Invalidation de la décision relative à l'adéquation de la protection assurée par le bouclier de protection des données UE-États-Unis

Par son arrêt dans l’affaire C-311/18 (connu sous le nom d'arrêt « Schrems II »), la CJUE a invalidé la décision (EU) 2016/1250 de la Commission européenne relative à l'adéquation de la protection assurée par le bouclier de protection des données UE-États-Unis (il s'agissait d'une décision d’adéquation connue sous le nom de « Privacy Shield ») au motif que l’accès et l’utilisation par les autorités américaines des données transférées depuis l’UE vers les états-Unis dans le cadre des programmes de surveillance ne sont pas limités au strict nécessaire (non-respect du principe de proportionnalité du RGPD).

En revanche, la CJUE a déclaré valide la décision 2010/87 de la Commission européenne relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers. Cependant, la CJUE a précisé que si les clauses types de protection des données ne sont pas ou ne peuvent pas être respectées dans ce pays et que la protection des données transférées, requise par le droit de l’Union, ne peut pas être assurée par d’autres moyens, l’exportateur établi dans l’UE doit lui-même suspendre ou mettre fin au dit transfert. Si tel n'est pas le cas, les autorités de contrôle nationales doivent le faire si elles l’estiment nécessaire.

Cet arrêt a des conséquences pour les responsables de traitement et sous-traitants qui transfèrent des données à caractère personnel vers des pays-tiers. Nous invitons ces entreprises à consulter la déclaration et les réponses du CEPD aux questions soulevées par la décision élaborées par le Comité européen de la protection des données (CEPD) avec la contribution de l’APD. L’APD examine actuellement en collaboration étroite avec ses homologues au sein du CEPD les conséquences de la décision et met tout en œuvre pour garantir la protection des droits fondamentaux à la protection des données et à la vie privée tout en préservant le libre échange des données entre l’espace économique européen et les pays-tiers.

Update 20/07/2023

La Commission Européenne a adopté le 10 juillet 2023 une nouvelle décision d’adéquation pour les transferts de données à caractère personnel vers les Etats-Unis, le « EU-US Data Privacy Framework ». Apprenez-en plus dans la news : "Une nouvelle décision d’adéquation pour les transferts de données vers les Etats-Unis"