L'invalidation du Privacy Shield et ses conséquences

Extraits

[...] ] à condition qu'elles ne soient pas modifiées". Ainsi, les auteurs des clauses contractuelles types indiquent clairement respecter la lettre du RGPD et notamment son article 46, en ce qu'elles permettent des moyens de défense effectifs pour les utilisateurs, dès lors que ces clauses ne sont pas modifiées par les parties. La clause poursuit en permettant tout de même aux parties "d'inclure les clauses contractuelles types prévues dans les présentes clauses dans un contrat plus large et/ou d'ajouter d'autres clauses ou des garanties supplémentaires, à condition que celles-ci ne contredisent pas, directement ou indirectement, les présentes clauses". [...]

[...] Dès les années 2000, la question du transfert international des données personnelles s'est avérée centrale. Et, c'est particulièrement l'utilisation et le traitement de ces données transférées de l'Union européenne vers les États-Unis qui ont soulevé le plus d'interrogations. La protection des données personnelles débute tout d'abord, par la signature de l'accord « Safe Habor » ou « sphère de sécurité » conclu entre la Commission de l'Union européenne et le gouvernement américain, visant à certifier que les grandes entreprises américaines s'engagent à respecter la législation européenne, en matière de protection des données personnelles, sans quoi aucun transfert ne serait envisageable. [...]

[...] Cette protection est d'autant plus accentuée par la clause 5 "Hiérarchie". Ainsi, en cas de contradiction entre les clauses contractuelles types et les dispositions des accords connexes entre les parties, existant au moment où les clauses contractuelles types sont convenues, ou souscrites par la suite, la clause prévoit que ces clauses types "prévalent". Cela donne donc une portée très intéressante à ces clauses contractuelles types qui doivent en tous les cas prévaloir sur toute autre clause ou disposition connexe afférente à la protection des données à caractère personnel et à leur utilisation. [...]

[...] Au sujet de la législation des États-Unis, c'est la décision de la Cour "Schrems II" qui indique aux organismes que le droit américain en matière d'accès aux données par les services de renseignement ne permet pas d'assurer un niveau de protection essentiellement équivalent, les obligeant alors à analyser au cas par cas les transferts qu'ils effectuent vers ce pays. S'agissant des CNIL européennes, elles prévoient des garanties essentielles en matière de surveillance pour les pays tiers. Ces organes dénombrent plus particulièrement quatre garanties essentielles permettant de s'assurer de la conformité des mesures de surveillance autorisant l'accès à des autorités publiques concernant des données personnelles aux normes européennes. Ainsi, l'accès et l'utilisation des données par ces autorités doivent reposer sur des règles claires, précises et accessibles. [...]

[...] Si ce dernier n'est pas apte ensuite à définir des mesures appropriées en vue de remédier à la situation, il devra suspendre le transfert de données à caractère personnel. Pour finir, la clause 15 prévoit quant à elle de nouvelles obligations particulières incombant aux importateurs de données en cas d'accès des autorités publiques, notamment une obligation d'information de l'exportateur et des autorités de contrôle européennes ; ainsi qu'une obligation de contrôle de la légalité de la demande d'accès aux données formulées par ces autorités. [...]