Mise à jour du 03 / 03 / 2016 :Le Draft du Privacy Shield est désormais disponible
La Commission européenne a dévoilé le Draft de la « décision d'adéquation » relative à l'accord « Privacy Shield » conclu avec les États-Unis et qui doit prendre la relève du « Safe Harbour ». La Commision précise que dans le texte sont inclus des principes que les entreprises doivent respecter, entre autres :
Ce texte doit encore obtenir l'accord du Parlement européen pour être adopté.
Source : Europa
La Commission européenne a dévoilé le Draft de la « décision d'adéquation » relative à l'accord « Privacy Shield » conclu avec les États-Unis et qui doit prendre la relève du « Safe Harbour ». La Commision précise que dans le texte sont inclus des principes que les entreprises doivent respecter, entre autres :
- le Choice Principle : les entreprises doivent laisser à l’utilisateur la possibilité de s’opposer à une transmission de la donnée à un acteur tiers. Elles doivent également obtenir le consentement explicite des utilisateurs pour les données dites sensibles ;
- le Security Principle : ici sont définies des contraintes de sécurité que les entreprises doivent respecter ;
- le Data Integrity and Purpose Limitation Principle : il est stipulé que les données personnelles soient limitées aux seules informations nécessaires au traitement, être tenues à jour, exactes, complètes et adaptées à leur utilisation ;
- l'Access Principle : il est question de donner aux utilisateurs la possibilité de demander à une entreprise si elle exploite leurs données personnelles et les obtenir dans un délai « raisonnable ».
Ce texte doit encore obtenir l'accord du Parlement européen pour être adopté.
Source : Europa
Mise à jour du 04 / 02 / 2016 : le G29 souhaite examiner le texte de l'accord Privacy Shield au plus tard en fin février
Après l'invalidation de l'accord Safe Harbor en octobre dernier sur le transfert des données personnelles transitant entre l'Europe et les États-Unis, il a fallu plus de trois mois à l'élaboration du nouvel accord, baptisé Shield. Ce sont Andrus Ansip, vice-président de la commission, et Věra Jourová, la commissaire à la Justice et la Protection du consommateur, qui se sont chargés d'annoncer à la presse que l'Europe et les États-Unis avaient enfin réussi à accorder leurs violons.
Cependant, le texte n'a pas été porté à la connaissance du public. Dans la déclaration faite à Bruxelles, seuls quelques détails avaient filtré. Suite à la conférence de presse, le G29, le groupe des autorités européennes de protection des données présidé par Isabelle Falque-Pierrotin, s'est réuni pour analyser le résultat des négociations à la lumière de quatre garanties européennes estimées essentielles, notamment :
Les gendarmes de la vie privée ont tout de même salué le fait que les négociations entre ces deux entités aient abouti à l'accord Privacy Shield dans les délais qui leur ont été impartis le 16 octobre dernier. Le G29 « attend avec intérêt de recevoir les documents pertinents afin de savoir précisément le caractère juridique contraignant de l'arrangement et de déterminer s’il peut répondre aux préoccupations plus larges soulevées par le jugement Schrems en ce qui concerne les transferts internationaux de données personnelles ». Ils attendent que la Commission lui fasse parvenir les documents d'ici la fin du mois de février.
Source : conférence de presse G29, déclarations du G29 (au format PDF)
Après l'invalidation de l'accord Safe Harbor en octobre dernier sur le transfert des données personnelles transitant entre l'Europe et les États-Unis, il a fallu plus de trois mois à l'élaboration du nouvel accord, baptisé Shield. Ce sont Andrus Ansip, vice-président de la commission, et Věra Jourová, la commissaire à la Justice et la Protection du consommateur, qui se sont chargés d'annoncer à la presse que l'Europe et les États-Unis avaient enfin réussi à accorder leurs violons.
Cependant, le texte n'a pas été porté à la connaissance du public. Dans la déclaration faite à Bruxelles, seuls quelques détails avaient filtré. Suite à la conférence de presse, le G29, le groupe des autorités européennes de protection des données présidé par Isabelle Falque-Pierrotin, s'est réuni pour analyser le résultat des négociations à la lumière de quatre garanties européennes estimées essentielles, notamment :
- le traitement (des données) doit être basé sur des règles claires, précises et accessibles : cela signifie que toute personne raisonnablement informée devrait être en mesure de prévoir ce qui pourrait arriver avec ses données où elles sont transférées ;
- la nécessité et la proportionnalité en ce qui concerne les desseins poursuivis doivent être démontrées : un équilibre doit être trouvé entre l'objectif derrière la collecte des données et les droits de l'individu ;
- un mécanisme de contrôle indépendant, à la fois efficace et impartial, doit exister : il peut s'agir ici soit d'un juge, soit d'un autre corps indépendant dans la mesure où l'entité dispose de la capacité suffisante à effectuer les contrôles nécessaires ;
- les individus doivent disposer de recours efficaces : tout le monde devrait avoir la possibilité de défendre ses droits devant une instance indépendante.
Les gendarmes de la vie privée ont tout de même salué le fait que les négociations entre ces deux entités aient abouti à l'accord Privacy Shield dans les délais qui leur ont été impartis le 16 octobre dernier. Le G29 « attend avec intérêt de recevoir les documents pertinents afin de savoir précisément le caractère juridique contraignant de l'arrangement et de déterminer s’il peut répondre aux préoccupations plus larges soulevées par le jugement Schrems en ce qui concerne les transferts internationaux de données personnelles ». Ils attendent que la Commission lui fasse parvenir les documents d'ici la fin du mois de février.
Source : conférence de presse G29, déclarations du G29 (au format PDF)
Il aura donc fallu plus de trois mois pour l'élaboration du nouvel accord, baptisé Privacy Shield, depuis l'invalidation du précédent accord. L’annonce a été faite ce mardi par le vice-président de la commission Andrus Ansip et la commissaire à la Justice et la Protection du consommateur, Věra Jourová à l'occasion d'une conférence de presse à Bruxelles.
Le texte de l'accord quant à lui n'est pas porté à la connaissance du public ; seuls quelques détails ont filtré de cette déclaration, notamment :
- des obligations fortes sur les entreprises qui traitent des données personnelles des Européens ainsi qu'une application renforcée : les entreprises américaines qui souhaitent importer des données personnelles de l'Europe devront se soumettre à des obligations renforcées sur la façon dont les données personnelles sont traitées et les droits individuels sont garantis. Le département du Commerce va veiller à ce que les entreprises publient leurs engagements, ce qui aura pour effet de les rendre contraignants en vertu de la loi américaine par la Commission fédérale du commerce. En outre, toute entreprise qui gère des données de ressources humaines en Europe devra s'engager à respecter les décisions prises par les autorités européennes de protection des données ;
- des garanties claires et des obligations de transparence concernant les accès du gouvernement des États-Unis : pour la première fois, les États-Unis ont donné des assurances écrites à l'UE que l'accès des pouvoirs publics dans le cadre de l'application de la loi et la sécurité nationale sera soumis à des limites claires, proposant des garanties et des mécanismes de contrôle. Ces exceptions ne doivent être utilisées que dans la mesure nécessaire et proportionnée. Les États-Unis ont exclu la surveillance de masse sans discernement sur les données personnelles transférées aux États-Unis en vertu de la nouvelle entente. Pour veiller régulièrement au bon fonctionnement de l'arrangement, il y aura un examen annuel conjoint, durant lequel il sera également question de vérifier ces accès dans le cadre de la sécurité nationale. La Commission européenne et le Département américain du Commerce vont procéder à un examen et vont également convier des experts américains du renseignement ainsi que des autorités de protection de données européennes ;
- une protection efficace des droits des citoyens de l'UE avec plusieurs possibilités de recours : tout citoyen qui estime que ses données ont été mal utilisées dans le cadre du nouvel arrangement aura plusieurs possibilités de recours. Les entreprises ont des délais pour répondre aux plaintes. Les autorités de protection de données européennes peuvent renvoyer les plaintes au ministère du Commerce ainsi qu'à la Federal Trade Commission. En outre, la résolution extrajudiciaire des différends sera gratuite. Pour les plaintes sur l'accès possible par les autorités nationales de renseignement, un nouveau médiateur sera nommé.
L’Union européenne et les États-Unis « ont négocié un mécanisme qui est solide et qui représente une amélioration considérable par rapport au régime précédent », a commenté Andrus Ansip. « Notre peuple peut être sûr que ses données personnelles sont entièrement protégées. Nos entreprises, en particulier les plus petites, ont la certitude légale dont ils ont besoin pour développer leurs affaires outre-Atlantique. Nous avons le devoir de vérifier et nous veillerons à ce que cet accord soit respecté », a-t-il assuré.
Face à cette annonce quelque peu opaque, les critiques n'ont pas tardé. « Écoutez attentivement : la Commission européenne et les États-Unis vont encore prendre « quelques semaines » avant de transformer cela en déclaration légale écrite. Cela n'a rien d'un « accord » ! », a affirmé Jan Philipp Albrecht, député européen, sur son compte Twitter.
Max Schrems, l'étudiant autrichien qui avait porté plainte contre la CNIL irlandaise pour avoir refusé de s’opposer au transfert de données de Facebook, sur la base du Safe Harbor, et dont l'action avait progressivement mené à l'invalidation du Safe Harbor, s'est également exprimé sur le sujet. Il a avancé qu'il attend le texte final, mais qu'à en juger ce qui se présente, l'affaire sera sans doute portée de nouveau à la Cour de justice de l’Union européenne.
Mercredi, le G29, le groupe des autorités européennes de protection des données présidé par Isabelle Falque-Pierrotin, doit rendre son avis sur les solutions existantes pour assurer le transfert de données entre l'Europe et les États-Unis. Les gendarmes de la vie privée doivent définir si les termes de l'entente sont en accord avec les normes régionales.
Source : communiqué de presse Commission européenne, tweet Jan Philipp Albrecht, tweet Max Schrems
Envoyé par Stéphane le calme
