Quelles sont les conséquences de l’invalidation du Safe Harbor pour les entreprises européennes ?
Publié le :
06/11/2015
06
novembre
nov.
11
2015
Par un arrêt du 6 octobre 2015, la Cour de Justice de l’Union Européenne a annulé la décision de la commission européenne 2000/520 du 26 juillet 2000 qui reconnaissait le niveau de protection suffisant des entreprises américaines ayant adhéré au Safe Harbor et consacrait ainsi le principe de libre transfert des données à caractère personnel depuis les pays membres de l’Union Européenne vers les Etats-Unis.L’arrêt rendu par la CJUE
Par un arrêt du 6 octobre 2015 (affaire C-362/14), la Cour de Justice de l’Union Européenne a annulé la décision de la commission européenne 2000/520 du 26 juillet 2000 qui reconnaissait le niveau de protection suffisant des entreprises américaines ayant adhéré au Safe Harbor et consacrait ainsi le principe de libre transfert des données à caractère personnel depuis les pays membres de l’Union Européenne vers les Etats-Unis.
Monsieur Schrems, autrichien, inquiet que la NSA et le FBI puissent avoir accès à ses données personnelles après leur transfert par Facebook Irlande aux Etats-Unis a saisi le commissaire européen à la protection des données. Après le rejet de sa plainte par le commissaire européen ce dernier a introduit un recours devant la Haute Cour de justice Irlandaise qui a jugé que « l’accès massif et indifférencié à des données à caractère personnel serait évidemment contraire au principe de proportionnalité et aux valeurs fondamentales protégées par la constitution irlandaise ». Par conséquent, la Cour irlandaise a estimé que la décision de la commission européenne 2000./520 n’était pas conforme aux articles 7 et 8 de la Charte des droits fondamentaux de l’Union Européenne qui consacrent le droit au respect de la vie privée et familiale ainsi que le droit à la protection des données personnelles.
La légalité de cette décision devant être apprécié au regard du droit de l’Union Européenne, la Cour irlandaise a saisi la CJUE d’une question préjudicielle qui dans ce cadre a jugé que :
1. « la protection du droit fondamental au respect de la vie privée au niveau de l’union exige que les dérogations à la protection des données à caractère personnel et les limitations de celle-ci s’opèrent dans les limites du strict nécessaire.»
2. « n’est pas limitée au strict nécessaire une règlementation qui autorise de manière généralisée la conservation de l’intégralité des données à caractère personnel de toutes les personnes dont les données ont été transférées depuis l’Union vers les États-Unis sans qu’aucune différenciation, limitation ou exception soit opérée en fonction de l’objectif poursuivi et sans que soit prévu un critère objectif permettant de délimiter l’accès des autorités publiques aux données et leur utilisation ultérieure à des fins précises, strictement restreintes et susceptibles de justifier l’ingérence que comportent tant l’accès que l’utilisation de ces données.»
3. « une réglementation permettant aux autorités publiques d’accéder de manière généralisée au contenu de communications électroniques doit être considérée comme portant atteinte au contenu essentiel du droit fondamental au respect de la vie privée, tel que garanti par l’article 7 de la Charte. »
Les conséquences de principe de l’arrêt de la CJUE
La CJUE a donc déclaré que les Etats Unis n’assuraient plus un niveau de protection suffisant des données à caractère personnel en invalidant le mécanisme du Safe Harbor, ensemble de règles juridiques instaurées par le Département du Commerce des États-Unis, en concertation avec la Commission européenne, afin de permettre aux entreprises et organisations américaines de se conformer à la Directive européenne. Ce mécanisme permettait de transférer des données personnelles aux Etats-Unis conformément à l’article 68 de la loi Informatique et Libertés (loi n°78-17), qui prévoient que les transferts de données à caractère personnel vers un pays tiers à l’Union européenne sont, en principe, interdits, sauf si le pays de destination assure un niveau de protection suffisant des données personnelles.
Par conséquent, tous les transferts qui s’opèreraient sur la base juridique du Safe Harbor sont désormais illégaux. Cela remet ainsi en cause le principe de liberté de transfert des données personnelles aux Etats-Unis.
Les conséquences opérationnelles de l’arrêt de la CJUE
A la suite de la décision de la CJUE, nous avons recommandé de procéder à la signature de Clauses Contractuelles Types adoptées par la Commission européenne (de responsable à responsable ou de responsable à sous-traitant) ou encore, dans les relations intra-groupe, d’adopter des Règles internes d’entreprise (ou BCR) qui constituent un code de conduite en matière de transferts de données personnelles depuis l’Union européenne vers des pays tiers.
Dans un communiqué de presse datant du 16 octobre 2015, la CNIL et ses homologues européens (le Groupe de l’Article 29) ont précisé qu’une réflexion était actuellement en cours s’agissant de la validité de ces autres outils de transfert (BCR, clauses contractuelles types) et ont ajouté que pendant cette période « ces outils peuvent encore être utilisés par les entreprises. »
Nous recommandons donc à toutes les entreprises réalisant des transferts de données à caractère personnel aux Etats-Unis de procéder à un audit de tous leurs traitements de données afin de recenser les transferts de données vers les USA sur la base du Safe Harbor et de signer dans les meilleurs délais des contrats de protection des données à caractère personnel.
Cet article n'engage que son auteur.
Crédit photo : © Andrzej Puchta - Fotolia.com
Auteur
CHAVANE DE DALMASSY Juliette
Historique
-
Baccalauréat: possibilité de redoublement dans le même lycée et conservation des notes
Publié le : 09/11/2015 09 novembre nov. 11 2015Particuliers / Famille / Enfants
Un décret du 26 octobre 2015 modifie les dispositions du code de l'éducation relatives à la préparation aux examens des voies générale, professionnelle et te... -
Sur tous les fronts !
Publié le : 06/11/2015 06 novembre nov. 11 2015Actualités EUROJURIS
Chers amis, Le Bureau, et je l’en remercie, ne ménage pas ses efforts pour que notre Réseau poursuive son développement. Cette rentrée a été animée par... -
Colloque : Malade et maladie, une histoire de temps
Publié le : 06/11/2015 06 novembre nov. 11 2015Actualités EUROJURIS
Philippe ROGER, avocat à Bordeaux (Cabinet KPDB), interviendra au colloque Espace de réflexion éthique régional d'Aquitaine (EréA) - « Malade et maladie, un... -
Quelles sont les conséquences de l’invalidation du Safe Harbor pour les entreprises européennes ?
Publié le : 06/11/2015 06 novembre nov. 11 2015Entreprises / Gestion de l'entreprise / Gestion des risques et sécurité
Par un arrêt du 6 octobre 2015, la Cour de Justice de l’Union Européenne a annulé la décision de la commission européenne 2000/520 du 26 juillet 2000 qui rec...
-
Si je ne travaille pas, GIPA le droit !
Publié le : 05/11/2015 05 novembre nov. 11 2015Collectivités / Services publics / Fonction publique / Personnel administratif
Pour bénéficier de la GIPA il faut non seulement conserver sa qualité de fonctionnaire et être rémunéré en fonction de l’indice détenu, mais aussi et surtout... -
Permis de construire : quelles sont les conditions d'annulation partielle ?
Publié le : 04/11/2015 04 novembre nov. 11 2015Collectivités / Urbanisme / Permis de construire/ Documents d'urbanisme
Dans un arrêt du 1er octobre 2015, n° 374338, le Conseil d'Etat précise le régime des annulations partielles de permis de construire en affinant les conditio... -
Condition de transfert d'une autorisation ou d'une convention d'occupation du domaine public
Publié le : 03/11/2015 03 novembre nov. 11 2015Collectivités / Services publics / Service public / Délégation de service public
Par un arrêt de principe en date du 18 septembre 2015 dont les termes sont épurés, le Conseil d'Etat a retenu : « qu'il ne peut y avoir transfert d’une autor...