L'abonnement à l'Informé est à usage individuel
Un autre appareil utilise actuellement votre compte
Continuer la lectureTransfert de données vers les États-Unis : Bruxelles se défend contre un député français
L’élu MoDem Philippe Latombe attaque le « Data Privacy Framework » de la Commission européenne, qui facilite la transmission outre-atlantique d’informations personnelles d’Européens, hébergées chez X, Microsoft ou Google par exemple.
Le 10 juillet 2023, la Commission européenne finalisait une décision attendue par tout l’écosystème, pas seulement de la tech. Elle constatait que les États-Unis offraient bien un niveau de protection des données personnelles équivalent à celui en vigueur en Europe. Avec un tel feu vert, les données des Européens allaient pouvoir circuler à nouveau beaucoup plus librement au-delà de l’Atlantique, notamment vers les serveurs de Facebook, X.com, Microsoft ou Google. Cette procédure avait été rendue nécessaire suite à des invalidations en chaîne des deux précédentes décisions d’adéquation, le Safe Harbor adopté en 2000 et le Privacy Shield de 2016, tour à tour torpillés par la Cour de justice de l’UE. Les juges européens avaient en effet considéré que la réglementation interne aux États-Unis, parce qu’elle offrait notamment un accès privilégié des autorités publiques à ces données, ne répondait pas aux standards en vigueur en Europe. En réaction, Joe Biden avait adopté en octobre 2022 un décret présidentiel pour muscler les garanties (le décret n° 14086). Ce qui avait abouti au feu vert de juillet 2023. Mais le député du MoDem Philippe Latombe est loin d’être convaincu par ce nouveau cadre de protection des données (ou en anglais Data Privacy Framework, DPF). Il a attaqué le dispositif devant le Tribunal de l’Union européenne. Ce mardi matin, la Commission s’est opposée à ses arguments, avec l’appui des États-Unis et de l’Irlande, là où de nombreux géants du numérique américains ont leur siège européen.
Devant le tribunal de l’UE, la Commission a tout fait pour faire tomber le dossier porté par les avocats de l’élu, Mes Nicole Coutrelis et Jean-Baptiste Soufron. Elle a nié sa qualité pour agir, mais a surtout attaqué le cœur de ses arguments. Selon Latombe, la Commission aurait violé plusieurs dispositions de la Charte des droits fondamentaux de l’UE lorsqu’elle a considéré que les États-Unis offraient un niveau de protection adéquat. L’index est pointé sur la collecte « en vrac » de données des ressortissants d’autres pays, menée par les services du renseignement américains en application des textes internes. Pour la défense de Philippe Latombe, le compte n’y est pas puisque le décret de Joe Biden ne prévoit aucune obligation pour les agences d’obtenir l’autorisation préalable d’une autorité judiciaire ou administrative et offre au surplus de trop grandes latitudes au président des États-Unis pour justifier ces pratiques.
Dans le camp d’en face, la Commission européenne s’est voulue rassurante. Dans un rapport d’audience consulté par l’Informé, elle a relevé notamment que le droit américain « limite la possibilité, pour les agences de renseignement, d’effectuer la collecte en vrac de données à caractère personnel aux seules hypothèses où ces données se trouvent en dehors des États-Unis ». En l’espèce, ce type de collecte, qui se distingue de la collecte généralisée et indifférenciée, ne peut être effectué que lorsque des collectes ciblées sont infructueuses. De plus, cette aspiration ne peut « être effectué[e] uniquement pour les données à caractère personnel qui sont en transit depuis l’Union vers les États-Unis ». En outre, l’aspiration de ces données doit répondre à l’un des six objectifs prédéfinis (terrorisme, espionnage, armes de destruction massive, cybermenace, menaces dirigées à l’encontre du personnel des États-Unis ou de ses alliés et criminalité transnationale). Au surplus, ces mesures sont sous le contrôle de plusieurs instances, comme le Congrès américain, l’Intelligence Oversight Board (Comité de surveillance du renseignement) ou encore le Privacy and Civil Liberties Oversight Board (Conseil de surveillance de la vie privée et des libertés civiles). La Commission considère enfin que la Cour de justice de l’UE n’a pas exigé d’autorisation préalable à ce type de collecte, mais une « surveillance judiciaire ». Or, les personnes concernées peuvent toujours contester la collecte de leurs données en saisissant la cour instituée pour l’occasion et chargée du contrôle de la protection des données (la Data Protection Review Court, ou DPRC en Anglais).
Aux yeux de Philippe Latombe, cette DPRC n’offrirait pas les mêmes garanties qu’un tribunal indépendant et impartial. Cette juridiction a été créée par une décision du procureur général des États-Unis et elle est composée de juges nommés par lui, « après consultation du Conseil de surveillance de la vie privée et des libertés civiles, qui est un organe dépendant du pouvoir exécutif ». Là encore, la Commission européenne, soutenue par les États-Unis et l’Irlande, estime ces critiques infondées. « La Cour suprême des États-Unis a reconnu la légalité de l’établissement, par le procureur général, de tribunaux indépendants tels que la DPRC ». De plus, les garanties en vigueur seraient bien suffisantes. Par exemple, le pouvoir exécutif se voit interdire « d’entraver ou d’influencer indûment le travail de la DPRC », ses membres sont désignés sur les mêmes critères qu’à la magistrature fédérale, et ils sont titulaires d’une habilitation spéciale pour accéder à des informations classifiées.
Le Tribunal rendra son arrêt dans quelques mois, à une date encore indéfinie.
