Ce que je retiens actuellement de l'après-Safe Harbor :
    * Le G29 (rassemblement des 29 "CNIL" européennes) a conclu que tous les régimes juridiques alternatifs au Safe Harbor et permettant le transfert de données transatlantique (comme les BCR, les clauses contractuelles venant de la Commission européenne et le consentement exprès) sont invalides. Ils restent utilisables tant que l'après-Safe Harbor n'entre pas en application. Voir http://www.numerama.com/politique/142992-safe-harbor-les-cnil-laissent-faire-lillegalite-pour-linstant.html

    * On notera que la deadline fixée par le G29 au 31/01 a été dépassé de plus d'un mois avant communication du brouillon d'accord conclu entre les USA et la Commission européenne. On en arrive à la conclusion que ce n'est pas le G29 qui tient les rênes. L'enfumage n'est pas loin. Pour ceux et celles que ça intéresse : le brouillon est disponible par ici http://www.nextinpact.com/news/98809-donnees-personnelles-privacy-shield-se-devoile.htm mais il n'y a pas les annexes qui sont citées de partout dans le texte...

    * Qu'est-ce qu'attendent les militants pro-vie privée de l'après-Safe Harbor ? Protéger les données personnelles vis-à-vis de toute surveillance. Possibilité de recours des Européen-ne-s devant un juge qui a des pouvoirs d'enquête aux USA et qui est facilement accessible par les Européen-ne-s. Respect de tous les droits attenants aux données personnelles (accès, rectification, opposition et effacement complet). Obligation de transparente pour les entreprises US qui importeront des données EU. Le tout dans un cadre juridique contraignant.

    * De son côté le G29 a fixé le minimum à atteindre pour ne pas risquer une nouvelle censure de la CJUE. Les règles régissant les traitements de données doivent être claires, précises et accessibles. L'accès aux données doit être nécessaire et proportionné. Supervision indépendante. Droit de recours efficace. Actuellement, rien n'existe dans le corpus législatif US pour les points 2 et 4... Les USA semblent y mettre un poil de bonne volonté. Exemple pour le point 4 : http://www.silicon.fr/donnees-personnelles-les-europeens-pourront-ester-en-justice-aux-us-138753.html

    * De la différence entre ce que réclame les militants et le minimum voulu par le G29, on notera déjà qu'il n'est pas prévu de mettre un terme à la surveillance américaine qui est portant une des pierres angulaires du problème et le contexte qui a amené la CJEU a cassé le Safe Harbor. Mais c'est au moins très révélateur des intentions EU de se laisser faire. ;)

    * Pour l'instant, les USA se sont engagés sur les points suivants (voir https://www.nextinpact.com/news/98329-donnees-personnelles-point-sur-apres-safe-harbor.htm et http://www.numerama.com/politique/142758-accord-conteste-sur-un-safe-harbor-2-0-entre-les-usa-et-lue.html ) : voies de recours, révision annuelle conjointe, pas de fin de la surveillance ciblée (les citoyens EU devront la démontrer et ester en justice) mais un terme à la surveillance de masse. Sans regarder dans les détails, on semble donc avoir le minimum demandé par le G29...

    * Sauf qu'en vrai, on n'a ni fin de la surveillance de masse (de larges finalités permettent aux USA de faire ce qu'ils veulent) ni l'application des droits d'accès/rectification/suppression concret. Voir https://www.laquadrature.net/fr/lettre-oln-commission-libe-privacy-shield

    * Le nouvel accord post-Safe Harbor, dénommé Privacy Shield ne reposera pas sur un accord international mais sur des lettres échangées au plus au niveau politique ! WTF ?! Aucune base légale pour attaquer... Que du vent. Super, les gens. De ce fait, le Privacy Shield est totalement inutile.

    * La prochaine deadline ? La Commission européenne s'est donnée 3 mois pour que ce texte entre en application. Le G29 sera consulté. Il faudra le feu vert du Parlement européen donc les citoyens pourront s'exprimer sur ce texte.