1. Introduction

La protection des données à caractère personnel fait partie des fondements constitutionnels communs de l’Europe et est consacrée à l’article 8 de la charte des droits fondamentaux de l’UE. Elle occupe une place centrale dans la législation de l’UE depuis plus de vingt ans, de l’adoption de la directive sur la protection des données en 1995 (la «directive de 1995») à celle du règlement général sur la protection des données (RGPD) et de la directive «police» en 2016.

Comme l’a souligné le président Juncker dans son discours du 14 septembre 2016 sur l’état de l’Union, «[êt]re européen, c’est avoir le droit de voir ses données à caractère personnel protégées par une législation forte, une législation européenne. [...] Car en Europe, la vie privée n’est pas un vain mot. C’est une question de dignité humaine.»

La demande de protection des données à caractère personnel ne se limite toutefois pas à l’Europe. Les consommateurs du monde entier accordent une valeur de plus en plus importante au respect de leur vie privé. Les entreprises reconnaissent pour leur part qu’une forte protection de la vie privée leur offre un avantage concurrentiel dans la mesure où la confiance dans leurs services se renforce. Elles sont nombreuses, en particulier celles de dimension mondiale, à aligner leurs politiques de protection de la vie privée sur le RGPD, à la fois parce qu’elles veulent exercer leurs activités dans l’UE et parce qu’elles considèrent ce règlement comme un modèle à suivre.

De même, plusieurs pays et organisations régionales extérieurs à l’UE, de notre voisinage immédiat à l’Asie, l’Amérique latine et l’Afrique, adoptent de nouvelles législations en matière de protection des données ou actualisent leurs législations existantes afin d’exploiter les possibilités offertes par l’économie numérique mondiale et de répondre à la demande croissante d’un renforcement de la sécurité des données et de la protection de la vie privée. Bien que les approches et le niveau d’avancement législatif varient d’un pays à l’autre, il existe des indices d’une plus grande convergence vers d’importants principes en matière de protection des données, en particulier dans certaines régions du monde. Une compatibilité accrue entre les différents systèmes de protection des données faciliterait les flux internationaux de données à caractère personnel, tant à des fins commerciales que dans le cadre d’une coopération entre autorités publiques (par exemple, autorités chargées de faire appliquer la loi). L’UE doit saisir cette occasion de promouvoir ses valeurs en matière de protection des données et de faciliter les flux de données en encourageant une convergence des systèmes juridiques. Comme annoncé dans le programme de travail de la Commission, la présente communication définit donc le cadre stratégique de la Commission pour les «décisions d’adéquation» ainsi que d’autres outils applicables aux transferts de données et aux instruments internationaux de protection des données.

2. Le train de mesures de l’UE visant à réformer la protection des données - Un cadre législatif moderne conférant un haut niveau de protection aux flux internationaux de données

La réforme de la législation de l’UE en matière de protection des données qui a été adoptée en avril 2016 met en place un système qui garantit un haut niveau de protection tout en étant ouvert aux possibilités offertes par la société de l’information mondiale. En permettant aux citoyens d’exercer un contrôle accru sur leurs données à caractère personnel, la réforme renforce la confiance des consommateurs dans l’économie numérique. En harmonisant et en simplifiant l’environnement juridique, elle facilite et rend moins contraignant l’exercice des activités des entreprises nationales et étrangères dans l’UE, y compris au moyen de flux internationaux de données. L’UE allie aujourd’hui une ouverture aux flux internationaux de données au plus haut niveau de protection offert aux citoyens. Elle a le potentiel pour devenir un centre de services de données nécessitant confiance et libre circulation des données.

2.1 Un cadre européen de protection des données global, unifié et simplifié

La réforme de l’UE établit un cadre global régissant le traitement des données à caractère personnel à la fois dans les secteurs public et privé et dans les domaines répressif et du commerce (la directive «police» et le RGPD, respectivement).

En application du RGPD, les 28 législations nationales actuelles laisseront la place à un ensemble paneuropéen unique de règles à partir de mai 2018. Grâce au mécanisme de guichet unique nouvellement créé, une autorité chargée de la protection des données («APD») aura pour tâche de superviser les opérations de traitement transfrontière de données réalisées par une entreprise dans l’UE. Une interprétation cohérente des nouvelles règles sera garantie. Pour les opérations transfrontières impliquant plusieurs APD nationales, une décision unique sera adoptée de manière à apporter des solutions communes aux problèmes communs. En outre, le RGPD établit une égalité de traitement entre les entreprises de l’UE et les entreprises étrangères dans la mesure où les entreprises établies hors de l’UE devront appliquer les mêmes règles que les entreprises européennes si elles offrent des biens et des services ou surveillent le comportement de personnes dans l’Union. Une confiance accrue des consommateurs sera bénéfique à la fois pour les opérateurs commerciaux de l’UE et pour ceux de pays tiers.

La directive «police» établit des règles communes pour le traitement des données à caractère personnel des personnes impliquées dans des procédures pénales, qu’il s’agisse de suspects, de victimes ou de témoins, tout en tenant compte de la spécificité du domaine de la police et de la justice pénale. L’harmonisation des règles de protection des données dans le domaine répressif, y compris des règles relatives aux transferts internationaux, facilitera la coopération transfrontière entre les autorités policières et judiciaires, tant à l’intérieur de l’UE qu’avec les partenaires internationaux, et créera ainsi les conditions propices à une lutte plus efficace contre la criminalité. Il s’agit d'une contribution importante au programme européen en matière de sécurité.

2.2 Une panoplie d’instruments renouvelée et diversifiée pour les transferts internationaux

Depuis sa conception, la législation de l’UE en matière de protection des données a prévu plusieurs mécanismes permettant les transferts internationaux de données. Ces règles visent principalement à ce que, lorsque les données à caractère personnel d’Européens sont transférées à l’étranger, celles-ci continuent de bénéficier du même niveau de protection. Au fil des ans, ces règles ont constitué la norme applicable aux flux internationaux de données au sein de nombreuses juridictions. Si l’architecture reste substantiellement la même que celle de la directive de 1995, la réforme des règles relatives aux transferts internationaux clarifie et simplifie leur usage et introduit de nouveaux outils pour les transferts.

En vertu du droit de l’UE, le transfert de données à caractère personnel à l’étranger peut reposer sur une «décision d’adéquation» de la Commission, établissant qu'un pays tiers fournit un niveau de protection des données qui est «substantiellement équivalent» à celui garanti au sein de l’UE. Une telle décision permet la libre circulation des données à caractère personnel vers ce pays tiers sans que l’exportateur des données n'ait à fournir des garanties supplémentaires ou à obtenir une quelconque autorisation. Un catalogue précis et détaillé d’éléments que la Commission doit prendre en compte lorsqu'elle évalue le caractère adéquat de la protection d’un système étranger est à la disposition des pays ou des organisations internationales intéressés. À présent, la Commission peut aussi adopter des décisions d’adéquation dans le domaine répressif. En outre, la réforme, qui s’appuie sur les pratiques relevant de la directive de 1995, prévoit explicitement une évaluation du caractère adéquat de la protection offerte sur un territoire particulier d’un pays tiers ou dans un secteur particulier d’un pays tiers (l’«adéquation partielle»).

En l’absence de décision d’adéquation, les transferts internationaux peuvent se fonder sur plusieurs autres outils de transfert offrant des garanties appropriées en matière de protection des données. La réforme formalise et étend les possibilités d’utiliser les instruments existants tels que les clauses contractuelles types (CCT) et les règles d’entreprise contraignantes (REC). Par exemple, des CCT peuvent à présent être insérées dans un contrat conclu entre des sous-traitants de l’UE et des sous-traitants d’un pays tiers (les clauses types «de sous-traitant à sous-traitant»). Pour ce qui est des REC, qui étaient limitées jusqu’à présent à des arrangements entre entités du même groupe d’entreprises, elles peuvent désormais être utilisées par un ensemble d’entreprises qui participent à une activité économique conjointe, mais ne font pas nécessairement partie du même groupe. La réforme réduit également les contraintes administratives en supprimant l’exigence générale de notification préalable aux APD de transferts de données vers un pays tiers sur la base de CCT ou de REC, ainsi que l’exigence générale d’autorisation de tels transferts par ces APD. Il s’agit d’une simplification importante du système de transferts internationaux de données de l’UE, car l’existence de ces exigences, qui varient actuellement d'un État membre à l’autre, est souvent perçue comme un obstacle significatif aux flux de données, en particulier pour les petites entreprises.

En outre, la réforme introduit de nouveaux instruments pour les transferts internationaux. Les responsables du traitement et les sous-traitants pourront utiliser, à certaines conditions, des codes de conduite ou des mécanismes de certification approuvés (tels que les labels ou les marques de protection de la vie privée) afin d’établir des «garanties appropriées». Cela devrait permettre l’élaboration de solutions plus adaptées aux transferts internationaux qui prennent en compte, par exemple, les caractéristiques et les besoins particuliers d'entreprises ou d’un secteur donnés ou de flux de données particuliers. La réforme offre également la possibilité de prévoir des garanties appropriées pour les transferts de données entre autorités ou organismes publics, sur la base d’accords internationaux ou d’arrangements administratifs. Enfin, le RGPD clarifie le recours aux «dérogations» (par exemple, le consentement de la personne concernée, l’exécution d'un contrat ou des motifs importants d’intérêt public) sur lesquelles des entités peuvent, dans certaines situations, fonder leurs transferts de données en l’absence de décision d’adéquation et indépendamment de l’utilisation de l’un des instruments précités. Il contient en particulier une dérogation nouvelle, quoique limitée, relative aux transferts qui peuvent avoir lieu aux fins des intérêts légitimes d’une entreprise.

Enfin, la réforme donne à la Commission les moyens d’élaborer des mécanismes de coopération internationale destinés à faciliter l’application des règles en matière de protection des données, y compris au moyen d’accords d’assistance mutuelle. Il s’agit d’une reconnaissance de la contribution que des formes de coopération plus étroite entre des autorités de contrôle au niveau international pourraient apporter afin de garantir à la fois une protection plus effective des droits des personnes et une sécurité juridique accrue pour les entreprises.

3. Transferts internationaux de données dans le secteur commercial: faciliter les échanges tout en protégeant la vie privée

Le respect de la vie privée est une condition préalable à des flux commerciaux mondiaux stables, sûrs et compétitifs. La vie privée n’est pas un produit négociable. L’internet et la numérisation des biens et des services ont transformé l’économie mondiale et le transfert par-delà les frontières de données, y compris à caractère personnel, fait partie des opérations courantes des entreprises européennes de toutes tailles et de tous secteurs d’activité. Les échanges commerciaux reposant de plus en plus sur des flux de données à caractère personnel, la confidentialité et la sécurité de ce type de données sont devenues essentielles à la confiance des consommateurs. Ainsi, deux tiers des Européens se disent préoccupés par le fait de n’avoir aucun contrôle sur les informations qu’ils communiquent en ligne, tandis que la moitié des personnes interrogées craignent d’être un jour victimes d’une fraude. Parallèlement, les entreprises européennes opérant dans certains pays tiers sont de plus en plus confrontées à des restrictions protectionnistes qui ne peuvent être justifiées par des considérations légitimes de protection de la vie privée.