Techno Données personnelles: l'accord UE-USA invalidé, victoire des ONG

La justice européenne a invalidé jeudi un mécanisme crucial de transfert des données personnelles de l'UE vers les Etats-Unis, en raison de craintes sur les programmes de surveillance américains, dans un arrêt retentissant salué comme une victoire par les défenseurs des libertés individuelles.

Les Etats-Unis se sont dits «profondément déçus» par cette décision, susceptible de fragiliser les entreprises opérant dans l'UE qui transfèrent ou font héberger des données outre-Atlantique, désormais plongées dans un flou juridique.

Elle a en revanche été applaudie par le juriste autrichien Max Schrems, figure de la lutte pour la protection des données, à l'origine de l'affaire via une plainte contre Facebook.

Il réclamait l'interruption du flux de données entre le siège européen du géant américain, en Irlande, et sa maison mère en Californie, où elles sont selon lui moins protégées, car elles peuvent être réclamées par des agences de renseignement (NSA, FBI...) sans recours, ni contrôle, comme l'ont montré les révélations du lanceur d'alerte Edward Snowden.

«Il semble que la Cour nous a suivis sur tous les aspects», a affirmé celui qui avait déjà obtenu en 2015 l'annulation d'un accord similaire entre Bruxelles et Washington. «Les États-Unis devront modifier sérieusement leurs lois de surveillance si les entreprises américaines veulent continuer à jouer un rôle majeur sur le marché européen.»

- «Ingérences» -

La Cour de justice de l'UE (CJUE) a considéré que l'accord UE-USA «Privacy Shield» («bouclier de protection», ndlr), utilisé par 5.000 entreprises américaines, dont les géants comme Google ou Amazon, ne préserve par de possibles «ingérences dans les droits fondamentaux des personnes dont les données sont transférées».

Elle estime que les autorités publiques américaines peuvent accéder aux données sans que cela ne soit limité «au strict nécessaire».

Cette réglementation ne fournit en outre ni «garanties pour les personnes non américaines potentiellement visées», ni de «droits opposables aux autorités américaines devant les tribunaux».

Le CCIA, le lobby des géants de la tech à Bruxelles, a fustigé une décision qui «crée une incertitude juridique pour les milliers de petites et grandes entreprises des deux côtés de l'Atlantique» et appelé les autorités à «une solution durable».

La commissaire européenne aux Valeurs, Vera Jourova, a promis de travailler «en étroite collaboration» avec les Américains.

De son côté, le secrétaire américain au Commerce, Wilbur Ross, a dit espérer «pouvoir limiter les conséquences négatives pour la relation économique transatlantique».

Les entreprises américaines qui utilisent le «Privacy Shield» pourraient se rabattre sur un autre mécanisme de transfert de données européennes: les «clauses contractuelles type».

Il s'agit d'un modèle de contrat défini par la Commission européenne, qu'elles peuvent utiliser pour exporter des données, par exemple vers une filiale, la maison mère ou un tiers.

- Brexit -

Mais si la CJUE a jugé jeudi ce mécanisme valide, elle a aussi rappelé qu'il revenait en dernier ressort aux autorités de protection des données dans l'UE d'interdire les transferts dans les pays insuffisamment protecteurs. Ce qui semble être le cas des Etats-Unis, si l'on se réfère à l'arrêt.

«Les constatations de la Cour sur le droit des États-Unis et notamment la surveillance de masse, sur lesquelles elle se fonde pour invalider le +Privacy Shield+, sont également bien entendu valables pour les clauses contractuelles type», relève l'avocat Alexis Fitzjean O Cobhthaigh, interrogé par l'AFP.

Dans un communiqué, Facebook a promis de faire «en sorte que (ses) annonceurs, clients et partenaires puissent continuer à profiter de (ses) services tout en préservant la sécurité de leurs données».

Les données personnelles concernées (comportement en ligne, géolocalisation...) constituent la mine d'or de l'économie numérique, en particulier pour les géants du secteur.

Plusieurs ONG ont applaudi cet arrêt, comme Access Now, qui évoque «une décision qui fera date». L'eurodéputée néerlandaise Sophie in 't Veld (Renew, libéral) l'a vu comme une «défaite écrasante pour la Commission».

Il s'agit d'un nouveau désaveu pour Bruxelles, après l'annulation mercredi de sa décision exigeant qu'Apple rembourse 13 milliards d'euros, jusqu'alors considérés comme des avantages fiscaux indus.

La décision pourrait aussi avoir des conséquences sur la négociation du Brexit: le Royaume-Uni espérait obtenir de l'UE un accord similaire à celui tout juste invalidé.