Dans sa déclaration, le groupe de travail a en outre invité les États membres et les institutions de l’UE à discuter avec les autorités américaines dans le but de trouver des solutions juridiques et techniques pour les transferts de données; selon le groupe de travail «Article 29», les négociations visant à instaurer une nouvelle sphère de sécurité pourraient faire partie de cette solution.

Suite à l’arrêt, la Commission maintient son objectif d’établir un nouveau cadre solide pour les transferts transatlantiques de données à caractère personnel. Elle a, à cette fin, immédiatement repris et intensifié ses négociations avec le gouvernement américain afin que tout nouvel accord concernant les transferts transatlantiques de données à caractère personnel soit totalement conforme aux critères établis par la Cour. Il est dès lors essentiel qu'un tel cadre comporte des limites, des garanties et des mécanismes de contrôle judiciaire suffisants pour garantir que les données à caractère personnel des citoyens de l’UE resteront protégées, y compris en ce qui concerne l'éventualité de l’accès des pouvoirs publics pour des motifs tenant au respect des lois et à la sécurité nationale. Entre-temps, le secteur professionnel a fait part de ses préoccupations quant aux possibilités de maintien des transferts de données. Il apparaît donc nécessaire de clarifier les conditions dans lesquelles ces transferts peuvent se poursuivre. Ceci a amené le groupe de travail «Article 29», l’organe consultatif indépendant qui réunit des représentants de toutes les autorités chargées de la protection des données (DPA) des États membres, ainsi que le contrôleur européen de la protection de données, à publier, le 16 octobre, une déclaration sur les premières conclusions à tirer du jugement. Cette déclaration contenait, entre autres, les orientations suivantes concernant les transferts de données:

L’arrêt de la Cour se réfère à la communication de la Commission de 2013 concernant le fonctionnement de la sphère de sécurité du point de vue des citoyens de l’UE et des entreprises établies dans l’UE, où la Commission a relevé plusieurs lacunes et formulé treize recommandations. Se fondant sur ces recommandations, la Commission négocie avec les autorités américaines depuis janvier 2014 afin de mettre en place un nouvel accord plus solide pour les échanges transatlantiques de données.

Dans son arrêt du 6 octobre 2015, la Cour a déclaré la décision relative à la sphère de sécurité invalide. Dans ce contexte, la présente communication a pour but de présenter des outils alternatifs pour l’exécution des transferts transatlantiques de données conformément à la directive 95/46/CE en l’absence de décision concernant le caractère adéquat du niveau de protection. Elle traite aussi succinctement des conséquences que l’arrêt aura sur d’autres décisions de la Commission concernant le caractère adéquat du niveau de protection. Dans l’arrêt, la Cour a précisé que de telles décisions ne peuvent être prises en vertu de l’article 25, paragraphe 6, de la directive 95/46/CE que si la Commission a constaté que le pays tiers concerné offre un niveau de protection des données à caractère personnel qui, sans être forcément identique, est substantiellement équivalent à celui garanti au sein de l’UE en vertu de la directive lue à la lumière de la charte des droits fondamentaux. S’agissant spécifiquement de la décision sur la sphère de sécurité, la Cour a conclu qu’elle avait été adoptée sans que la Commission ait constaté un nombre suffisant de limitations en ce qui concerne l’accès par les autorités publiques américaines aux données transférées sur la base de cette décision et l’existence d’une protection juridique efficace contre de telles ingérences. En particulier, la Cour a précisé qu’il y a lieu de considérer que la législation permettant aux autorités publiques d’avoir accès au contenu de communications électroniques de manière généralisée porte atteinte au contenu essentiel du droit fondamental au respect de la vie privée. La Cour a en outre confirmé que même si une décision concernant le caractère adéquat du niveau de protection avait été prise au titre de l’article 25, paragraphe 6, de la directive 95/46/CE, les autorités chargées de la protection des données (DPA) dans les États membres restent investies des pouvoirs et de l’obligation de s’assurer, en toute indépendance, que les règles relatives aux transferts de données vers un pays tiers sont conformes aux exigences fixées dans la directive 95/46/CE lue à la lumière des articles 7, 8 et 47 de la charte des droits fondamentaux. La Cour a toutefois également rappelé qu’elle seule dispose du pouvoir d’annuler un acte de l’UE tel qu’une décision de la Commission concernant le caractère adéquat du niveau de protection.

Afin de faciliter ces flux de données tout en assurant un niveau élevé de protection des données à caractère personnel, la Commission a reconnu, par l’adoption de la décision de la Commission 2000/520/CE du 26 juillet 2000, la pertinence de la protection assurée par les principes de la sphère de sécurité (ci-après: «la décision “sphère de sécurité”»). Dans cette décision, qui se fonde sur l’article 25, paragraphe 6, de la directive 95/46/CE, la Commission avait reconnu que les «principes de la "sphère de sécurité" relatifs à la protection de la vie privée» et les «questions souvent posées» («Frequently asked questions» — FAQ) publiées par le Department of Commerce des États-Unis assurent un niveau adéquat de protection pour le transfert de données à caractère personnel à partir de l’UE. Les données à caractère personnel pouvaient ainsi être transférées librement des États membres de l’UE vers des entreprises établies aux États-Unis qui adhéraient à ces principes, malgré l’absence d’un instrument général régissant la protection des données aux États-Unis. Le fonctionnement de l’accord sur la sphère de sécurité se fondait sur les engagements et l’autocertification des entreprises qui y avaient adhéré. L’adhésion aux principes de la sphère de sécurité et au FAQ est volontaire, mais en vertu de la législation américaine, les règles y afférentes deviennent contraignantes dès lors qu'une entreprise y adhère, sous le contrôle de la Federal Trade Commission (FTC, Commission fédérale du commerce).

Les transferts de données à caractère personnel sont un élément essentiel de la relation transatlantique. L’UE et les États-Unis sont le principal partenaire commercial l’un de l’autre, et les transferts de données font de plus en plus partie intégrante de leurs échanges.

Le groupe de travail «Article 29» a fait savoir que si aucune solution adéquate n’est trouvée avec les autorités américaines d’ici fin janvier 2016 et en fonction de l’évaluation des outils alternatifs pour les transferts de données, les DPA prendront toutes les mesures jugées nécessaires et appropriées, y compris des mesures coercitives coordonnées.

Enfin, le groupe de travail «Article 29» a souligné que la recherche de solutions durables permettant d’appliquer l’arrêt de la Cour relève de la responsabilité conjointe des DPA, des institutions de l’UE, des États membres et des entreprises. Il a en particulier vivement encouragé les entreprises à envisager de mettre en place toute solution juridique et technique permettant d’atténuer les risques éventuels qu’elles rencontrent lors du transfert de données.

La présente communication est sans préjudice des obligations incombant aux DPA d’examiner la légalité de ces transferts en toute indépendance et des pouvoirs dont ils sont investis à cette fin. Elle ne fixe aucune règle contraignante et respecte pleinement la compétence dont sont investies les juridictions nationales d’interpréter le droit applicable et, le cas échéant, de saisir la Cour de justice en vue d’obtenir une décision préjudicielle. La présente communication ne peut être utilisée aux fins de faire valoir un quelconque droit légal individuel ou collectif.

2. Autres bases possibles pour les transferts transatlantiques de données à caractère personnel

Les règles concernant les transferts internationaux de données qui sont fixées dans la directive 95/46/CE s’appuient sur une distinction claire entre les transferts vers des pays tiers garantissant un niveau adéquat de protection (article 25 de la directive), d’une part, et les transferts vers des pays tiers qui n’offrent pas un tel niveau de protection (article 26 de la directive), d’autre part.

L’arrêt Schrems examine les conditions dans lesquelles, en vertu de l’article 25, paragraphe 6, de la directive 95/46/CE, la Commission peut constater qu’un pays tiers assure un niveau de protection adéquat.

Lorsqu’il appert que le pays tiers vers lequel les données à caractère personnel doivent être exportées en provenance de l’UE n’offre pas ce niveau de protection adéquat, l’article 26 de la directive 95/46/CE prévoit un nombre de motifs alternatifs sur la base desquels les transferts peuvent néanmoins avoir lieu. Des transferts peuvent en particulier être exécutés lorsque l’entité chargée de déterminer les finalités et les moyens du traitement de données à caractère personnel (le «responsable du traitement»):

offre des garanties suffisantes, au sens de l’article 26, paragraphe 2, de la directive 95/46/CE, au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes, ainsi qu’à l’égard de l’exercice des droits correspondants. Ces garanties peuvent notamment être offertes au moyen de clauses contractuelles appropriées liant l’exportateur et l’importateur des données (voir points 2.1 et 2.2 ci-dessous). Il peut notamment s'agir de CCT émises par la Commission et, en ce qui concerne les transferts entre les différentes entités d’un groupe multinational, de REC autorisées par les DPA; ou

se fonde sur l’une des dérogations expressément énumérées à l'article 26, paragraphe 1, points a) à f), de la directive 95/46/CE (voir point 2.3 ci-dessous).

Par comparaison avec les décisions concernant le caractère adéquat du niveau de protection qui sont prises après avoir évalué globalement le système d’un pays tiers donné et qui peuvent, en principe, couvrir tous les transferts vers ce système, ces autres bases possibles pour les transferts ont à la fois un champ d’application plus limité (puisqu’elles ne s’appliquent qu’à des flux de données spécifiques) et une couverture plus large (puisqu’elles ne se limitent pas forcément à un pays spécifique). Elles concernent les flux de données d'entités particulières qui ont décidé de recourir à l’une des possibilités offertes par l’article 26 de la directive 95/46/CE. De plus, dès lors qu'ils fondent leurs transferts sur ces motifs et ne s'appuient donc pas sur une décision de la Commission concernant le caractère adéquat du niveau de protection, il appartient aux exportateurs et aux importateurs de données de veiller à ce que les transferts soient conformes aux exigences de la directive.

2.1. Solutions contractuelles

Comme le souligne le groupe de travail «Article 29», afin d’offrir un niveau de protection adéquat au sens de l’article 26, paragraphe 2, de la directive 95/46/CE, des clauses contractuelles «doivent compenser, de manière satisfaisante, l’absence d’un niveau général adéquat de protection, en incluant les éléments essentiels de protection manquants dans une situation particulière donnée». Afin de faciliter l’utilisation de ces instruments lors de transferts internationaux, la Commission a approuvé, conformément à l’article 26, paragraphe 4, de la directive, quatre séries de CCT qui sont réputées satisfaire aux exigences de l’article 26, paragraphe 2, de la directive. Deux séries de clauses types se rapportent aux transferts entre responsables de traitement, les deux autres concernant les transferts entre un responsable de traitement et un sous-traitant agissant selon les instructions du premier. Chacune de ces séries de clauses types énonce les obligations respectives des exportateurs et des importateurs de données. Celles-ci prévoient des obligations concernant, entre autres, les mesures de sécurité, les informations à communiquer à la personne concernée en cas de transfert de données sensibles, la notification à l’exportateur des données de demandes d’accès formulées par des autorités répressives des pays tiers et de tout accès accidentel ou non autorisé, et les droits dont disposent les personnes concernées à l'égard de leurs données à caractère personnel en ce qui concerne leur accès, leur rectification et leur effacement, ainsi que les règles d’indemnisation de la personne concernée en cas de dommage découlant d’une violation par l’une des parties aux CCT. Les modèles types requièrent également que les personnes concernées dans l’UE aient la possibilité de faire valoir devant un DPA et/ou une juridiction de l’État membre dans lequel l’exportateur des données est établi les droits que leurs confèrent clauses contractuelles en tant que tiers bénéficiaires. Ces droits et obligations doivent être fixés dans des clauses contractuelles, car, contrairement à la situation où la Commission a fait une constatation concernant le caractère adéquat du niveau de protection, il n’est pas possible de présumer que l’importateur de données dans le pays tiers est soumis à un système adéquat de contrôle et de bonne exécution des règles en matière de protection des données.

Les décisions de la Commission étant obligatoires dans tous leurs éléments dans les États membres, l’intégration des CCT dans un contrat signifie que les autorités nationales sont, en principe, soumises à l’obligation de les accepter. Elles ne peuvent dès lors refuser le transfert des données vers un pays tiers en se fondant uniquement sur l’argumentation que ces CCT n’offrent pas suffisamment de garanties. Leur pouvoir d’examiner ces clauses à la lumière des exigences énoncées par la Cour dans l’arrêt Schrems n’en est pas diminué pour autant. En cas de doutes, elles doivent saisir une juridiction nationale, laquelle peut, à son tour, se tourner vers la Cour de justice pour obtenir une décision préjudicielle. Si, dans la plupart des législations des États membres transposant la directive 95/45/CE, il n'existe pas d’obligation d’obtenir une autorisation nationale préalable pour procéder au transfert, certains États membres maintiennent toutefois un système de notification ou d’autorisation préalable pour l’utilisation des CCT. Dans pareille situation, le DPA national doit comparer les clauses réellement contenues dans le contrat avec les CCT et s’assurer qu’aucune modification n’y a été apportée. Si les clauses sont utilisées sans modification, l’autorisation est en principe automatiquement accordée. Comme expliqué ci-dessous (voir point 2.4), cela n’affecte en rien les mesures supplémentaires que l’exportateur de données pourra devoir prendre, en particulier sur la base des informations qu’il reçoit de l’importateur de données concernant les changements apportés au système juridique du pays tiers qui sont susceptibles de le mettre dans l’impossibilité de s’acquitter des obligations lui incombant en vertu du contrat. Lors de l’application des CCT, tant les exportateurs que les importateurs de données (ces derniers en vertu du contrat auquel ils sont parties) relèvent du contrôle des DPA.

L’adoption des CCT n’interdit pas aux entreprises de se fonder sur d’autres instruments tels que des accords contractuels ponctuels afin de démontrer que les modalités de leurs transferts offrent des garanties suffisantes au sens de l’article 26, paragraphe 2, de la directive 95/46/CE. Conformément à l’article 26, paragraphe 2, de la directive, ces transferts doivent être approuvés individuellement par les autorités nationales. Certains DPA ont également développé des orientations dans ce domaine, notamment sous la forme de contrats standardisés ou de règles détaillées à suivre pour la rédaction des clauses de transferts de données. La plupart des contrats actuellement utilisés par les entreprises en vue d’exécuter leurs transferts internationaux de données reposent toutefois sur les CCT approuvées par la Commission.

2.2. Transferts intragroupes