RAPPORT DE LA COMMISSION AU PARLEMENT EUROPÉEN ET AU CONSEIL

sur le premier examen annuel du fonctionnement du bouclier de protection des données UE-États-Unis

1.PREMIER EXAMEN ANNUEL - FINALITÉ, PRÉPARATION ET PROCÉDURE

Dans sa décision du 12 juillet 2016 (ci-après la «décision d’adéquation»), la Commission a considéré que le bouclier de protection des données UE-États-Unis (ci-après le «bouclier de protection des données») assure un niveau de protection adéquat des données à caractère personnel transférées depuis l'Union européenne vers des organisations établies aux États‑Unis.

Le bouclier de protection des données reflète les principes et exigences établis par la Cour de justice de l’Union européenne dans l’arrêt qu'elle a rendu dans l’affaire Schrems, par lequel elle a invalidé l'ancien cadre de la sphère de sécurité. Il apporte un certain nombre d’éléments nouveaux par rapport à la sphère de sécurité, qui renforcent la protection des données à caractère personnel qui sont transférées vers les États-Unis. Figurent parmi ces éléments l’imposition d'obligations plus strictes aux entreprises certifiées dans le cadre du bouclier de protection des données, par exemple en ce qui concerne les limitations quant à la période pendant laquelle une entreprise peut conserver des données à caractère personnel (le principe dit de la «conservation des données») ou les conditions dans lesquelles les données peuvent être partagées avec des tiers en dehors du cadre (le principe dit de la «responsabilité quant aux transferts ultérieurs»). Il prévoit également un suivi plus régulier et rigoureux de la part du ministère américain du commerce et renforce considérablement les possibilités de recours des particuliers de l’UE. En outre, le bouclier de protection des données s'appuie sur des observations et garanties écrites précises formulées par le gouvernement américain selon lesquelles l'accès des autorités publiques à des données à caractère personnel transférées dans le cadre du bouclier de protection des données pour les besoins de la sécurité nationale, de l'intérêt public ou du respect des lois fait l’objet de limitations et de garanties claires. À cet effet, il crée aussi un mécanisme de recours complètement nouveau, à savoir le mécanisme du médiateur.

La Commission s’est engagée à évaluer son constat d’adéquation chaque année et, à cette fin, procède à un examen annuel du fonctionnement du bouclier de protection des données. Le premier examen annuel du fonctionnement du bouclier de protection des données se conclut par le présent rapport. L’examen a porté sur tous les aspects du bouclier de protection des données, c’est-à-dire la mise en œuvre, la gestion, la supervision et le respect de l’application du cadre du bouclier de protection des données par les autorités et instances américaines compétentes ainsi que les questions relatives à l’accès des autorités publiques américaines aux données à caractère personnel transférées dans le cadre du bouclier de protection des données à des fins d’intérêt public, relevant en particulier de la sécurité nationale. Il a également comporté un dialogue au sujet du thème spécifique de la prise de décision automatisée, ainsi qu’une évaluation des nouveaux éléments intervenus dans le système juridique américain au cours de l’année écoulée qui pourraient avoir une incidence sur le fonctionnement du bouclier de protection des données.

Le cadre du bouclier de protection des données est entré en vigueur le 1er août 2016. Comme il s’agit de la première année de mise en application, l’examen annuel de la Commission s’attache principalement à vérifier si tous les mécanismes et procédures prévus par le cadre ‑ dont de nombreux ont été nouvellement créés ‑ – ont été pleinement mis en œuvre et fonctionnent de la manière prévue par la décision d’adéquation. En outre, la Commission a mis en particulier l’accent sur la question de savoir si, et comment, les diverses autorités américaines associées à la mise en œuvre du cadre ont bien donné suite à leurs déclarations et ont tenu leurs engagements, en ce qui concerne tant la gestion et la supervision des aspects commerciaux du bouclier de protection des données que l’accès des pouvoirs publics aux données à caractère personnel. Ce point est devenu particulièrement important depuis le changement de l’administration américaine en janvier 2017.

Dans le cadre de la préparation de l'examen annuel, la Commission a collecté des informations et retours d’information au sujet de la mise en œuvre et du fonctionnement du cadre du bouclier de protection des données auprès de différents acteurs, plus particulièrement auprès d’entreprises certifiées dans le cadre du bouclier de protection des données par l’intermédiaire de leurs associations professionnelles respectives, et auprès d’organisations non gouvernementales (ONG) actives dans le domaine des droits fondamentaux et, en particulier, des droits numériques et du respect de la vie privée. Elle a également sollicité auprès des autorités américaines associées à la mise en œuvre du cadre, et obtenu de leur part, des informations écrites, notamment des documents et du matériel utiles.

Le premier examen annuel conjoint s’est tenu les 18 et 19 septembre 2017 à Washington, DC. Inauguré par Mme Věra Jourová, commissaire européenne pour la justice, les consommateurs et l'égalité des genres, et Wilbur Ross, secrétaire d’État américain au commerce, cet examen annuel a été mené, pour le compte de l’UE, par des représentants de la direction générale de la justice et des consommateurs de la Commission européenne. La délégation de l’UE comprenait également huit représentants désignés par le groupe de travail «article 29», l’organe consultatif qui réunit les autorités nationales chargées de la protection des données (APD) ainsi que le Contrôleur européen de la protection des données.

Du côté américain, des représentants du ministère du commerce, de la Commission fédérale du commerce, du ministère du transport, du département d’État, du bureau du directeur du renseignement national et du ministère de la justice ont participé à cet examen, ainsi que le médiateur faisant fonction, un membre du conseil de surveillance de la vie privée et des libertés civiles (PCLOB) et du bureau de l’inspecteur général des services de renseignement. De plus, des représentants d’organisations qui proposent des services indépendants de règlement des litiges dans le cadre du bouclier de protection des données, l’Association américaine d’arbitrage en sa qualité d’administratrice du panel d’arbitrage du bouclier de protection des données et quelques entreprises certifiées dans le cadre dudit bouclier ont apporté leurs contributions au cours de l’examen annuel.

La réflexion relative à l’examen annuel a en outre été alimentée par des données accessibles au public, telles que des décisions de justice, des règles et procédures de mise en œuvre édictées par les autorités américaines compétentes, des rapports et études d’ONG, des rapports concernant la transparence publiés par des entreprises certifiées dans le cadre du bouclier de protection des données, des articles de presse et autres informations parues dans les médias.

2.CONSTATATIONS, CONCLUSIONS ET RECOMMANDATIONS GENERALES

L’examen annuel a démontré que les autorités américaines ont mis en place les structures et procédures nécessaires au bon fonctionnement du bouclier de protection des données. La procédure de certification a été gérée d’une manière globalement satisfaisante, plus de 2 400 entreprises ayant été certifiées à ce jour. Les autorités américaines ont mis en place les mécanismes et procédures de traitement des réclamations et de surveillance de l’application afin de préserver les droits individuels. En font également partie les nouvelles voies de recours supplémentaires à la disposition des particuliers de l’Union, tels que le panel d’arbitrage et le mécanisme du médiateur. En ce qui concerne ce dernier, un médiateur faisant fonction a été désigné après le changement d’administration en janvier 2017, tandis que la nomination d'un médiateur permanent est toujours en suspens. La coopération avec les autorités européennes chargées de la protection des données a été renforcée. Pour ce qui est de l’accès des autorités publiques aux données à caractère personnel à des fins de sécurité nationale, les garanties américaines pertinentes restent en place, notamment celles basées sur la directive présidentielle n° 28 émise en 2014, qui expose les limitations et garanties en ce qui concerne l’utilisation de données à caractère personnel par les autorités nationales de sécurité, indépendamment de la nationalité de la personne concernée. Dans ce contexte, il convient également de faire remarquer que l’article 702 de la loi américaine sur la surveillance et le renseignement étranger (FISA) expirera le 31 décembre 2017 et que des propositions de réforme sont en cours de discussion au Congrès américain.

Les constatations factuelles détaillées relatives au fonctionnement de tous les aspects du cadre du bouclier de protection des données un an après son entrée en service sont présentées dans le document de travail des services de la Commission sur l’examen annuel du fonctionnement du bouclier de protection des données UE-États-Unis [SWD(2017) 344 final], qui accompagne le présent rapport.