Transfert de données entre l’Europe et les États-Unis : la justice européenne annule l’accord

La justice européenne a invalidé un mécanisme crucial permettant le transfert de données personnelles entre l’Union européenne et les États-Unis, appelé le Privacy Shield, en raison du risque que font peser les programmes de surveillance américains sur la protection de ces données.

La Cour de justice de l’UE (CJUE) estime dans son arrêt que le Privacy Shield rend « possible des ingérences dans les droits fondamentaux des personnes dont les données sont transférées » vers les États-Unis, car les autorités publiques américaines peuvent y avoir accès, sans que cela ne soit limité « au strict nécessaire ».

La CJUE a en revanche jugé valide un autre mécanisme permettant le transfert de données de l’UE vers le reste du monde : les « clauses contractuelles type », un modèle de contrat défini par la Commission européenne, que toute entreprise peut utiliser pour exporter ses données, par exemple vers une filiale, sa maison mère ou un tiers.

L’invalidation du Privacy Shield constitue un nouveau désaveu pour Bruxelles après l’annulation mercredi de sa décision exigeant d’Apple le remboursement de 13 milliards d’euros, jusqu’alors considérés comme des avantages fiscaux indus. À l’origine de l’affaire : une plainte du juriste autrichien Max Schrems, figure de la lutte pour la protection des données, auprès du régulateur irlandais, réclamant l’interruption du flux de données entre le siège européen de Facebook, en Irlande, et sa maison mère en Californie. Raison invoquée : une fois aux États-Unis, ses données sont moins protégées, car elles peuvent être réclamées par des agences de renseignement, comme la NSA ou le FBI, sans recours ni contrôle.