L’avenir de l’accord « Privacy Shield » entre l’Union européenne et les Etats-Unis, obtenu après de longs mois de difficiles négociations sous l’égide de la Commission, est déjà menacé.

Cet accord établit un cadre légal pour les entreprises qui souhaitent transférer des données personnelles d’Européens aux États-Unis : c’est le cas de nombreuses sociétés qui proposent des services européens mais sont basées outre-Atlantique. Le Privacy Shield, définitivement adopté par l’UE le 12 juillet, remplace le Safe Harbour, un accord du même type qui avait été invalidé en 2015 par la justice européenne.

Pour que l’accord soit conforme au droit européen, les États-Unis doivent offrir aux données européennes sur leur territoire une protection « essentiellement équivalente » à celle que proposent les textes sur le Vieux Continent. L’ampleur de la surveillance menée sur Internet par les États-Unis, et l’absence de garde-fous pour les internautes européens avait lourdement pesé dans l’annulation du Safe Harbour.

Or rien n’indique à ce stade que les pratiques des services de renseignement américain aient significativement changé. Ainsi, l’accord prévoit que les États-Unis puissent surveiller les données des Européens dans les affaires de « sécurité nationale » ou lorsque « l’intérêt public » est en cause. Des notions floues qui laissent une bonne marge de manœuvre aux autorités américaines. Par ailleurs, la collecte de grandes quantités de données européennes est toujours envisagée… si un ciblage individuel n’est pas possible.

Une nouvelle invalidation ?

Même si la Commission insiste sur le fait que cet accord est « fondamentalement différent » du précédent qui a été annulé, cette permanence de la surveillance américaine pourrait être utilisée devant la justice pour obtenir, à nouveau, une annulation. C’est ce qu’a affirmé à plusieurs reprises Max Schrems, le juriste autrichien dont l’action en justice a conduit à l’annulation du Safe Harbour.

« Le Privacy Shield doit respecter les critères définis par l’UE et ses cours de justice, qui ont clairement indiqué que la collecte de masse est incompatible avec le droit fondamental à la protection des données personnelles », a-t-il martelé dans une tribune publiée dans l’Irish Times et coécrite avec l’eurodéputé vert Jan-Philipp Albrecht.

Même les mécanismes de protection et de limitation qui s’appliquent aux entreprises privées – comme Facebook ou Google – sont trop friables pour passer l’inspection de la justice, estiment les deux auteurs :

« Il est terriblement clair que les règles [du Privacy Shield] n’arrivent pas à la cheville des règles imposées par l’UE. […] Étant donné ses nombreux manquements, il est très probable que [cet accord] soit invalidé par la justice européenne. »

Un avis attendu le 25 juillet

Une perspective à laquelle se préparent même ceux qui ont salué l’adoption du Privacy Shield, comme la plupart des entreprises du numérique. « Tout le monde sait que le Privacy Shield va se retrouver à nouveau devant la Cour de justice de l’Union européenne », a déclaré à Buzzfeed Alexander Whalen, de DigitalEurope, un groupe qui représente notamment Apple, Google et Microsoft.

Un premier coup dur pourrait survenir dès le 25 juillet : les autorités de protection des données européennes, chargées de l’application dans chaque pays du droit européen, vont se réunir pour émettre un avis sur l’accord. Si certaines, notamment anglaise ou irlandaise, sont généralement conciliantes avec les entreprises américaines, d’autres, comme leurs homologues française et allemande, sont beaucoup plus pointilleuses. Certains pays d’Europe de l’Est se sont abstenus lors du vote des États membres, signe supplémentaire que cet accord, s’il a été adopté au nom de tous les pays de l’UE, est loin de faire l’unanimité.