Expertises des Systèmes d'information - Mars 2022 - N°477 - Le mensuel du droit de l'informatique et du multimédia - 96

DOCTR INE
DONNÉES PERSONNELLES
Valse-hésitation
sur les transferts
de données aux Etats-Unis
Nées d'une divergence de vue entre les Etats-Unis et
l'Europe sur la protection des données personnelles, les
tensions en matière de transferts de données semblent
avoir atteint leur paroxysme. Ces transferts, bien qu'encore
possibles à condition de respecter des conditions
strictes, ne seront vraiment libéralisés qu'à la faveur
d'une réforme du droit américain en la matière, qui se
dessine au niveau de certains grands Etats comme la
Californie, mais se fait attendre au niveau fédéral.
L
e sort des transferts de
données personnelles depuis
l'Union européenne vers les
Etats-Unis est aujourd'hui
au cœur de l'actualité du droit et de
l'économie numérique. Les origines
des tensions liées à ces transferts
sont néanmoins anciennes : alors
que la notion de droit « à la vie
privée » existait déjà depuis plusieurs
décennies en Europe et aux EtatsUnis,
une distinction est apparue en
Europe dans les années 1970 entre
la protection de la vie privée, d'une
part, et celle des données personnelles,
d'autre part.
Dans plusieurs pays européens, des
craintes ont en effet surgi quant
à la possible création de fichiers
contenant et interconnectant des
données des citoyens, par les Etats
ou de grandes entreprises privées,
grâce aux technologies qui se
démocratisaient alors. Les risques
associés à un tel « fichage » ayant été
révélés pendant la Seconde Guerre
mondiale et la Guerre froide, des
législations dédiées à la protection
des données personnelles ont vu le
jour notamment en Allemagne en
1977, puis en France (avec la première
version de la loi « Informatique et
libertés ») et en Norvège en 1978.
96
En 1995, une directive européenne1
(remplacée en 2016 par le RGPD2
)
a harmonisé les obligations relatives
au traitement des données
personnelles, permettant ainsi leur
libre circulation au sein de l'Union
européenne mais posant aussi le
principe de la régulation du transfert
de ces données vers des pays
nonmembres.
Un droit à la protection des données
personnelles autonome n'étant
pas simultanément apparu aux
Etats-Unis, des tensions ont émergé
entre les systèmes juridiques
européens et américains, en particulier
concernant les demandes
de communication de données
personnelles détenues par des entreprises
européennes faisant l'objet de
procédures de « discovery » devant
les juridictions américaines, ou
encore pour les entreprises soumises
à la loi américaine « SarbanesOxley
», exigeant la mise en place de
systèmes d'alertes professionnelles
(qui peuvent conduire à la collecte
de données sensibles, notamment
sur des infractions).
Cette divergence d'approche s'est
cristallisée sur la question des
transferts de données, tout d'abord
EXPERTISES MARS 2022
avec l'invalidation en 2015 par la
Cour de justice de l'Union européenne
(« CJUE ») du « Safe
Harbor »3
, cadre juridique adopté
par la Commission européenne et
le gouvernement américain pour
faciliter les transferts de données
personnelles depuis l'Europe vers
les Etats-Unis.
L'adoption du « Cloud Act » en 2018
par le Congrès américain (facilitant
l'accès par les agences de surveillance
américaines aux données
stockées par les entreprises de
Cloud américaines non seulement
sur le territoire américain, mais
aussi à l'étranger), et l'annulation
par la CJUE en 2020 du « Privacy
Shield »4
, remplaçant du Safe
Harbor adopté en 2016 pour encadrer
les transferts de données vers
les Etats-Unis, ont exacerbé les
tensions.
La question des restrictions aux
transferts vers les Etats-Unis
est donc au centre des débats,
bien que ces transferts restent
possibles en pratique sous réserve
du respect de certains critères
et qu'une convergence entre les
positions américaines et européennes
semble s'amorcer.
Expertises des Systèmes d'information - Mars 2022 - N°477 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Mars 2022 - N°477 - Le mensuel du droit de l'informatique et du multimédia
