La CJUE n’a laissé aucun délai de grâce aux entreprises qui opèrent des flux de données transatlantiques ou qui utilisent les services d’opérateurs qui transfèrent leurs données aux Etats-Unis sans un cadre juridique valide. Auchan e-commerce, Decathlon France, Free Mobile 16, Huffington Post, Leroy Merlin et Sephora viennent d’en faire les frais. Le 17 juillet dernier, Noyb a porté plainte auprès de la Cnil contre ces enseignes pour avoir utilisé Google Analytics qui continue de transférer les données européennes vers les Etats-Unis, en se fondant sur le Privacy Shield. L’ONG autrichienne déposait en tout 101 plaintes contre des entreprises qui utilisent Google Analytics ou Facebook Connect auprès des autorités de contrôle de 30 Etats membres de l’UE ou de l’EEE (Espace économique européen). Ces actions résonnent comme une mise en garde à toutes les entreprises susceptibles d’effectuer des flux transatlantiques de données directement ou non. A la lecture de l’arrêt de la CJUE du 16 juillet 2020 (voir p. 304) qui a annulé le Privacy Shield, aucun instrument juridique (clauses contractuelles types ou BCR) ne préservent les organisations d’une mise en cause de leur responsabilité. Une mise à plat de leurs échanges de données et de leurs dispositifs juridiques s’impose.

Usage risqué de Google Analytics

A l’origine de ce bouquet de plaintes, on trouve Max Schrems, fondateur de l’ONG Noyb (None of your Business) qui représente les plaignants dans ces actions. Max Schrems est celui qui a fait tomber les accords du Safe Harbor et de son successeur le Privacy Shield. Et c’est lui encore qui a demandé à l’autorité de contrôle irlandaise, le 31 juillet 2020, qu’elle ordonne la suspension des transferts transatlantiques de données de Facebook suite à l’arrêt de la CJUE, d’ici le 1er octobre prochain. A ce jour, la Cnil irlandaise n’a pas réagi.
Selon les plaintes adressées à la Cnil, l’adresse IP des personnes visitant le site des entreprises épinglées et les données des cookies sont transférées à Google, car ces dernières utilisent Google Analytics. En vertu des Conditions de traitement de Google Ads, celles-ci ont accepté que Google stocke et traite ces données personnelles aux Etats-Unis. Or, d’après Noyd, le géant américain continue de se fonder sur le Privacy Shield, pourtant invalidé, pour transférer les données outre-Atlantique. Même chose pour les entreprises qui utilisent le bouton Facebook avec Facebook Connect, le fondement des transferts des clauses contractuelles types étant également litigieux. Le problème réside dans le fait que ces deux prestataires, comme Amazon, Apple, Cloudflare, Dropbox ou Microsoft, relèvent aux Etats-Unis de la section 702 du Fisa et à l’executive order 12.333, qui les obligent à fournir aux autorités américaines les données personnelles qu’elles réclament. Il n’est donc pas possible d’assurer une protection adéquate des données du plaignant qui sont transférées aux Etats-Unis. Le 16 juillet 2020, la CJUE a invalidé la décision 2016/1250 de la Commission relative à l’adéquation de la protection assurée par le Privacy Shield. La Cour reproche aux lois américaines de ne pas encadrer les données personnelles de manière substantiellement équivalente à celle requise par le RGPD, du fait que les programmes de surveillance ne sont pas limités au strict nécessaire. Elle ajoute que le mécanisme de médiation n’offre pas non plus des garanties substantiellement équivalentes aux nôtres, notamment en termes d’indépendance. La Cour a cependant jugé valide la décision de 2010/87 relative aux clauses contractuelles types pour le transfert des données personnelles vers des sous-traitants établis dans des Etats tiers. Ce ne veut pas dire que les clauses contractuelles établies sur cette base offrent toutes les garanties nécessaires.

Suspendre les transferts

Si le Privacy Shield a été annulé, ce n’est cependant pas le seul outil juridique à être impacté par la décision européenne. Ceux qui se pensent à l’abri avec leurs clauses contractuelles types ou leurs règles d’entreprises contraignantes (BCR) doivent absolument se remettre au travail et réévaluer leur dispositif. Car ces outils juridiques n’offrent aucun rempart si des garanties appropriées ne sont pas apportées (droits opposables et voie de recours effectif) pour compenser le défaut d’adéquation de la loi étrangère aux principes du RGPD. En l’absence de décision d’adéquation, l’article 46 du RGPD prévoit en effet que « le responsable du traitement ou le sous-traitant ne peut transférer des données à caractère personnel vers un pays tiers ou à une organisation internationale que s’il a prévu des garanties appropriées et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives ». Ces garanties appropriées peuvent être fournies par des règles d’entreprise contraignantes (BCR) ou des clauses types de protection des données adoptées par la Commission.
Les responsables de traitement doivent donc prendre des mesures pour le garantir. Et si ce n’est pas le cas, il est impératif de suspendre tous transferts, au risque de faire l’objet d’une plainte devant la Cnil ou de voir sa responsabilité engagée.
Comment procéder pour effectuer des transferts en toute légalité dans le cadre des clauses contractuelles types ou des BCR ? Quelles mesures adopter pour pallier les faiblesses du droit américain ou d’un autre droit étranger non adéquat ? La CJUE ne le dit pas. Il faudra attendre que les autorités de contrôle européennes et le Comité européen à la protection des données (CEPD) apportent des réponses précises. Le Comité a annoncé dans une FAQ du 23 juillet 2020 qu’il publierait des orientations précises. Quant à la Commission européenne, elle a annoncé dans un communiqué du 24 juin 2020 qu’elle était en train de travailler sur la mise à jour des clauses contractuelles types.
Des incertitudes juridiques pèsent donc aujourd’hui sur les flux transatlantiques de données personnelles mais aussi vers des pays hors UE qui ne font pas l’objet d’une décision d’adéquation. Or, la responsabilité des organisations peut être engagée, en cas de transfert illicite. Puisque la décision de la Cour est d’application immédiate, les organisations concernées doivent se préoccuper très vite de la question.
Avant tout, il convient d’identifier l’existence de flux de données personnelles vers les Etats-Unis, leur base légale, les partenaires américains clairement soumis à l’obligation de fournir au gouvernement américain des données à caractère personnel concernant des personnes se trouvant dans l’UE, en vertu de lois telles que la FISA 702 ou l’executive order 12.333. Si les échanges se font dans le cadre des clauses contractuelles types, il faut se poser la question de l’existence des mesures appropriées pour compenser le déficit de protection des données des lois américaines ou d’ailleurs. Ces mesures peuvent consister en la mise en place du chiffrement des données sans transmettre la clé, la pseudonymisation des données, à condition de ne pas fournir des correspondances au destinataire des données, la minimisation des données, leur hébergement dans un Etat de l’UE, etc. Si le partenaire américain continue de se fonder sur le Privacy Shield alors qu’il relève des lois américaines qui autorisent la surveillance des données personnelles européennes sans possibilités de mettre en place des garanties, les responsables de traitement européens doivent absolument suspendre le transfert de données.
Il reste l’ultime recours au régime dérogatoire de l’article 49 du RGPD qui ne peut être actionné qu’au cas par cas ou de façon très occasionnelle. Ce texte prévoit une dérogation à l’interdiction du transfert, si la personne concernée y consent, en toute connaissance des risques qu’elle encourt ou dans le cadre de circonstances particulières occasionnelles, ne touchant qu’un nombre limité de personnes, la constatation d’un intérêt public important, etc. Ces motifs étant des exceptions, ils doivent être limités à des situations spécifiques et soumis au critère de stricte nécessité.
La trêve estivale est terminée sans offrir de solutions sécurisantes pour les échanges transatlantiques, potentiellement bloqués. En initiant ces plaintes dans tous les pays de l’UE et trois de l’EEE, Noyb pousse les autorités à accélérer leur réflexion et à donner des pistes de solution, avant que la Commission s’en charge. Une nouvelle saison de la série des flux transfrontières des données commence. Une période d’incertitude juridique s’ouvre.

Sylvie ROZENFELD