« Par une décision rendue publique ce matin, la Cour de justice de l'Union européenne (CJUE), plus haute juridiction de l'Union, a invalidé le Safe Harbor. Cet accord, permettant le transfert de données personnelles entre l'Europe et les États-Unis, en application depuis 2000 dans différentes versions, autorisait le traitement par les entreprises américaines des données des citoyens européens, avec des garanties encore plus faibles que celles existantes en Europe [ NDLR : non : le safe Harbor était un accord qui reconnaissait la différence des droits et libertés entre UE et USA sur le sujet des données personnelles mais qui considérait que c'était équivalent si les entreprises américaines prenaient des engagements et s'auto-certifiaient (sisi), point que Max Schrems a remis en question] . L'autrichien Max Schrems a attaqué Facebook en estimant que la surveillance exercée par la NSA sur les données hébergées par Facebook affectait ses libertés et sa vie privée. La CJUE lui a aujourd'hui donné raison, en invalidant le Safe Harbor et en jugeant que la Commission [ NDLR : européenne, l'organe exécutif de l'UE ] avait abusé de son pouvoir en l'approuvant. Elle a aussi affirmé qu'une autorité locale de protection des données avait capacité à contester un accord européen si les garanties offertes aux citoyens avaient été modifiées.

En reconnaissant que la surveillance exercée par la NSA sur les données personnelles hébergées aux États-Unis portait préjudice aux citoyens européens, la CJUE met en application ce que les organisations de défense des droits et les parlementaires européens appelaient de leurs vœux : les conditions de transfert de données personnelles doivent être revues, à la lumière des législations sur la surveillance et des pratiques qui ont été mises au jour par Edward Snowden. En invalidant le Safe Harbor et en mettant les autorités de régulation en capacité d'examiner des demandes individuelles contre le transfert de données, c'est un signal fort envoyé à la Commission européenne qui renégocie en ce moment cet accord du Safe Harbor, mais également aux gouvernements qui mettent en place des mesures de surveillance. Ces mesures sont bien reconnues comme portant atteinte aux libertés fondamentales, et ce dès qu'il y a potentialité de collecte et de conservation1 des données (sans qu'il soit indispensable de prouver qu'on a effectivement fait l'objet d'une surveillance). »


« Mieux, les juges européens ont invalidé l’existence même de ce Safe Harbor attribué par la Commission européenne en 2000. Pourquoi ? Parce que celle-ci avait négligé à border convenablement les droits des Européens, dont le fameux droit au recours, tout en restreignant les capacités de contrôle des CNIL européennes [ NDLR : donc, depuis la mort du Safe Harbor, les CNIL nationales ont compétence et autorité pour défendre leurs citoyens respectifs à l'international. Elles peuvent ainsi décider d'interdire la poursuite des flux de données si elles estiment que ceux-ci ne sont plus assez sécurisés pour les citoyens concernés » ( https://www.nextinpact.com/news/96794-le-safe-harbor-invalide-par-cjue-interview-me-benjamin-may.htm et https://www.laquadrature.net/fr/safe-harbor-lettre-cnil )


« L'invalidation du Safe Harbor est une victoire avant tout symbolique, dans la mesure où l'existence d'autres régimes juridiques permet de poursuivre, dans certaines circonstances, le transfert de données entre l'Europe et les USA. Il y aura surtout des formalités supplémentaires à remplir, ce qui ne devrait pas être un gros problème pour des grandes entreprises comme Google ou Facebook. En revanche, ce sera plus difficile pour des sociétés de plus petite envergure.

[...]

Toutes celles qui se reposaient sur le Safe Harbor ne le peuvent désormais plus. Il leur appartiendra donc de mettre en place un mode alternatif de transfert. Ce peut être les fameuses règles internes d'entreprise (ou BCR, binding corporate rules, ndlr) - ce qui ne sera certainement pas adapté à tous les cas de figure. Cela peut être plus certainement l’adoption des clauses contractuelles de la Commission européenne encadrant le transfert des données. Il y a enfin l’option du consentement exprès, qui est toutefois un véritable repoussoir pour les entreprises. » ( http://www.numerama.com/magazine/34406-safe-harbor-la-quadrature-applaudit-la-decision-de-la-cjue.html et https://www.nextinpact.com/news/96794-le-safe-harbor-invalide-par-cjue-interview-me-benjamin-may.htm )


Notons que la CNIL Suisse, qui ne fait pas partie de l'UE a pris une décision similaire (invalider son Safe Harbor perso avec les USA) en s'appuyant sur la décision de la CJEU (http://www.numerama.com/politique/127839-la-cnil-suisse-refuse-desormais-detre-liee-par-le-safe-harbor.html ). L'autorité équivalente du Länder allemand Schleswig-Holstein a interdit tout transfert vers les USA même en utilisant les autres régimes juridiques présentés ci-dessus : « Conclusion: Private bodies, which use Standard Contractual Clauses to transfer personal data to the US, now need to consider terminating the underlying standard contract with the data importer in the United States or suspending data transfers. In consistent application of the requirements explicated by the CJEU in its judgment, a data transfer on the basis of Standard Contractual Clauses to the US is no longer permitted. » (https://www.datenschutzzentrum.de/artikel/981-.html).


« Cette affaire Weltimmo est presque aussi importante que celle invalidant le Safe Harbor. La directive de 95 dit qu’à l’intérieur de l’Union européenne, lorsque vous avez un responsable du traitement d’un État A qui intervient en prestation de service dans un État B, alors la conformité aux règles relatives aux données personnelles revient à l’autorité de contrôle du pays d’origine, la CNIL de l’État A. Mais la directive précise que c’est à la condition qu’il n’y ait pas d’établissement de l’entreprise dans l’État tiers.

Dans cette affaire jugée 1er octobre, la CJUE considère que constituent des moyens de traitement établis dans cet autre État, pratiquement n’importe quoi. La simple présence physique d’un représentant, l’ouverture d’un compte bancaire, quoique ce soit qui peut faire penser à une présence effective avec des critères minces. Ceci redonne donc compétence à la CNIL de l’État B pour contrôler la conformité à la loi locale.

Pour moi, c’est la fin du système « One Stop Shop », une remise en cause du principe de base de la directive. Si une entreprise établie comme responsable au Royaume-Uni exerce des activités dans d’autres pays, par exemple en France, elle ne pourra plus considérer que la loi française ne lui est pas applicable. Cette entreprise devra d’abord faire une évaluation des différences entre le système anglais et le système français, et d’autre part, la CNIL française pourra éventuellement imposer des amendes. C’est un corolaire à la décision Schrems qui remet complètement sur le devant de la scène l’ensemble des autorités de contrôle nationales. » ( https://www.nextinpact.com/news/96794-le-safe-harbor-invalide-par-cjue-interview-me-benjamin-may.htm )


« Le nouvel accord [ NDLR : Safe Harbor 2.0 ] devrait prévoir :
    * des conditions plus claires et plus restrictives d’accès aux données par les services de renseignement américains ;

    * un contrôle plus strict du respect du cadre du Safe Harbor par le Département au Commerce des États-Unis (sous l’ancien régime, il suffisait aux entreprises de déclarer sur l’honneur qu’elles le respectaient) ;

    * une coopération plus étroite entre les CNIL européennes et les autorités américaines ;

    * plus de transparence de la part des entreprises sur l’utilisation faite des données personnelles ;

    * des voies de recours gratuites pour les citoyens européens qui souhaitent s’opposer à des exploitations de leurs données ;

    * un mécanisme annuel de révision du Safe Harbor, avec une supervision de sa bonne application [ NDLR : + suspension de l'accord si le contrôle démontre une inadéquation ], alors que le régime adopté en 2000 n’avait jusque là donné lieu à aucune mise à jour.

« Nous allons transformer le système, qui était purement auto-régulé, pour en faire un système contrôlé qui sera plus réactif et proactif, et soutenu par des mesures d’exécution significatives, y compris des sanctions » en cas de violation des règles, a promis Věra Jourová. » ( http://www.numerama.com/politique/128308-donnees-personnelles-le-safe-harbor-2-0-toujours-en-discussion.html et http://www.silicon.fr/safe-harbor-2-lue-prevoit-une-clause-de-suspension-133902.html )


« Mardi, à Lille, lors d’une conférence plénière organisée au sein du FIC, Isabelle Falque-Pierrotin a indiqué d'autre part que le G29 se réunirait début février pour savoir ce qu’il adviendra de l’annulation du Safe Harbor. Si la présidente de la CNIL a été discrète sur le sujet, plusieurs pistes se dégagent selon nos sources. Les clauses types et les Binding Corporate Rules (ou BCR), à savoir les codes de conduite internes aux entreprises, pourraient ne pas perdurer, sans doute parce qu’elles ne rabotent en rien la curiosité des services américains. Au-delà des autorisations individuelles, la seule issue disponible pour les acteurs du Web resterait finalement les décisions d’adéquation. Avec elle, dans un État déterminé, une autorité de contrôle devrait ainsi mener une analyse approfondie des lois nationales du pays tiers pour autoriser ou interdire le transfert.

Bien entendu, une telle position pourrait être jugée inutile si les États-Unis et l’Europe parvenaient finalement à un accord sur un hypothétique Safe Harbor 2 [ NDLR : le regroupement des CNIL européennes avait laissé jusqu'à la fin janvier pour ce faire...] . Sur le terrain politique, cependant, cette réalité n'est qu’un rêve encore trop lointain. Toujours au FIC, David Martinon, représentant spécial de la France pour les négociations internationales sur la société de l'information et l'économie numérique, a pointé aujourd’hui encore l’absence d’accord entre les différents pays européens sur ce dossier. » ( https://www.nextinpact.com/news/98229-donnees-personnelles-l-avenir-safe-harbor-fixe-debut-fevrier.htm )