la CJUE laisse les transferts de données UE-États-Unis dans l'incertitude. De toute évidence, le bouclier de protection des données ne peut plus être utilisé, mais de nombreuses questions demeurent quant à savoir si les CSC restent valables pour les transferts de données entre l'UE et les États-Unis ou d'autres pays dotés de systèmes de surveillance nationaux efficaces.



FAQ:





QUELLES RESPONSABILITÉS GDPR AFFECTÉES PAR CETTE DÉCISION?



La décision concerne la responsabilité des responsables du traitement et des sous-traitants pour le transfert de données des citoyens de l'UE vers des pays en dehors de l'UE. Tout transfert de ce type doit offrir un niveau de protection et nécessite donc l’utilisation d’un «mécanisme de transfert» spécial, comprenant:

• Adéquation : cette solution permet un transfert de données sans restriction vers un pays ou une région qui offre un niveau adéquat de protection des données de l'avis de la Commission européenne. Ces pays comprennent Andorre, l'Argentine, le Canada (LPRPDE uniquement), les îles Féroé, Guernesey, Israël, l'île de Man, le Japon, Jersey, la Nouvelle-Zélande, la Suisse et l'Uruguay. Toutes les décisions d'adéquation sont actuellement en cours de révision après l'entrée en vigueur du RGPD.

• Appropriate Safeguards: GDPR , . Schrems-II, , « » GDPR. Standard Contractual Clauses (SCC), . , , .

• Binding Corporate Rules (BCR): GDPR . BCRs EDPB. Schrems-II BCR « » GDPR .

• : GDPR 49, . , , . .

GDPR?

Jusqu'à 4% du revenu annuel ou 20 millions d'euros, selon le montant le plus élevé. En outre, la DPA (Data Protection Authority) a le droit de suspendre le transfert de données de son pays d'origine vers les États-Unis.

Que dois-je faire avec ma certification EU-US Privacy Shield actuelle?

Le Département américain du commerce (DOC) a déclaré que le bouclier de protection des données continuera à fonctionner et attend des membres qu'ils continuent de respecter leurs obligations en matière de confidentialité. Le DOC américain, la Commission européenne et le Comité européen de la protection des données (EDPB) ont indiqué qu'ils avaient l'intention de créer un successeur au bouclier de protection des données. Les entreprises qui restent dans le bouclier de protection des données peuvent simplifier leur transition vers un successeur une fois établies.

Les transferts de données antérieurs dans le cadre du bouclier de confidentialité UE-États-Unis seront-ils affectés?

Tous les transferts de données antérieurs restent soumis au bouclier de protection des données UE-États-Unis.

Y aura-t-il une période de grâce?

L'EDPB a publié des directives indiquant qu'il n'y aura pas de délai de grâce. Étant donné que le bouclier de protection des données UE-États-Unis a été invalidé, les entreprises qui ont jusqu'à présent utilisé le bouclier de protection des données UE-États-Unis pour transférer des données devront trouver une autre base juridique pour transférer les données sans retard indu.

Je souhaite quitter le bouclier de protection des données UE-États-Unis. Qu'est-ce que je dois faire?

Si vous décidez de quitter EU-US PRIVACY SHIELD, vous devez suivre la procédure établie aux États-Unis.

Dois-je mettre à jour la politique de confidentialité de l'entreprise?

Nous vous recommandons de ne pas apporter de modifications à la politique de confidentialité en tant que membre du bouclier de protection des données pour le moment. Il n'existe actuellement aucune base ou directive réglementaire pour tout changement, à moins que vous n'ayez déclaré (en tant qu'exportateur de données dans le cadre du RGPD) que vous vous fiez au bouclier de protection des données comme base juridique pour le transfert de données en dehors de l'EEE.

La politique de confidentialité de mon organisation indique clairement que nous utilisons le bouclier de confidentialité UE-États-Unis pour légitimer les transferts de données de l'UE vers les États-Unis, devrions-nous supprimer cet avis?

Vous devrez mettre à jour la politique et indiquer quelle alternative vous utilisez. Vous pouvez également envisager d'inclure un avis temporaire indiquant que l'organisation examine une décision fondée sur une décision Schrems-II.

standard contractual clauses?

Tant que les données ne sont pas collectées et / ou consultées par les autorités américaines à des fins de sécurité nationale, les SCC peuvent être utilisés au cas par cas, selon que l'importateur de données américain est en mesure de respecter ses obligations de traitement spécifiques. Cela signifie que la charge de la preuve tant pour l'exportateur de données que pour l'importateur de données dans le pays tiers a augmenté pour garantir qu'ils peuvent satisfaire à toutes les exigences du CCS. L'importateur de données devra également confirmer qu'il se conformera pleinement à tous les principes de base du RGPD. Cela signifie également que l'importateur et l'exportateur des données devront évaluer la législation du pays tiers pour savoir, par exemple, s'ils sont soumis à des lois de surveillance susceptibles d'entraîner une ingérence dans les droits des citoyens de l'UE. Si oui,dans un tel cas, la transmission ne peut pas être basée sur le CSC. Cela s'applique de la même manière à BCR. Dans son document, l'EDPB a indiqué qu'il fournirait des orientations supplémentaires sur les mesures juridiques, techniques et organisationnelles qui peuvent être prises pour compléter le CCN afin de garantir un transfert de données légal ininterrompu.

Qu'en est-il des transferts ultérieurs de données d'entreprises américaines qui traitent des données personnelles de l'UE vers d'autres entreprises américaines (par exemple, des fournisseurs de cloud)?

Les transferts ultérieurs de données personnelles provenant de l'un des pays de l'EEE doivent être traités conformément aux normes de protection des données fixées par le RGPD. L'exportateur de données est responsable de l'ensemble de la chaîne de traitement des données dont il est le responsable du traitement. Si l'importateur de données ne peut garantir que les normes incluses dans le RGPD et les mécanismes de transfert applicables peuvent être respectés, des garanties supplémentaires doivent être convenues. Si cela n'est pas possible, la transmission de données n'est pas possible.

Si mon entreprise américaine déplace un serveur vers l'UE, ai-je toujours besoin d'un mécanisme de transfert de données?

Cela dépend de la manière dont les données sont traitées au sein de l'entreprise. Tant que les données sont stockées sur des serveurs dans l'UE et ne sont accessibles qu'à partir de l'UE, aucun mécanisme de transfert de données n'est requis. Cependant, dès que les données sont accessibles depuis l'extérieur de l'UE, un traitement des données a lieu (tel que défini à l'article 4, paragraphe 2, du RGPD), ce qui constituera également un transfert de données, qui nécessite l'utilisation de mécanismes de transfert. En outre, si une entreprise est soumise aux lois américaines sur la surveillance, y compris, mais sans s'y limiter, les sections 702 et EO 12333 de la FISA, l'utilisation du serveur de l'UE ne constitue pas une protection garantie.

Le cryptage sera-t-il une mesure d'atténuation suffisante en cas d'intervention potentielle du gouvernement américain?

Le cryptage est un bon mécanisme de sécurité, ce qui signifie que les données ne peuvent pas être interceptées. Cependant, il existe d'autres mécanismes qui peuvent permettre au gouvernement américain d'avoir accès aux informations personnelles. En fin de compte, l'ensemble de données peut être déchiffré lorsqu'il est accédé par d'autres parties.

Les autres méthodes de transfert sont-elles toujours valables?

Tous les mécanismes de transfert de données inclus dans le RGPD restent en vigueur. La CJUE a révoqué l'une des décisions (EU-US Privacy Shield) et établi des critères d'évaluation plus stricts pour l'utilisation d'autres mécanismes de transmission.

Le Privacy Shield SWISS-US a-t-il été révoqué?

Non.

Quel impact ces processus auront-ils sur le Brexit et le Royaume-Uni?

Il est trop tôt pour le dire. Jusqu'à la fin de la période de transition (actuellement jusqu'au 31 décembre 2020), le Royaume-Uni continuera d'appliquer le RGPD sans modification. Ce qui vient ensuite est un sujet de négociations entre le Royaume-Uni et la Commission européenne.

Comment les régulateurs commentent-ils cette décision?

CONSEIL EUROPÉEN DE LA PROTECTION DES DONNÉES (EDPB),

«Aucune information sur l'exécution ou des conseils sur les transferts; une analyse plus approfondie suivra ".

Département américain du commerce,

"Bien que le département du Commerce soit profondément déçu que le tribunal semble avoir invalidé la décision d'adéquation de la Commission européenne qui sous-tend le bouclier de protection des données UE-États-Unis, nous étudions toujours la décision pour comprendre pleinement ses impacts pratiques."

Inspecteur général polonais pour la protection des données personnelles - GIODO,

«Les responsables du traitement doivent procéder à une évaluation individuelle du niveau de protection des données assuré dans le cadre des transferts de données transfrontaliers, qui doit prendre en compte non seulement les dispositions contractuelles convenues entre les exportateurs et les importateurs de données, mais également les dispositions légales d'un tiers pays, notamment en ce qui concerne l'accès éventuel des autorités de l'autorité publique de ce pays aux données transmises. D'autres orientations suivront via l'EDPB ".

Inspection estonienne de la protection des données,

«When transferring personal data to any third country with an insufficient level of data protection, it must be borne in mind that it is also important to be convinced of the third country’s adequate level of protection of personal data. Therefore, EU companies must always assess the European Commission’s data protection clauses themselves. The assessment must determine whether the protection of Europeans’ personal data can be protected in the future or in the future by ensuring data protection clauses. If the protection of personal data cannot be guaranteed, the transfer of data must be suspended. If it is desired to continue the data transfer, another appropriate safeguard must be found».