Expertises des Systèmes d'information - Septembre 2020 - N°460 - Le mensuel du droit de l'informatique et du multimédia - 295

F

O

C

U

S

L

a CJUE n'a laissé aucun
délai de grâce aux entreprises qui opèrent des flux
de données transatlantiques ou qui utilisent les services
d'opérateurs qui transfèrent leurs
données aux Etats-Unis sans un
cadre juridique valide. Auchan
e-commerce, Decathlon France,
Free Mobile 16, Huffington Post,
Leroy Merlin et Sephora viennent
d'en faire les frais. Le 17 juillet
dernier, Noyb a porté plainte auprès
de la Cnil contre ces enseignes pour
avoir utilisé Google Analytics qui
continue de transférer les données
européennes vers les Etats-Unis,
en se fondant sur le Privacy Shield.
L'ONG autrichienne déposait en
tout 101 plaintes contre des entreprises qui utilisent Google Analytics
ou Facebook Connect auprès des
autorités de contrôle de 30 Etats
membres de l'UE ou de l'EEE
(Espace économique européen).
Ces actions résonnent comme une
mise en garde à toutes les entreprises susceptibles d'effectuer des
flux transatlantiques de données
directement ou non. A la lecture de
l'arrêt de la CJUE du 16 juillet 2020
(voir p. 304) qui a annulé le Privacy
Shield, aucun instrument juridique
(clauses contractuelles types ou
BCR) ne préservent les organisations d'une mise en cause de leur
responsabilité. Une mise à plat de
leurs échanges de données et de
leurs dispositifs juridiques s'impose.

Données personnelles :
Incertitude juridique sur
les flux transatlantiques
Le 16 juillet 2020, la Cour de justice de l'Union
européenne a annulé l'accord USA - UE dit du
Privacy Shield. Des plaintes ont déjà été déposées
dans toute l'UE, dont en France contre Auchan
e-commerce, Decathlon France, Free Mobile 16,
Huffington Post, Leroy Merlin et Sephora, pour
transfert illicite de données vers les Etats-Unis, en
utilisant Google Analytics.
Selon les plaintes adressées à la Cnil,
l'adresse IP des personnes visitant
le site des entreprises épinglées et
les données des cookies sont transférées à Google, car ces dernières
utilisent Google Analytics. En vertu
des Conditions de traitement de
Google Ads, celles-ci ont accepté que
Google stocke et traite ces données
personnelles aux Etats-Unis. Or,
d'après Noyd, le géant américain
continue de se fonder sur le Privacy
Shield, pourtant invalidé, pour transférer les données outre-Atlantique.
Même chose pour les entreprises qui
utilisent le bouton Facebook avec
Facebook Connect, le fondement des
transferts des clauses contractuelles

types étant également litigieux.
Le problème réside dans le fait
que ces deux prestataires, comme
Amazon, Apple, Cloudflare, Dropbox
ou Microsoft, relèvent aux EtatsUnis de la section 702 du Fisa et
à l'executive order 12.333, qui les
obligent à fournir aux autorités
américaines les données personnelles qu'elles réclament. Il n'est
donc pas possible d'assurer une
protection adéquate des données du
plaignant qui sont transférées aux
Etats-Unis. Le 16 juillet 2020, la CJUE
a invalidé la décision 2016/1250 de
la Commission relative à l'adéquation de la protection assurée par le
Privacy Shield. La Cour reproche

Usage risqué de
Google Analytics
A l'origine de ce bouquet de
plaintes, on trouve Max Schrems,
fondateur de l'ONG Noyb (None of
your Business) qui représente les
plaignants dans ces actions. Max
Schrems est celui qui a fait tomber
les accords du Safe Harbor et de
son successeur le Privacy Shield.
Et c'est lui encore qui a demandé
à l'autorité de contrôle irlandaise,
le 31 juillet 2020, qu'elle ordonne
la suspension des transferts
transatlantiques de données de
Facebook suite à l'arrêt de la CJUE,
d'ici le 1er octobre prochain. A ce
jour, la Cnil irlandaise n'a pas réagi.

Max Schrems, à l'origine des arrêts Safe Harbor et des plaintes auprès de la Cnil
(c) 2014 Lukas Beck

EXPERTISES Septembre 2020

295
Expertises des Systèmes d'information - Septembre 2020 - N°460 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Septembre 2020 - N°460 - Le mensuel du droit de l'informatique et du multimédia
