Les flux de données sont mondiaux. L’Union européenne (UE) est liée par les traités et la charte des droits fondamentaux de l’Union européenne, qui protège toutes les personnes sur son territoire. L’UE se doit de prendre toutes les mesures nécessaires pour garantir le respect des droits à la vie privée et à la protection des données à caractère personnel à tous les stades de traitement, y compris lors de transferts.

Depuis les révélations en 2013 d’activités de surveillance, l’UE et son partenaire stratégique, les États-Unis, ont souhaité définir un nouvel ensemble de normes reposant sur un système d’autocertification, pour le transfert à des fins commerciales aux États-Unis de données à caractère personnel depuis l’UE. Comme les autorités nationales de protection des données de l’UE, le Contrôleur européen de la protection des données (CEPD) reconnaît la nécessité de créer, alors que les flux de données sont devenus mondiaux, instantanés et imprévisibles, un cadre juridique durable régissant les transferts commerciaux de données entre l’UE et les États-Unis, qui, ensemble, constituent le plus grand partenariat commercial au monde. Toutefois, ce cadre doit refléter pleinement nos valeurs communes fondées sur les droits démocratiques et individuels, établis en ce qui concerne l’UE par le traité de Lisbonne et la charte des droits fondamentaux, et en ce qui concerne les États-Unis, par la Constitution américaine.

Le projet de Bouclier vie privée peut constituer un pas dans la bonne direction, mais, tel qu’il est actuellement formulé, il ne comprend pas, à notre avis, l’ensemble des garanties nécessaires à la sauvegarde des droits de la personne au respect de la vie privée et à la protection des données de l’UE, ni en ce qui concerne les recours judiciaires. Des améliorations significatives sont nécessaires si la Commission européenne souhaite adopter une décision d’adéquation. En particulier, l’UE devrait obtenir des assurances supplémentaires en termes de nécessité et de proportionnalité au lieu de légitimer l’accès systématique aux données transférées par les autorités américaines sur la base de critères ayant une base juridique dans le pays bénéficiaire mais pas dans l’UE, au regard des traités et des décisions de l’UE et des traditions constitutionnelles communes aux États membres.

En outre, à l’ère de l’hyperconnectivité et de la répartition des réseaux, l’autorégulation par des organismes privés et les engagements pris par des agents publics peuvent jouer un rôle à court terme mais, sur le long terme, ces actions ne seront pas suffisantes pour préserver les droits et les intérêts des personnes et pleinement répondre à leurs besoins à l’heure du tout numérique et alors même que de nombreux pays se sont maintenant dotés de règles pour la protection des données.

Par conséquent, une solution à long terme dans le dialogue transatlantique serait bienvenue et permettrait également de transposer dans la loi fédérale applicable au moins les grands principes qui sous-tendent ces droits, et de les identifier clairement et précisément, comme cela est le cas avec d’autres pays non européens qui ont été «reconnus» (selon des critères stricts) comme assurant un niveau de protection adéquat; dans son arrêt Schrems, la Cour de justice de l’Union européenne (CJUE) a qualifié ces principes de «substantiellement équivalents» aux normes applicables en vertu du droit de l’Union, et le groupe de travail «Article 29» (G29) les désigne comme contenant «l’essentiel des principes fondamentaux» relatifs à la protection des données.

Nous notons avec satisfaction la transparence accrue manifestée par les autorités américaines quant à l’utilisation de l’exception aux principes du Bouclier vie privée aux fins de l’application de la loi, de la sécurité nationale et de l’intérêt public.

Cependant, alors que la décision Sphère de sécurité (Safe Harbour) de 2000 considérait formellement que l’accès aux données pour des raisons de sécurité nationale devait être une exception, l’attention portée dans le projet de décision sur le Bouclier vie privée aux questions de l’accès, du filtrage et de l’analyse par les instances judiciaires et de renseignement des données à caractère personnel transférées à des fins commerciales indique que l’exception pourrait être devenue la règle. Le CEPD souligne en particulier qu’il ressort du projet de décision et de ses annexes que malgré la tendance récente à remplacer une surveillance générale par une surveillance plus ciblée et reposant sur une approche plus sélective, le nombre des renseignements d’origine électromagnétique (ROEM) et le volume des données transférées depuis l’UE et potentiellement recueillies et utilisées après leur transfert ainsi que pendant leur transit, peuvent demeurer élevés et donc contestables.

Même si ces pratiques peuvent également concerner les services de renseignement d’autres pays, et alors que nous nous félicitons de la transparence des autorités américaines sur cette nouvelle réalité, le projet de décision actuel pourrait légitimer cette tendance. Nous encourageons donc la Commission européenne à donner un signal fort: compte tenu des obligations qui incombent à l’UE dans le cadre du traité de Lisbonne, l’accès et l’utilisation par les pouvoirs publics de données transférées à des fins commerciales, y compris lorsque ces données sont en transit, ne devraient être possibles que dans des circonstances exceptionnelles et lorsque cela est indispensable à des fins d’intérêt public précises.

S’agissant des dispositions relatives aux transferts de données à des fins commerciales, les contrôleurs ne devraient pas avoir à changer constamment les modèles de conformité. Pourtant, le projet de décision est fondé sur le cadre juridique communautaire existant, qui sera remplacé par le règlement (UE) 2016/679 (règlement général sur la protection des données — RGPD) en mai 2018, soit moins d’un an après la mise en œuvre complète du Bouclier vie privée par les contrôleurs. Le RGPD crée et renforce les obligations des contrôleurs, lesquelles se prolongent au-delà des neuf principes établis par le Bouclier vie privée. Même si le projet devait encore être modifié, nous recommandons à la Commission européenne d’évaluer l’ensemble des perspectives par rapport à son premier rapport, d’identifier en temps opportun les mesures pertinentes susceptibles de conduire à des solutions de remplacement à long terme du Bouclier vie privée, le cas échéant par un cadre juridique solide et durable qui permettra de renforcer les relations transatlantiques.

Par conséquent, le CEPD émet des recommandations spécifiques sur le Bouclier vie privée.