Le 15 décembre 2015, le Parlement européen et le Conseil sont arrivés à un accord politique sur le train de réformes et ont ainsi mené à bien une des actions clés énoncées dans la communication de 2013.

Le train de réformes comprend deux instruments juridiques, un règlement général sur la protection des données («le règlement»), qui établit un cadre européen commun pour la protection des données, et une directive sur la protection des données dans le domaine de la coopération policière et judiciaire («la directive sur la police») . En proposant un règlement qui sera directement applicable dans les États membres, la Commission entendait établir une norme commune de protection des données pour tous, qui éliminerait ainsi les niveaux de protection divergents entre les États membres. De même, la directive sur la police établira, pour la toute première fois, un corps commun de règles au niveau de l’UE, tout en tenant compte des spécificités des traditions judiciaires et policières des États membres.

Afin de saisir les opportunités offertes par un monde numérique de plus en plus interconnecté et de relever les défis qu'il pose, la Commission européenne a présenté son train de réformes sur la protection des données («la réforme») en janvier 2012. En renforçant les règles internes de l’UE et en permettant aux individus de mieux contrôler les données à caractère personnel qui les concernent, la réforme vise à accroître la confiance dans l’économie numérique, que ces données soient traitées dans un seul État membre, dans l’UE ou dans des pays tiers tels que les États-Unis.

Des initiatives importantes ont vu le jour par ailleurs, qui ont conduit à des changements significatifs dans l’ordre juridique des États-Unis. Le 17 janvier 2014, le président Obama a annoncé des réformes concernant les activités de renseignements d’origine électromagnétique, qui ont ensuite été inscrites dans la directive présidentielle n° 28 (PPD-28). Fait important, ces réformes prévoyaient d'étendre certaines mesures de protection de la vie privée aux personnes n'ayant pas la nationalité américaine et de recentrer la collecte de données, jusque-là massive, pour privilégier une collecte et un accès ciblés. La Commission a accueilli favorablement ces nouvelles orientations, estimant qu'elles constituaient un pas important dans la bonne direction. Ce processus de réforme a également contribué à alimenter les discussions avec les États-Unis sur le «bouclier vie privée UE-États-Unis». Depuis lors, d’autres modifications ont été apportées. Par exemple, en juin 2015, les États-Unis ont adopté la loi sur la sécurité intérieure, la «Freedom Act», qui a modifié certains programmes de surveillance américains, renforcé le contrôle par le pouvoir judiciaire et accru la transparence publique quant à leur utilisation. Enfin, le 10 février 2016, le Congrès américain a adopté la «Judicial Redress Act» (loi sur le recours juridictionnel), promulgué par le président Obama le 24 février 2016.

Ces résultats seront bénéfiques aux relations transatlantiques et devraient redonner aux Européens confiance dans l’économie numérique tout en renforçant leurs droits fondamentaux. Elles doteront également l’UE et ses États membres d’un cadre juridique plus solide pour la protection des données, qui conduira à une plus grande intégration du marché intérieur, en particulier le marché unique numérique, et permettra à l’UE d’intensifier ses efforts pour promouvoir et développer des normes internationales de protection de la vie privée et des données à caractère personnel.

Depuis lors, la Commission a travaillé en ce sens. Elle a accéléré les négociations sur l’accord-cadre, qui a été paraphé par les parties le 8 septembre 2015. Les discussions interinstitutionnelles sur le train de réformes de la protection des données se sont intensifiées, aboutissant à un accord politique entre le Conseil et le Parlement européen le 15 décembre 2015. En ce qui concerne les transferts transatlantiques de données dans le domaine commercial, la Commission a entamé des discussions avec les États-Unis pour renforcer la sphère de sécurité, en janvier 2014. L’invalidation de la décision sur la sphère de sécurité par la Cour de justice, dans l’arrêt Schrems du 6 octobre 2015, a confirmé la nécessité de disposer d’un nouveau cadre et a donné des indications sur les conditions que ce dernier devrait remplir. À la suite de cette décision, le 6 novembre 2015, la Commission a publié des orientations pour les entreprises, qui présentaient des outils alternatifs permettant de poursuivre les transferts de données à caractère personnel vers les États-Unis. Le 2 février 2016, un accord politique a été conclu au sujet d’un nouveau cadre pour les flux transatlantiques de données, le «bouclier vie privée UE-États-Unis», en remplacement de l'accord précédent.

Ces objectifs ont été réaffirmés dans les orientations politiques de la Commission Juncker : «La protection des données est un droit fondamental revêtant une importance particulière à l’ère numérique. En plus de finaliser rapidement les travaux législatifs sur les règles communes de l'Union en matière de protection des données, nous devons aussi faire reconnaître ce droit dans le cadre de nos relations extérieures. À la suite des révélations récentes concernant une surveillance de masse, nos partenaires proches que sont les ÉtatsUnis vont devoir nous convaincre que les arrangements concernant la "sphère de sécurité" sont réellement sûrs, s’ils veulent qu'ils soient maintenus. Les États-Unis doivent également garantir que tous les citoyens de l'UE, qu’ils résident ou non aux États-Unis, ont le droit de faire valoir leurs droits à la protection des données devant les tribunaux américains. Ce point sera essentiel pour rétablir la confiance dans les relations transatlantiques.»

(iii) renforcer les garanties en matière de protection des données pour la coopération entre les services répressifs, notamment par la conclusion des négociations sur l’accord-cadre sur la protection des données entre l’UE et les États-Unis. Ce dernier énonçait également l’objectif d’obtenir des engagements de la part des États-Unis concernant des droits individuels opposables, notamment la possibilité d'exercer des recours juridictionnels, en particulier après l’adoption de la «Judicial Redress Act» (loi sur le recours juridictionnel) étendant aux citoyens de l’UE certains droits inscrits dans la loi de 1974 sur la protection de la vie privée (ci-après, «Privacy Act») qui, à l’époque, ne pouvaient être invoqués que par les citoyens et résidents permanents aux États-Unis.

(ii) rendre la sphère de sécurité plus sûre, sur la base des 13 recommandations énoncées dans la communication sur la sphère de sécurité; et

En réaction à ces révélations, le 27 novembre 2013, la Commission a publié une communication visant à rétablir la confiance dans les flux de données entre l'UE et les États Unis, qui présentait un plan d’action pour redonner confiance dans les transferts de données, dans l'intérêt de l’économie numérique, de la protection des droits des citoyens européens et des relations transatlantiques au sens plus large. Pour atteindre cet objectif, la communication prévoyait les mesures clés suivantes:

Le transfert et l’échange de données à caractère personnel sont un aspect essentiel sur lequel reposent les liens étroits que l’Union européenne (UE) et les États-Unis entretiennent dans le secteur commercial ainsi que dans le domaine des services répressifs. Ces échanges de données requièrent un haut niveau de protection des données et l’adoption de garanties adéquates.

Un solide partenariat transatlantique entre l’Union européenne et les États-Unis est aujourd’hui plus vital que jamais. Nous partageons des valeurs communes, nous poursuivons des objectifs politiques et économiques communs, et nous coopérons étroitement dans la lutte contre les menaces communes pour notre sécurité. L’ampleur de nos échanges commerciaux et notre coopération étroite dans les affaires internationales témoignent de la force durable de notre relation.

2.2 Qu’est-ce qui a changé ?

Le règlement actualise, modernise et, dans certains cas, renforce les principes de la protection des données énoncés dans la directive sur la protection des données de 1995 pour garantir le droit à la vie privée. Il est axé sur le renforcement des droits des personnes, l’approfondissement du marché intérieur européen, un contrôle plus strict du respect des règles, la rationalisation des transferts internationaux de données à caractère personnel et l'établissement de normes globales de protection de données. Les règles sont conçues pour garantir la protection des données à caractère personnel des citoyens européens – quel que soit le lieu où celles-ci sont envoyées, traitées ou stockées – même en dehors de l’UE, comme c'est souvent le cas dans le monde numérique. Il est particulièrement utile de souligner certaines caractéristiques de la réforme.

Premièrement, le champ d’application territorial : le règlement indique clairement qu’il s’applique également aux sociétés établies dans un pays tiers si elles offrent des biens et services, ou observent le comportement des personnes, dans l’Union européenne. Les entreprises basées à l’extérieur de l’UE devront appliquer les mêmes règles que les entreprises basées au sein de l’UE, de sorte à garantir une protection complète des droits des citoyens européens. Cela met également les entreprises européennes et étrangères sur un pied d’égalité, évitant ainsi des écarts de compétitivité lorsque les entreprises étrangères exercent des activités dans l’UE ou ciblent les consommateurs sur son territoire.

Deuxièmement, un contrôle plus strict de l'application des règles de protection des données : le règlement prévoit un régime de sanctions efficace en harmonisant les pouvoirs des autorités nationales chargées de la protection des données (DPA). Ces dernières seront habilitées à imposer des amendes allant jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial de l’entreprise. Ce pouvoir d’imposer des sanctions dissuasives en cas de non-respect des règles de protection des données, conjugué avec le champ d’application territorial mentionné ci-dessus, fera en sorte que les entreprises exerçant des activités dans l’UE auront tout intérêt à se conformer à la législation de l’UE. Les nouvelles règles introduisent également un régime de responsabilité plus clair et plus sévère pour les sous-traitants et les responsables du traitement.

Troisièmement, des règles harmonisées pour la coopération des services répressifs : la directive sur la police appliquera les règles et principes généraux de la protection des données aux traitements de données à caractère personnel effectués par les autorités policières et judiciaires dans les États membres en matière de répression pénale. Il s'agit notamment de règles harmonisées pour les transferts internationaux de données à caractère personnel dans le cadre de la coopération en matière de répression pénale. La nouvelle directive élèvera le niveau de protection des personnes physiques et garantira que les données relatives aux victimes, aux témoins et aux suspects sont dûment protégées dans le cadre des enquêtes criminelles ou des actions répressives. Le contrôle est assuré par les autorités nationales indépendantes de protection des données et les personnes doivent bénéficier de recours judiciaires effectifs. En parallèle, des lois plus harmonisées permettront à la police et aux autorités judiciaires de coopérer plus efficacement, entre États membres ainsi qu’entre ces derniers et leurs partenaires internationaux, pour lutter plus efficacement contre la criminalité et le terrorisme. Il s'agit là d'un volet crucial du programme européen en matière de sécurité.

Quatrièmement, des règles strictes pour des transferts internationaux plus sûrs : le règlement et la directive sur la police définissent des règles transparentes, détaillées et complètes pour les transferts de données à caractère personnel vers des pays tiers. Elles couvrent toutes les formes de transferts internationaux, qu’ils soient effectués à des fins commerciales ou pénales, entre des personnes privées ou des pouvoirs publics, ou entre autorités publiques et entreprises privées. Si la structure des règles sur les transferts internationaux reste essentiellement la même que dans l’actuelle directive sur la protection des données (décisions constatant un niveau de protection adéquat, clauses contractuelles types et règles d’entreprise contraignantes, ainsi que certaines dérogations à l’interdiction générale de transférer des données à caractère personnel hors de l’UE), la réforme clarifie et simplifie ces règles de plusieurs manières tout en réduisant les formalités administratives. Elle ajoute également quelques nouveaux outils pour les transferts internationaux.

Le règlement renforce en outre les pouvoirs des autorités de l’UE chargées de la protection des données, notamment en ce qui concerne les transferts internationaux. Par rapport à l'actuelle directive sur la protection des données, les dispositions relatives à l’indépendance, aux fonctions et aux pouvoirs de ces autorités sont davantage détaillées et considérablement accrues. Cela inclut expressément le pouvoir de suspendre les flux de données vers un destinataire se trouvant dans un pays tiers ou à une organisation internationale. La directive sur la police contient des dispositions similaires en ce qui concerne les transferts internationaux et les pouvoirs des autorités de protection des données à l'égard du secteur répressif.

Plus précisément, en ce qui concerne les règles relatives aux décisions de la Commission constatant un niveau de protection adéquat, le règlement prévoit un catalogue détaillé et précis des éléments dont la Commission doit tenir compte lorsqu’elle évalue le niveau de protection des données prévu dans l’ordre juridique d’un pays tiers. Ce processus consiste en une évaluation globale que la Commission doit entreprendre et qui devrait couvrir – un élément qui est également conforme à l’arrêt Schrems – les règles régissant l’accès des autorités publiques d’un pays tiers aux données à caractère personnel. Une autre caractéristique essentielle de cette évaluation est que les personnes physiques jouissent d'un droit à la protection des données effectif et opposable et disposent de voies de recours administratives et judiciaires effectives.

De plus, le règlement exige expressément que la Commission réexamine périodiquement, au moins tous les quatre ans, toutes ses décisions constatant un niveau de protection adéquat, afin de rester en prise avec toutes les évolutions survenant dans un pays tiers qui pourraient avoir un impact direct, voire négatif, sur le niveau de protection dans son ordre juridique. Cette surveillance continue du niveau de protection adéquat sera un processus plus dynamique, car il impliquera également un dialogue avec les autorités du pays tiers en question.

En ce qui concerne les transferts vers des pays tiers pour lesquels il n’y a aucune décision constatant un niveau de protection adéquat, le règlement prévoit les conditions d’utilisation des autres outils de transfert, tels que les clauses contractuelles types et les règles d’entreprise contraignantes. Il ajoute également d’autres instruments pour les transferts, comme les codes de conduite agréés et les mécanismes de certification approuvés. Enfin, il clarifie la situation lorsque des dérogations sont autorisées.

2.3 La voie à suivre

La réforme de la protection des données constitue une étape essentielle pour renforcer les droits fondamentaux des citoyens à l’ère du numérique et pour faciliter les échanges commerciaux en simplifiant les règles applicables aux entreprises sur le marché unique numérique. La confiance des consommateurs dans l’Union européenne et dans les opérateurs des pays tiers stimulera l’économie numérique européenne et mondiale et lui sera donc bénéfique. Elle aura des retombées positives sur nos relations commerciales avec les États-Unis, notre premier partenaire commercial. Elle clarifiera la situation et assurera un environnement stable à l’UE et aux entreprises étrangères. De leur côté, les entreprises américaines bénéficieront de la sécurité juridique qu'apporte un espace économique intégré qui applique un ensemble uniforme de règles sur la protection des données.

Les règles communes applicables au secteur répressif garantiront aux personnes physiques une meilleure protection des données les concernant et un droit de recours effectif. En facilitant la coopération transfrontière entre les autorités policières et judiciaires des États membres, on augmentera l’efficacité des services répressifs et on créera ainsi les conditions nécessaires à une prévention plus efficace de la criminalité dans l’Union européenne. En même temps, cela permettra une coopération plus aisée avec leurs homologues des pays tiers.

L’adoption formelle du train de réformes par le Parlement européen et le Conseil devrait avoir lieu au cours du premier semestre 2016. Le règlement s’appliquera deux ans après son adoption, tandis que la directive sur la police prévoit une période de mise en œuvre de deux ans. Toutes les parties prenantes concernées, à l’intérieur et à l’extérieur de l’UE, devraient mettre la période de transition de deux ans à profit pour se préparer aux nouvelles règles. La Commission jouera son rôle. Au cours de cette période de transition, elle travaillera en étroite collaboration avec les États membres, les autorités chargées de la protection des données et les autres parties intéressées pour assurer une application uniforme des règles et promouvoir un environnement propice à leur respect.

3. Le «bouclier vie privée UE-États-Unis» : un nouveau cadre transatlantique pour les flux de données a caractère personnel

3.1 Le contexte

Afin de faciliter les flux de données à caractère personnel entre l’UE et les États-Unis, destinés aux échanges commerciaux, tout en assurant la protection de ces données, la Commission avait, en 2000, reconnu que le cadre de la «sphère de sécurité» assurait un niveau de protection adéquat. Ainsi, malgré l’absence d’une législation générale sur la protection des données aux États-Unis, les données à caractère personnel pouvaient être librement transférées à partir des États membres vers les entreprises aux États-Unis qui avaient souscrit aux principes de confidentialité qui sous-tendaient le cadre.

Dans sa communication de 2013 relative à la «sphère de sécurité», la Commission a relevé un certain nombre de faiblesses dans le fonctionnement de l'accord au fil du temps, notamment un manque de transparence des entreprises concernant leur souscription au régime et une absence d'intervention des autorités américaines pour faire respecter les principes du régime par ces sociétés. Par ailleurs, les révélations faisant état d'une surveillance, publiées plus tôt dans l’année, avaient suscité des inquiétudes quant à l’ampleur et à la portée de certains programmes de renseignements américains et au degré d’accès par les autorités publiques américaines aux données à caractère personnel des Européens, transférées dans le cadre de la «sphère de sécurité». En considération de ces éléments ainsi que d’autres, la Commission a conclu que la «sphère de sécurité» devait être revue. Dans ce contexte, elle a formulé 13 recommandations visant à renforcer et à actualiser les garanties en matière de protection des données intégrées dans ce cadre. Ces recommandations portaient sur : (i) le renforcement des principes de fond protégeant la vie privée et une plus grande transparence des politiques de confidentialité des entreprises américaines autocertifiées incorporant ces principes ; (ii) un contrôle, un suivi et une mise en œuvre améliorés et effectifs, par les autorités américaines, du respect des principes par les sociétés ; (iii) la mise en place de mécanismes de règlement des litiges abordables pour les plaintes des particuliers; et (iv) la nécessité que le recours à la dérogation pour raison de sécurité nationale ou de respect de la loi, prévue dans la décision de 2000 sur la sphère de sécurité, soit limité à ce qui est strictement nécessaire et proportionné.

Sur la base de ces 13 recommandations, la Commission a engagé des discussions avec les autorités américaines en janvier 2014. L’invalidation ultérieure de la décision sur la sphère de sécurité, le 6 octobre 2015, par la Cour de justice a confirmé la nécessité d’adopter un nouveau cadre plus solide pour les flux transatlantiques de données commerciales. Si la décision de la Cour s’appuie sur les recommandations de la Commission de 2013, elle souligne en outre la nécessité d'instaurer des limites, des garanties et des mécanismes de contrôle juridictionnel afin d’assurer la protection continue des données à caractère personnel des citoyens européens, y compris lorsque les données sont accessibles et utilisées par les pouvoirs publics aux fins de la sécurité nationale, de l’intérêt public ou du respect des lois.