Transfert de données : l'Europe penche vers plus de restrictions

Trois mois après la suspension de l’accord dit Safe Harbor, les régulateurs européens du G29 s’orientent vers une approche plus restrictive du transfert de données vers les États-Unis.

Les régulateurs européens en charge de la protection des données finalisent leur position en faveur d’une solution alternative à l’accord dit Safe Harbor. Selon Reuters, qui cite des sources proches du dossier, des restrictions au transfert de données de l’Union européenne vers les États-Unis seraient apportées pour limiter le risque de surveillance indifférenciée par les gouvernements.

Le 6 octobre 2015, la Cour de Justice de l’Union européenne (CJUE) a invalidé l’accord Safe Harbor du 26 juillet 2000 sur ces transferts, faute d’un niveau adéquat de protection des données personnelles transférées. Le scandale des écoutes de la NSA américaine révélées par Snowden, ayant marqué les esprits. Plus de 4000 entreprises américaines qui adhèrent volontairement au Safe Harbor, ainsi que les entreprises européennes qui leur transmettent des données, sont dans l’expectative. Mais elles peuvent toujours utiliser d’autres outils encadrant ces transferts (clauses contractuelles types et règles internes d’entreprise ou BCR). Il n’y a donc pas de blocage général des transferts… jusqu’ici.

L’automne dernier, le groupe des CNIL européennes (ou G29) a exhorté les institutions de l’Union européenne et les États-Unis à négocier, avant le 31 janvier 2016, un nouvel accord intergouvernemental qui clarifie la base légale des transferts de données vers les États-Unis, « dans le respect des droits fondamentaux ». Faute de quoi, les régulateurs du G29 se sont déclarés prêts « à mettre en œuvre toutes les actions nécessaires, y compris des actions répressives coordonnées ».

Les régulateurs européens ne sont pas unanimes

Des divergences existent sur un Safe Harbor 2, y compris à Bruxelles où l’adoption du règlement européen sur la protection des données pourrait limiter la portée d’un nouvel accord. C’est dans ce contexte que le G29 doit rendre une décision sur la suite qu’il souhaite donner à ce dossier, le 2 février prochain, lors d’une réunion plénière.

Les différentes options envisagées ont déjà été discutées à l’occasion d’une réunion préparatoire mercredi, dont le « gel » des nouvelles autorisations de transferts de données vers les États-Unis. Une approche qui est loin de faire l’unanimité.