UE : la CJUE invalide le Privacy Shield qui permet le transfert de données personnelles entre UE et USA

La décision rendue aujourd’hui 16 juillet par la CJUE sur le « Privacy Shield » (ici), le successeur du Safe Harbor lui-même invalidé par la justice européenne, se fonde sur le risque que font peser les programmes de surveillance américains sur la protection de ces données. Ce « bouclier » permet aux entreprises de transférer légalement les données personnelles de citoyens européens aux États-Unis en dérogation du RGPD. Il résulte d’une décision de la Commission européenne qui s’appuie sur le constat du niveau adéquat de protection des données à caractère personnel transférées aux États-Unis dans le cadre des termes définis entre les deux parties. C’est cette appréciation que le juge européen remet en cause. Si l’affaire concerne Facebook et que la CJUE dans son arrêt estime que le « Privacy Shield » rend « possible des ingérences dans les droits fondamentaux des personnes dont les données sont transférées » vers les États-Unis, car les autorités publiques américaines peuvent y avoir accès, sans que cela ne soit limité « au strict nécessaire », l’invalidation a des répercussions sérieuses sur les entreprises qui transfèrent des données, notamment RH, vers les États-Unis. Le Commissaire à la Justice, Didier Reynders, aurait déjà des solutions dans ses cartons. La Cour a par ailleurs validé la légalité des « clauses contractuelles » en matière de transfert de données, ce qui permet aux entreprises de se conformer au RGPD en s’engageant, individuellement, à respecter certaines précautions quant à l’usage des données des Européens.