Flux transfrontières vers les USA de données à caractère personnel : solution rapide en vue

Publié le 17/05/1999 par Thierry Léonard

Le problème des transferts de données à caractère personnel des États Membres de l’Union Européenne vers les États-Unis paraît en passe de trouver une solution rapide. L’entrée en vigueur, le 24 octobre 1995, de la directive 95/46 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à…

Le problème des transferts de données à caractère personnel des États Membres de l’Union Européenne vers les États-Unis paraît en passe de trouver une solution rapide.

L’entrée en vigueur, le 24 octobre 1995, de la directive 95/46 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données avait suscité un certain émoi outre-Atlantique (cfr notre actualité Protection de la vie privée sur le net : l’Europe offre 2 mois de sursis aux USA).

Il faut dire que les négociations menées jusqu’alors entre les parties n’avaient pas été concluantes. Les États-Unis risquaient donc bien d’être considérés par application des législations européennes prises en vertu de la directive comme ne présentant pas un niveau de protection adéquate. En conséquence, sauf s’ils bénéficiaient d’une des exceptions prévues conformément à l’article 26 de la directive, les flux de données vers les entreprises US risquaient de se voir interdits.

Dès le mois de novembre 1998, les États-Unis, par le biais du US Department of Commerce, rendaient publique une proposition de solution connue sous le nom de « Safe Harbor Principles ». Le principe est simple. Il est proposé aux entreprises US d’adhérer volontairement à des principes de protection des données analogues à ceux contenus dans la directive européenne. En adhérant à ceux-ci, l’entreprise US serait présumée offrir un niveau de protection adéquat au sens de l’article 25 de la directive. Il était demandé aux entreprises américaines ainsi qu’à leurs organes de représentation de réagir à ces principes (voy. les très nombreuses réactions). Les négociations avec la Commission européenne ont dès lors continué sur cette nouvelle base.

Dès le mois de janvier, le groupe de protection des personnes à l’égard du traitement des données à caractère personnel, dit « groupe 29 » car institué par l’article 29 de la directive, rendait public un avis sur la proposition américaine (Avis 1/99 concernant le niveau de protection des données à caractère personnel aux États-Unis et les discussions en cours entre la Commission européenne et le gouvernement américain, document accessible à l’adresse).

Depuis la fin du mois d’avril 1999, les négociations paraissent être entrées dans une phase décisive. Le US Department of Commerce a en effet publié une nouvelle version des « Safe Harbor Principles » revus et corrigés en prenant en compte tant les réactions européennes que celles suscitées aux USA par la première version. De l’aveu même de la Commission européenne, les parties espèrent bien trouver un accord sur cette base d’ici le sommet EU/US du 21 juin 1999. Cet accord permettrait à la Commission de décider que les Etats-Unis présentent un niveau de protection adéquat, dès lors que l’entreprise US destinataire du flux serait soumise aux « Safe Harbor Principles ».

Les documents accessibles sur le site du US Department of Commerce sont extrêmement intéressants. On y trouve :

• non seulement la version revue des « Save Harbor Principles »,

• mais également les principales critiques qu’elle suscite encore auprès de la Commission européenne,

• et une série de FAQ posées à l’égard de leur application ainsi que la réponse apportée à celles-ci par le US Department of Commerce et les points de divergences persistant dans ces réponses avec les autorités européennes.

A nouveau -et n’est-ce pas là une belle leçon de démocratie ?- le US Department of Commerce en appelle à une réaction du public US afin de conforter ses positions lors de la négociation qui va suivre avec la Commission (ces réactions devaient lui être transmises pour le 14 mai dernier).

La Commission, quant à elle, est en train de recueillir les réactions des Etats-Membres, notamment des Commissions de protection des données présentes dans chacun de ceux-ci. Elle a en outre proposé un document de discussion concernant les recours à l’égard du non respect des règles contenues dans le « Safe Harbor Principles » qui auraient fait l’objet d’une décision européenne admettant le caractère adéquat de la protection US sur cette base. Là aussi, les principales réactions du US Department sont indiquées par la voie de notes de bas de page.

Dans un avis du 3 mai 1999, le groupe 29 a déjà fait part de ses réactions à l’égard des dernières propositions. La lecture de celles-ci démontre bien que si, assurément, les points de vue des parties tendent à se rejoindre, les négociations, qui devraient reprendre dès ce 28 mai, risquent d’être encore ardues si les parties veulent respecter le délai annoncé.

On reviendra plus amplement sur le contenu des propositions américaines dans le courant du mois de juin, à l’occasion du lancement d’un nouveau service sur votre site préféré.

D’ici là, le lecteur passionné par cette matière pourra également consulter le projet US de « Online Privacy Protection Act » déposé ce 15 avril dernier au Sénat américain, ainsi que de la réglementation en projet de la US Federal Trade Commission implémentant les principes du Children’s Online Privacy Act of 1998.