La Cour de justice européenne vient de considérer comme invalide le cadre juridique «Safe Harbour» sur le transfert des données. Concrètement, qu’est-ce que cela change?
Sabine de Paillerets. Le cadre juridique appelé Safe Harbour était une sorte de label. Cela donnait aux entreprises qui en étaient titulaires un blanc-seing pour transférer des données personnelles entre l’Europe et les Etats-Unis. Que ce soit celles de leurs clients ou même de leurs employés, elles pouvaient transférer les données sans avoir à consulter les autorités de chaque pays (la Cnil, etc.)
François-Xavier Boulin. Cet accord datait de 2000. Lorsque le juriste autrichien Max Schrems a déposé un recours, il a soulevé une question qui faisait notamment suite à l’affaire Edward Snowden. Les Etats-Unis garantissent-ils, même dans le cadre du Safe Harbour, une sécurité suffisante vis-à-vis de l’accès aux données par des tiers? La Cour a invalidé ce cadre, estimant qu’il n’était pas suffisant. Cela sous-entend que la règlementation n’existe plus. Mais lorsqu’on lit l’arrêt, on peut aussi comprendre que c’est maintenant à chaque autorité locale de contrôler la sécurité du transfert de données.
Cela compliquera-t-il les choses pour les entreprises ?
F.-X.B. Le transfert de données n’est pas interdit et ne s’arrête pas! Mais les entreprises vont devoir s'y prendre différemment. Et surtout, les autorités de régulation des données personnelles sur internet pourront mettre leur nez dedans. Ces mécanismes existent déjà, et ne sont pas forcément plus restrictifs, mais ce sera plus contraignant pour les entreprises. La décision a été très rapide. Les sociétés concernées ont été sensibilisées à la question depuis longtemps, mais ne sont pas encore préparées.
S. de P. Un autre fait tout aussi important, c’est la question de la médiatisation de cette affaire. En invalidant le Safe Harbour, cela a levé le voile sur les conditions des transferts de données entre les deux continents. Les citoyens ont été sensibilisés à la question, et voudront désormais avoir un droit de regard. Ils comprendront mieux les mécanismes de gestion des données personnelles, alors que ce n’était pas forcément le cas avant cette décision de justice…
Peut-on appeler cela un coup de tonnerre dans le monde de la data ?
F.-X.B. Non. Ce n’est pas un big bang dans le secteur des transferts de données off shores. Les entreprises s’adapteront. Et surtout, la question de la validité du Safe Harbour était déjà une préoccupation des autorités européennes. Des réflexions étaient en cours depuis plus de deux ans à ce sujet. Mais cela avançait lentement. L’arrêt de la Cour donnera un coup d’accélérateur pour finaliser ces discussions et établir un nouveau cadre juridique et mettre en place un nouveau processus Safe Harbour satisfaisant pour tout le monde.
