La Commission nationale de l'informatique et des libertés,
Saisie par le Haut Conseil du Commissariat aux comptes (H3C) d’une demande d’autorisation concernant la mise en œuvre d’un arrangement administratif visant à encadrer les transferts des données à caractère personnel avec son homologue américain, le PCAOB ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, notamment son article 46.3.b ;
Vu l’avis 05/2021 du Comité européen de la protection des données (CEPD) relatif au projet d’arrangement administratif visant à encadrer les transferts des données à caractère personnel entre le H3C et le PCAOB ;
Vu les lignes directrices 02/2020 du CEPD sur les articles 46 (3) (a) et 46 (3) (b) du règlement 2016/679 concernant les transferts de données à caractère personnel entre autorités publiques européennes et non-européennes ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le projet de protocole d’accord portant sur les conditions et modalités de la coopération entre le H3C et son homologue étasunien ;
Sur la proposition de M. Philippe Pierre CABOURDIN, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Considérant ce qui suit :
A la suite des scandales financiers ENRON et WORLDCOM, la loi étasunienne Sarbanes – Oxley (SOX), adoptée en 2002, a réformé les règles applicables, entre autres, au contrôle des comptes des sociétés faisant appel à l’épargne sur les marchés étasuniens.
Au titre de ces nouvelles mesures, la loi SOX a instauré le Public Company Accounting Oversight Board ( PCAOB ), lequel, sous l’autorité de la U.S Securities and Exchange Commission ( SEC ), est chargé de la supervision des commissaires aux comptes ( auditeurs ), étasuniens ou établis à l’étranger qui certifient les comptes de sociétés cotées sur les marchés aux États-Unis.
Le PCAOB exige de pouvoir mener des contrôles conjoints, en lien avec les autorités nationales compétentes responsables des auditeurs étrangers, pour s’assurer de la manière dont ces auditeurs travaillent sur le terrain afin que puisse prévaloir une logique de confiance mutuelle, et le cas échéant de réciprocité.
A l’occasion de ces contrôles, le PCAOB exige d’avoir accès non seulement aux rapports d’audit, mais également à l’ensemble de la documentation ayant servi à l’élaboration de ces rapports. C’est dans ce cadre que des données à caractère personnel sont susceptibles d’être transmises vers les États-Unis.
En vertu des textes européens applicables, l’encadrement de ces transferts doit être assuré par un accord bilatéral entre le Haut Conseil du Commissariat aux comptes (H3C) français et le PCAOB. Sur la base d’un accord conclu en 2013 puis renouvelé en 2016, la CNIL avait, sur le fondement des dispositions applicables avant l’entrée en vigueur du règlement général sur la protection des données (ci-après RGPD ), autorisé le H3C le 29 novembre 2012 puis le 11 juillet 2013, et enfin le 1

L’accord bilatéral encadrant le transfert de données à caractère personnel étant arrivé à échéance le 13 décembre 2019, le H3C et le PCAOB ont ainsi entrepris sa renégociation.
La Commission a été saisie par le H3C d’une demande d’autorisation, concernant un arrangement administratif visant à encadrer les transferts des données à caractère personnel avec son homologue étasunien, le PCAOB. Le dernier état du projet d’arrangement a été transmis à la Commission le 19 novembre 2020.
En effet, en vertu de l’article 46 du RGPD, en l’absence de décision d’adéquation de la Commission européenne (article 45 du RGPD), un transfert de données à caractère personnel vers un pays tiers ne peut avoir lieu que si des garanties appropriées ont été prévues par l’exportateur de données et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives.
Sous réserve de l’autorisation de la Commission nationale de l’informatique et des libertés, les garanties appropriées visées ci-dessus peuvent être fournies par des dispositions à intégrer dans des arrangements administratifs entre autorités publiques qui prévoient des droits opposables et effectifs pour les personnes concernées (article 46.3.b du RGPD).
Il est prévu au sein de la communauté constituée par les homologues européens du H3C que cet arrangement administratif sera utilisé comme modèle pour l’encadrement de leurs transferts de données à caractère personnel avec le PCAOB. Compte tenu de la portée pan-européenne de cet accord, la CNIL a décidé de saisir le CEPD pour avis formel sur le fondement de l’article 64.2 du RGPD.
Le CEPD a rendu le 2 février 2021 un avis favorable concernant les garanties apportées par cet arrangement administratif, en considérant que celles-ci répondaient aux exigences du RGPD. Pour mémoire, les mesures et principes contenus dans cet accord sont les suivants :
Définition des principes et des droits de la personne concernée ;
Principe de limitation de finalité ;
Principe d’exactitude et de minimisation des données ;
Principe de transparence ;
Mesures de sécurité et de confidentialité ;
Catégories particulières de données à caractère personnel ou données sensibles ;
Garanties relatives aux droits des personnes concernées ;
Principe de limitation de la conservation des données ;
Restrictions sur les transferts ultérieurs ;
Mécanisme de recours ;
Mécanisme de supervision.
Au regard de ces éléments et de l’avis favorable du CEPD, la Commission fait sienne l’analyse du CEPD et en déduit que les dispositions de l’arrangement administratif, en l’espèce, apportent des garanties appropriées conformes au RGPD.
Par ailleurs, la Commission accueille favorablement et prend acte des informations communiquées par le H3C selon lesquelles ce dernier tiendra un registre contenant, entre autres, les éléments suivants concernant l’arrangement administratif :
informations concernant le caractère indépendant du Redress Reviewer ;
informations concernant la durée de conservation de données à caractère personnel transférées dans le cadre de l’arrangement administratif ;
informations sur les notifications reçues par le H3C concernant les violations de données à caractère personnel en vue de la section III (4) de l’arrangement administratif ;
informations sur les résultats des revues périodiques de l’Office of Internal Oversight and Performance Assurance (IOPA) ;
informations sur les notifications reçues par le H3C conformément à la section III (6) de l’arrangement administratif ;
nombre de demandes de résolution de litiges reçues par le H3C ou concernant les données à caractère personnel transférées par le H3C.
Cette décision peut faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification




La Présidente
Marie–Laure DENIS