1.SECOND EXAMEN ANNUEL - FINALITÉ, PRÉPARATION ET PROCÉDURE

Le 12 juillet 2016, la Commission a adopté une décision (ci-après la «décision d’adéquation») dans laquelle elle constatait que le bouclier de protection des données UE-États-Unis (ci-après le «bouclier de protection des données») assure un niveau de protection adéquat des données à caractère personnel transférées depuis l'Union européenne vers des organisations établies aux ÉtatsUnis . La décision d’adéquation prévoit notamment un examen annuel de tous les aspects du fonctionnement du bouclier par la Commission. Le premier examen annuel a eu lieu les 18 et 19 septembre 2017 à Washington et, le 18 octobre 2017, la Commission a adopté son rapport au Parlement européen et au Conseil , accompagné d’un document de travail des services de la Commission [SWD(2017) 344 final] .

Sur la base de ses constatations tirées du premier examen, la Commission a conclu que les États-Unis continuaient d’assurer un niveau adéquat de protection des données à caractère personnel transférées de l’Union vers des organisations établies aux États-Unis dans le cadre du bouclier de protection des données. La Commission a considéré dans le même temps que la mise en œuvre concrète du cadre du bouclier de protection des données pouvait faire l’objet d’améliorations afin de veiller à ce que les garanties et garde-fous qu'il prévoit continuent de fonctionner conformément à l’intention première. À cet effet, la Commission a formulé dix recommandations.

Le présent rapport conclut le second examen annuel du fonctionnement du bouclier de protection des données. Ce rapport et le document de travail des services de la Commission qui l’accompagne [SWD(2018) 497] suivent la même structure que le premier examen annuel. Ils couvrent tous les aspects du fonctionnement du bouclier de protection des données, en tenant compte également des changements survenus l’année dernière. Un élément central de l’appréciation de la Commission a été la mise en œuvre de ses recommandations tirées du premier examen annuel.

Dans le cadre de la préparation du second examen annuel, la Commission a collecté des informations auprès de différents acteurs [en particulier des sociétés certifiées dans le cadre du bouclier de protection des données par l’intermédiaire de leurs associations professionnelles respectives, et des organisations non gouvernementales (ONG) actives dans le domaine des droits fondamentaux et, en particulier, des droits numériques et du respect de la vie privée], ainsi qu’auprès des autorités américaines compétentes en la matière et associées à la mise en œuvre du cadre.

La réunion consacrée au second examen annuel s’est tenue à Bruxelles les 18 et 19 octobre 2018. Elle a été ouverte par Věra Jourová, commissaire européenne pour la justice, les consommateurs et l'égalité des genres, Wilbur Ross, secrétaire d’État américain au commerce, Joseph Simons, président de la commission fédérale du commerce, et Andrea Jelinek, présidente du comité européen de la protection des données. L’examen a été mené, pour l’Union, par des représentants de la direction générale de la justice et des consommateurs de la Commission européenne. La délégation de l’UE comprenait également sept représentants désignés par le comité européen de la protection des données (l’organe indépendant qui réunit des représentants des autorités nationales chargées de la protection des données des États membres de l’UE ainsi que le contrôleur européen de la protection des données).

Pour les États-Unis, des représentants du ministère du commerce, du département d’État, de la commission fédérale du commerce, du ministère des transports, du bureau du directeur du renseignement national américain, du ministère de la justice ainsi que des membres du conseil de surveillance de la vie privée et des libertés civiles ont participé à l’examen, tout comme le médiateur faisant fonction et l’inspecteur général des services de renseignement. En outre, des représentants d’une organisation qui propose des services indépendants de règlement des litiges dans le cadre du bouclier de protection des données et l’Association américaine d’arbitrage ont fourni des informations lors des sessions d’examen concernées. Enfin, l’examen a pu compter sur les exposés d’organisations certifiées dans le cadre du bouclier de protection des données, qui ont expliqué comment les sociétés se mettent en conformité avec les exigences du cadre.

Les conclusions de la Commission ont en outre été alimentées par une étude commandée par la Commission et des données accessibles au public, telles que des décisions de justice, des règles et procédures de mise en œuvre édictées par les autorités américaines compétentes, des rapports et études d’organisations non gouvernementales, des rapports concernant la transparence publiés par des sociétés certifiées dans le cadre du bouclier de protection des données, des rapports annuels émanant de mécanismes de recours indépendants ainsi que des rapports parus dans les médias.

L’examen de cette année s’inscrivait dans le contexte des problèmes liés à la confidentialité des données, qui acquièrent de plus en plus une dimension mondiale, comme en témoigne l’affaire Facebook/Cambridge Analytica. Tant l’Union européenne que les États-Unis sont conscients des défis similaires auxquels ils sont confrontés lorsqu'il s’agit de protéger les données à caractère personnel. Lors de l’examen, les deux parties ont souligné la nécessité de s’attaquer à ces violations des données à caractère personnel, notamment au travers des actions répressives énergiques de l’autorité de protection des données de l’UE et de la commission fédérale du commerce des États-Unis.

Le rapport de la Commission tient aussi compte du débat en cours sur la législation fédérale en matière de respect de la vie privée aux États-Unis. La convergence entre nos deux systèmes sur le long terme renforcerait les bases sur lesquelles le cadre du bouclier de protection des données a été développé.

2.CONSTATATIONS ET CONCLUSIONS

Le second examen annuel a couvert à la fois les «aspects commerciaux» du cadre du bouclier de protection des données et les questions relatives à l’accès des autorités aux données à caractère personnel.