Après l’amende record infligée à Meta, la Commission européenne a indiqué espérer une adoption « d’ici l’été » d’un nouveau cadre légal pour le transfert des données personnelles de l’UE vers les Etats-Unis.
Meta a écopé d’une amende d’1,2 milliard d’euros pour avoir transféré des données personnelles d’utilisateurs européens de Facebook vers les Etats-Unis, en violation des règles européennes.
La Commission irlandaise pour la protection des données (DPC), agissant au nom de l’UE, lui a demandé de suspendre tout transfert « dans les cinq mois ». Le groupe américain a annoncé son intention de faire appel.
« Nous sommes en train de finaliser un cadre de protection (pour le transfert des données personnelles) entre l’UE et les États-Unis », a déclaré un porte-parole de la Commission, Christian Wigand. « Nous espérons qu'(il) sera en place d’ici l’été », a-t-il ajouté.
« Cela garantirait la stabilité et la sécurité juridique recherchée par les entreprises, tout en garantissant une protection stricte de la vie privée des citoyens », a-t-il poursuivi, ajoutant que « les garanties négociées avec les États-Unis (…) s’appliqueront à tous les transferts transatlantiques de données ».
Le président américain Joe Biden et la présidente de la Commission européenne Ursula von der Leyen avaient trouvé un accord de principe en mars 2022 sur un nouveau dispositif légal, crucial pour l’économie numérique.
Les deux dispositifs précédemment mis en place pour permettre aux entreprises de transférer ces données des Européens vers les États-Unis avaient été invalidés par la justice européenne en raison de craintes d’une surveillance par les services américains – le dernier, « Privacy Shield », lors d’une décision en 2020.
La Commission européenne est en train de prendre en compte l’avis émis par le Comité européen de la protection des données (CEPD) sur le nouveau cadre proposé, qui devra encore recueillir l’approbation des Etats membres avant l’adoption d’une « décision d’adéquation ». Dans son avis rendu fin février, le CEPD saluait des avancées significatives tout en soulignant que des clarifications restaient nécessaires.
Mais ce nouveau cadre a toutes les chances d’être à nouveau contesté devant la justice, a déjà prévenu Max Schrems, juriste et militant autrichien pour le respect de la vie privée, à l’initiative des recours précédents devant la Cour de justice de l’UE.
Après l’invalidation du « Privacy Shield », les entreprises du web comme Facebook ou Google se sont rabattues pour transférer les données sur les « clauses contractuelles type » (SCC), offrant moins de garanties juridiques, et elles aussi attaquées en justice par le NOYB, organisation fondée par Max Schrems.
