« Interdire le transfert de données seulement vers les Etats-Unis serait une aberration »

Tribune. Dans les prochains jours, la Cour de justice de l’Union européenne (CJUE) devra dire si les pratiques américaines en matière de surveillance violent les droits fondamentaux des citoyens européens. Une telle décision pourrait bien mettre un terme à la plupart des transferts de données personnelles vers l’autre rive de l’Atlantique. Si la Cour prend une décision en ce sens, les sociétés et les services que l’Europe utilise chaque jour ne pourront plus légalement transférer ces données vers les Etats-Unis.

Il en résulterait toutefois une aberration : les données personnelles des citoyens européens ne pourraient plus être transférées vers les Etats-Unis par crainte qu’elles ne fassent l’objet d’une surveillance trop intrusive, mais pourraient librement circuler vers la Chine, un Etat dont les pratiques en matière de surveillance rivalisent avec la pire nouvelle de science-fiction jamais écrite.

Même si l’hypothèse selon laquelle la Cour interdirait tout transfert de données personnelles vers les Etats-Unis paraît peu réaliste, l’activiste autrichien Max Schrems, le plaignant dans le cadre de l’affaire pendante devant la Cour, a gagné une affaire similaire en 2015. Celle-ci concernait « l’EU/US Safe Harbor », soit la version précédente de l’actuel « Privacy Shield EU/US », qui permet aux entités de l’Union européenne et des Etats-Unis de s’échanger des données personnelles.

Dans cette précédente affaire, la Cour avait invalidé la décision par laquelle la Commission européenne estimait adéquat le niveau de protection des données personnelles reconnu aux Etats-Unis et fondé sur le « Safe Harbor ».

Un terrible dilemme pour les acteurs européens

Au lendemain de l’affaire de 2015, la plupart des entreprises actives en Europe qui transféraient des données depuis l’Union européenne vers les États-Unis sur la seule base du « Safe Harbor » ont dû utiliser les « clauses contractuelles types ». Celles requièrent le respect des garanties strictes en termes de vie privée par l’entreprise qui transfère les données. La CJUE est maintenant saisie de la question de la légalité de ces clauses. L’actuel « Privacy Shield EU/US » risquerait d’être également affecté par la décision de la Cour.

Une décision de la Cour qui invaliderait les clauses contractuelles types entraînerait l’interdiction de la plupart des transferts de données de l’Union européenne vers les Etats-Unis. L’affaire porte en effet sur la qualité des garanties légales existant aux Etats-Unis au sujet de la surveillance du gouvernement américain.