Le 10 juillet 2023, la Commission européenne a adopté une nouvelle décision d’adéquation concernant les Etats-Unis : le « Data Privacy Framework ».
Depuis juillet 2020 et l’invalidation du Privacy Shield, il n’était plus possible de procéder à des transferts de données depuis l’Union européenne vers les Etats-Unis sans mettre en place des mesures de protection supplémentaires.
Trois ans plus tard, cette décision tant attendue conclut que les Etats-Unis assurent un niveau de protection adéquat pour les données personnelles transférées de l’UE vers des organismes américains, autrement dit que le niveau de protection est comparable à celui de l’Union européenne. Sur la base de cette nouvelle décision d’adéquation, les données personnelles peuvent circuler en toute sécurité entre l’Union européenne et les Etats-Unis, sans qu’il soit nécessaire de mettre en place des garanties supplémentaires en matière de protection des données.
Toutefois, ces transferts ne seront possibles que vers les organismes américains qui auront fait la démarche de respecter le cadre de protection des données mis en place. Ce cadre prévoit, entre autres, que les organismes seront tenus de supprimer les données personnelles lorsqu’elles ne seront plus nécessaires à la finalité du traitement ou encore d’assurer la continuité de la protection lorsque les données personnelles seront partagées avec des tiers.
La liste des organismes conformes sera gérée par le ministère américain du commerce et sera prochainement rendue publique sur le site internet de ce ministère.
Le « Data Privacy Framework » introduit de nouvelles garanties contraignantes pour répondre à toutes les préoccupations précédemment soulevées par la Cour de justice de l’Union européenne. Notamment, l’accès des services de renseignements américains aux données de l’Union européenne sera limité à ce qui est nécessaire et proportionné comme la répression pénale ou la sécurité nationale. Une Cour de contrôle de la protection des données permettra aux citoyens de l’Union européenne d’introduire un recours. Par exemple, cette Cour pourra ordonner la suppression des données si elle constate que celles-ci ont été collectées en violation des garanties mises en place. Cette décision d’adéquation fera l’objet d’examens périodiques par la Commission européenne, en coopération avec les représentants des autorités européennes de protection des données et les autorités américaines concernées. Le premier examen est prévu dans un an.