1.TROISIÈME EXAMEN ANNUEL — CONTEXTE, PRÉPARATION ET PROCÉDURE

Le 12 juillet 2016, la Commission a adopté une décision (ci-après la «décision d’adéquation») dans laquelle elle constatait que le bouclier de protection des données UE-États-Unis (ci-après le «bouclier de protection des données») assure un niveau de protection adéquat des données à caractère personnel transférées depuis l’Union européenne vers des organisations établies aux États‑Unis. La décision d’adéquation exige notamment que la Commission effectue un examen annuel de tous les aspects du fonctionnement du bouclier et que sur cette base, elle établisse un rapport public à présenter au Parlement européen et au Conseil.

Le premier examen annuel a eu lieu en septembre 2017 à Washington et en octobre 2017, la Commission a adopté son rapport au Parlement européen et au Conseil, accompagné d’un document de travail des services de la Commission [SWD(2017) 344 final]. La Commission a conclu que les États-Unis continuaient d’assurer un niveau adéquat de protection des données à caractère personnel transférées de l’Union vers les États-Unis dans le cadre du bouclier de protection des données, mais a toutefois formulé dix recommandations en vue d’améliorer la mise en œuvre concrète du bouclier.

Le second examen annuel a eu lieu en octobre 2018 à Bruxelles, et en décembre 2018, la Commission a adopté son rapport au Parlement européen et au Conseil, accompagné à nouveau d’un document de travail des services de la Commission [SWD(2018) 487 final]. Les informations recueillies dans le cadre du second examen annuel ont confirmé les conclusions formulées par la Commission dans la décision d’adéquation, en ce qui concerne tant les «aspects commerciaux» du cadre (c’est-à-dire les aspects relatifs au respect par les sociétés certifiées des exigences du bouclier de protection ainsi que les questions concernant l’administration, la surveillance et le contrôle du respect de ces exigences par les autorités américaines compétentes) que les aspects liés à l’accès des autorités publiques aux données à caractère personnel transférées au titre du bouclier de protection des données.

En particulier, les mesures prises pour mettre en œuvre les recommandations formulées par la Commission à la suite du premier examen ont permis d’améliorer plusieurs aspects du fonctionnement du cadre dans la pratique. Par exemple, le ministère américain du commerce a introduit de nouveaux mécanismes pour déceler les éventuels problèmes de conformité, la commission fédérale du commerce a adopté une approche plus proactive en matière de suivi et d’exécution des obligations de mise en conformité, et le rapport du conseil de surveillance de la vie privée et des libertés civiles concernant la directive présidentielle nº 28 a été publié. Toutefois, la Commission a conclu qu’il convenait de suivre de près toute autre évolution relative à ces procédures et à ces mécanismes, étant donné que certaines de ces mesures ont été prises juste avant le second examen annuel et que certaines procédures étaient encore en cours.

En outre, bien que la fonction de médiateur dans le cadre du bouclier de protection des données soit exercée par le sous-secrétaire d’État faisant fonction et que le mécanisme du médiateur soit donc pleinement fonctionnel, la Commission a souligné l’importance de pourvoir à titre permanent le poste de médiateur du bouclier de protection des données et a en particulier invité les autorités américaines à trouver un candidat pour occuper ce poste avant le 28 février 2019.

La réunion consacrée au troisième examen annuel s’est tenue à Washington les 12 et 13 septembre 2019. Elle a été ouverte par Tiina Astola, directrice générale de la direction générale de la justice et des consommateurs de la Commission européenne, Wilbur Ross, secrétaire d’État américain au commerce, Joseph Simons, président de la commission fédérale du commerce, et Ventsislav Karadjov, vice-président du comité européen de la protection des données. Pour l’Union, l’examen a été mené par des représentants de la direction générale de la justice et des consommateurs de la Commission européenne. Huit représentants désignés par le comité européen de la protection des données ont également participé à cette réunion.

Pour les États-Unis, des représentants du ministère du commerce, du département d’État, de la commission fédérale du commerce, du ministère des transports, du bureau du directeur du renseignement national américain et du ministère de la justice, ainsi que des membres du conseil de surveillance de la vie privée et des libertés civiles ont participé à l’examen, tout comme le médiateur récemment nommé (à titre permanent, voir ci-dessous) et l’inspecteur général des services de renseignement. En outre, des représentants de deux organisations qui proposent des services indépendants de règlement des litiges dans le cadre du bouclier de protection des données, de même que l’association américaine d’arbitrage, qui est chargée de la gestion du groupe d’arbitrage du bouclier de protection des données, ont fourni des informations lors des sessions d’examen concernées. Enfin, des exposés d’organisations certifiées dans le cadre du bouclier de protection des données décrivant les mesures prises par les sociétés pour se mettre en conformité avec les exigences du cadre ont également nourri l’examen.

Pour préparer le troisième examen annuel, la Commission a recueilli des informations auprès de différents acteurs concernés [en particulier des sociétés certifiées dans le cadre du bouclier de protection des données par l’intermédiaire de leurs associations professionnelles respectives, et des organisations non gouvernementales (ONG) actives dans le domaine des droits fondamentaux et, en particulier, des droits numériques et du respect de la vie privée]. Parallèlement à la collecte de contributions écrites, la Commission a rencontré des associations industrielles et professionnelles le 9 septembre 2019, et des ONG le 11 septembre 2019.

Les conclusions de la Commission ont été étayées par des données accessibles au public, telles que des décisions de justice, des règles et procédures de mise en œuvre édictées par les autorités américaines compétentes, des rapports et études d’organisations non gouvernementales, des rapports concernant la transparence publiés par des sociétés certifiées dans le cadre du bouclier de protection des données, des rapports annuels émanant de mécanismes de recours indépendants ainsi que des rapports parus dans les médias.

Le présent rapport conclut le troisième examen annuel du fonctionnement du bouclier de protection des données. Ce rapport et le document de travail des services de la Commission qui l’accompagne [SWD(2019) 390 final] suivent la même structure que les documents relatifs aux deux examens annuels précédents. Le rapport couvre tous les aspects du fonctionnement du cadre du bouclier de protection, en s’attachant particulièrement aux éléments que la Commission a jugé nécessaire de suivre de près lors du second examen annuel.

Lors de son évaluation, la Commission a également pris en considération les évolutions intervenues au cours de l’année écoulée, notamment l’affaire relative au bouclier de protection des données en instance devant la Cour de justice de l’Union européenne. À cet égard, l’examen a permis à la Commission de recevoir des éclaircissements des autorités américaines au sujet de certains aspects spécifiques du cadre légal américain régissant la collecte d’informations provenant de services de renseignement étrangers, lesquels aspects ont été abordés dans le contexte de l’affaire Schrems II. Toutefois, une fois que la Cour aura statué sur les affaires en cours, la Commission pourra être amenée à réévaluer la situation.

2.CONSTATATIONS

Durant sa troisième année de fonctionnement, le bouclier de protection des données, auxquelles participaient plus de 5 000 entreprises au moment de la réunion consacrée à l’examen annuel, est sorti de sa phase initiale pour entrer dans une phase plus opérationnelle. Le troisième examen annuel, qui couvre à la fois les aspects commerciaux et les questions liées à l’accès des pouvoirs publics aux données à caractère personnel, a porté essentiellement sur l’expérience acquise et les leçons tirées de la mise en œuvre concrète du cadre.

Les constatations détaillées relatives au fonctionnement du cadre du bouclier de protection des données trois ans après son entrée en vigueur sont présentées dans le document de travail des services de la Commission sur le troisième examen annuel du fonctionnement du bouclier de protection des données UE-États-Unis [SWD(2019) 390 final], qui accompagne le présent rapport.

2.1.Aspects commerciaux

À la lumière des conclusions de l’examen annuel de l’année dernière, l’évaluation des aspects commerciaux effectuée par la Commission a porté en particulier sur les progrès accomplis par le ministère du commerce en ce qui concerne: i) le processus de renouvellement de la certification, ii) l’efficacité des mécanismes introduits par le ministère du commerce pour veiller de manière proactive au respect par les sociétés certifiées des principes du bouclier de protection des données (les «vérifications sur place aléatoires»), iii) les instruments mis en place pour déceler les fausses déclarations, iv) l’évolution et l’issue des mesures de répression prises par la commission fédérale du commerce en réaction aux violations du bouclier de protection des données, et v) les évolutions concernant les orientations en matière de données relatives aux ressources humaines.

En ce qui concerne le processus de renouvellement de la certification, le troisième examen annuel révèle que lorsqu’une société n’a pas achevé le processus de renouvellement de sa certification au terme du délai fixé, il est de pratique courante que le ministère du commerce lui accorde un délai de grâce d’une durée substantielle, conformément à une procédure interne. Pendant cette période (d’une durée approximative de trois mois et demi, voire plus longue dans certains cas et en fonction du moment où le ministère du commerce constate que le processus de renouvellement de la certification n’est pas terminé), la société continue de figurer dans la liste des participants «actifs» du bouclier de protection des données. Dès lors qu’une société figure dans la liste des participants au bouclier de protection des données, les obligations prévues par le cadre restent contraignantes et entièrement exécutoires. Toutefois, le fait qu’une société continue de figurer dans la liste des participants actifs au bouclier pendant une si longue période alors qu’elle n’a pas effectué le renouvellement de sa certification dans les délais impartis nuit à la transparence et à la lisibilité de la liste du bouclier de protection des données, tant pour les sociétés que pour les particuliers au sein de l’Union. En outre, une telle pratique n’encourage pas les sociétés participant au bouclier à respecter rigoureusement l’obligation de renouveler leur certification chaque année.

En ce qui concerne le suivi proactif du respect par les sociétés des principes du bouclier de protection des données, le ministère du commerce a introduit, en avril 2019, un système lui permettant de contrôler 30 entreprises par mois. La Commission se félicite du fait que le ministère du commerce procède de façon proactive, régulière et systématique, à des vérifications sur place aléatoires, ce qui est très important pour améliorer le respect global du cadre et pour déceler les cas nécessitant une action répressive de la part de la commission fédérale du commerce. Toutefois, elle note que ces vérifications sur place aléatoires tendent à se limiter à des exigences formelles, telles que l’absence de réponse de points de contact désignés ou le fait que la politique de confidentialité d’une société ne soit pas disponible en ligne. Bien qu’il s’agisse d’aspects certainement importants du respect des principes du bouclier de protection des données, ces vérifications devraient également porter sur des obligations de fond, telles que, par exemple, le respect du principe de responsabilité en cas de transfert ultérieur, et ce en faisant plein usage des instruments auxquels peut recourir le ministère du commerce au titre du cadre. Les exigences en matière de transferts ultérieurs ont été sensiblement renforcées dans le cadre du bouclier de protection des données, car le manque de garde-fous dans de telles situations compromettrait les protections garanties par le cadre. S’il convient de continuer à procéder de façon régulière et systématique à des vérifications sur place aléatoires, le respect de ces exigences davantage liées aux questions de fond est également essentiel pour la pérennité du bouclier de protection des données et devrait faire l’objet d’un suivi et d’une mise en œuvre stricts de la part des autorités américaines.