Un ouveau recours déposé par la France va repousser de plusieurs mois l’application du Data Privacy Framework.
Le nouvel encadrement légal autorisant le transfert de données informatiques entre l’Europe et les États-Unis ne plaît pas à la France. Ce lundi 11 septembre, le député Philippe Latombe (Modem) a déposé un recours auprès du tribunal de l’Union européenne pour tenter de faire annuler l’accord de transfert entre le vieux continent et le pays de l’Oncle Sam. Une action qui fait suite aux recours précédemment introduits par le militant autrichien pour le respect de la vie privée Max Schrems, et qui pourrait permettre d’accélérer la procédure.
Data Privacy Framework : un accord favorable à l’Europe ?
Adopté en juillet dernier, le Data Privacy Framework (DPF) ou le Trans-Atlantic Data Privacy Framework est le nouveau système d’échange de données entre les États-Unis et l’Europe. Le texte succède au Privacy Shield, mais il pose déjà de sérieuses questions légales. Tout au long de ses 137 pages, le texte assure en effet que les “États-Unis garantissent un niveau de protection adéquat — comparable à celui de l’Union européenne — pour les données à caractère personnel transférées de l’UE vers des entreprises américaines“.
Sur le papier, le Data Privacy Framework a tout bon. Il devrait ainsi offrir aux internautes européens des droits supplémentaires, comme l’accès aux données, la rectification, la suppression de données inexactes ou traitées illégalement. Le gouvernement américain s’est aussi engagé à ne conserver que les données “nécessaires et proportionnées pour la sécurité nationale“, tout en garantissant “le respect des limitations applicables aux activités de surveillance“.
Concrètement, il sera désormais possible pour n’importe quel internaute de déposer une réclamation auprès de son autorité locale de protection des données, comme la CNIL en France. L’organisme sera ensuite chargé de faire suivre la demande auprès du délégué à la protection des libertés civiles de la communauté américaine du renseignement. En cas de refus de plainte, un recours pourra toujours être déposé auprès d’une Cour américaine indépendante chargée du contrôle de la protection des données (DPRC).
Pourquoi c’est inquiétant ?
En offrant un cadre légal et simplifié aux transferts de données entre les États-Unis et l’Europe, le Data Privacy Framework avait tout pour plaire. Pourtant, plusieurs voix s’élèvent déjà contre les risques de fuites de données sur le sol américain, sans contrôle possible de la part de l’Union européenne. Pour l’association de protection de la vie privée NOYB (None of Your Business) fondée par l’activiste Max Schrems, “la Commission européenne ne fait malheureusement que repousser le problème sans mettre fin à l’incertitude juridique pour de nombreuses entreprises“.
Parmi les points bloquants évoqués, le fait que l’internaute plaignant n’aura aucune interaction directe avec les nouveaux organes américains, pourtant censés faire respecter sa vie privée. “Ce mécanisme pose de nombreux autres problèmes, qui garantiront dans une large mesure que les plaintes ne seront même pas admises“, anticipe aussi l’association. De plus, la notion de surveillance “nécessaire et proportionnée” assurée par le gouvernement américain est trop floue pour être réellement garante de la liberté de données personnelles.
“À un moment, il faut arrêter de s’inféoder aux Américains“, a martelé le député Philippe Latombe face aux incertitudes de l’Europe face aux géants du net américains. Conformément au traité de l’UE, les détracteurs du texte avaient deux mois pour s’opposer aux “actes réglementaires qui concernent directement” le texte. Le recours devrait repousser la procédure de plusieurs mois.
