Données personnelles et RGPD en Europe
Mde Ursula von der Leyden change la stratégie pour le RGPD et les données personnelles en Europe.
Elle ambitionne une adaptation de son Digital Services Act (DSA).
Et également de son Digital Markets Act (DMA) qui visent les grandes plateformes servant de « gatekeepers ».
Un nouvel accord de transfert UE – USA devrait bientôt succéder au Privacy Shield héritier du Safe Harbor.
Toutefois, cette nouvelle posture ne relève pas de la seule volonté de Mde Ursula von der Leyden.
En effet elle est consécutive à la décision de la Cour de justice de l’Union européenne (CJUE) d’invalider le 16 juillet 2020 le Privacy Shield.
Cette décision de la CJUE (arrêt Schrems II) pose une remise à plat de la situation ;
- niveau de protection équivalent aux standards européens
- mesures garantissant la licéité du transfert des données
- clauses contractuelles types (version du 4 juin 2021)
- prise en compte des menaces spécifiques à la législation
L’efficacité du RGPD en Europe entraîne notamment la suspension de tout transfert de données vers des pays non adéquats.
Dont justement les États-Unis de l’oncle Sam.
Genèse des données personnelles
Tout commence en 1981 avec la Convention du Conseil de l’Europe sur la protection des données.
Cette Convention protège la vie privée et les données personnelles en Europe et au-delà (Convention 108+).
En effet, la protection des données à caractère personnel devient un droit garanti.
Cette protection relève des instruments de l’Union européenne (UE) et du Conseil de l’Europe (CdE).
Et cela dans un domaine en évolution constante.
Selon la directive européenne de 1995, une donnée à caractère personnel correspond à “ toute information concernant une personne physique identifiée ou identifiable ”.
En 2016, l’Europe complète sa directive avec un règlement : le règlement général sur la protection des données personnelles (RGPD).
A la suite, en 2018, l’Union européenne adopte un nouveau règlement sur la protection des données personnelles.
C’est le RGPD de 2020 applicable depuis 2022 pour les données personnelles
L’objectif était de s’adapter aux nouvelles réalités du numérique et de renforcer les droits des citoyens européens avec un contrôle de leurs données personnelles.
Entre ces dates, le Safe Harbor et le Privacy Shield feront l’objet d’annulations respectivement en 2015 et 2020.
Annulation du Safe Harbor
Avec le Safe Harbor, une autorisation consécutive à une simple déclaration exempt de contrôles suffisait aux entreprises américaines.
Ces entreprises pouvaient alors à leurs profits réaliser le transfert des données européennes.
La Cour de justice de l’Union Européenne devra invalider le Safe Harbor dès lors qu’un requérant nommé Max Schrems lui exposera la faiblesse de sa protection.
Ce militant pointa ainsi du doigt la faiblesse des recours pour les citoyens européens face à la puissance de la justice américaine et du poids des multinationales.
Suite à cet épisode judiciaire, Bruxelles et Washington concoctèrent le Privacy Shield en 2016 afin de corriger les manquements du Safe Harbor.
Le problème est que ce nouveau règlement faisait aussi perdre aux citoyens européens tous leurs droits dès la transmission de leurs données sur le sol américain.
Il n’en fallait pas plus pour que Mr Max Schrems le fasse invalider aussi par la CJUE en 2020.
Depuis cette date la situation crée une insécurité juridique pour les multinationales comme Facebook, Google et Microsoft.
D’ailleurs en 2019, la première sanction résultant du RGPD visa Google.
Enjeux des transferts
Ainsi à l’issue d’un an et demi de négociations, un nouvel accord (confidentiel pour l’instant) devrait autoriser les transferts de données vers les USA depuis l’Europe et cela en toute « confiance ».
La volonté du pouvoir américain est de faire cesser l’insécurité juridique de ses multinationales.
Ces multinationales ne disposent plus de base légale pour exporter vers les États-Unis les données personnelles sur la vie privée des consommateurs européens et les données sur leurs vie privée.
Google écopa d’une amende de 50 millions d’euros mais les Hôtels Marriott connurent une amende de 110 millions d’euros et British Airways de 204 millions d’euros.
Plus récemment (18 juin 2021), le Contrôleur européen de la protection des données a adopté un avis sur la proposition de règlement de la Commission européenne sur l’Intelligence Artificielle.
Cet avis se décline dans tous les état membres et par la CNIL en ce qui concerne la France.
Quoi qu’il en soit le nouvel accord avec les États-Unis devra veiller à la protection des citoyens européens.
Notamment face aux pirates du web avides de données personnelles à transférer illégalement grâce à l’informatique.
En théorie, le nouveau Digital Markets Act, règlement sur les marchés numériques, doit mettre fin à la domination des géants du Net.
Nous verrons si le projet de Digital Markets Act Américain respecte le droit des Européens.
Article : P. du Chélas
Digital Markets Act et RGPD
PIPL Chinoise et liberté informatique
TikToK et vos données personnelles
Slashing et Corporate Nomad
Comprendre l’Intelligence Artificielle
Le droit à l’environnement
CETA versus EUROPE
Convention d’Aarhus / UICN / AI Act
