La CJUE change la donne

Schrems: une décision essentielle aux conséquences incertainesPar une décision du 6?octobre 2015 (C362-14), la Cour de Justice (CJUE) a invalidé le système du Safe Harbor, sur lequel se reposaient bon nombre d’acteurs pour transférer des données personnelles vers les États-Unis. Le transfert de données personnelles hors de l’Union européenne est interdit en principe, mais le droit communautaire prévoit des exceptions. L’une des exceptions prévoit que l’État destinataire de ces données offre une protection jugée adéquate par les autorités européennes. Aux États Unis, seules les entreprises certifiées Safe Harbor étaient réputées offrir ce niveau de protection. Plus de 4?000 entreprises ont adhéré au Safe Harbor, parmi lesquelles Apple, Microsoft ou Google et de nombreuses sociétés du retail. En raison notamment des révélations sur le programme PRISM, la CJUE a considéré que les données transférées vers ces entreprises n’étaient pas suffisamment protégées contre les programmes de surveillance de masse mis en œuvre par les autorités américaines. En conséquence, les transferts de données personnelles vers les États-Unis, effectués sous le régime du Safe Harbor, sont désormais illégaux. Pour mémoire, le non-respect des règles sur la protection des données personnelles est passible d’amendes administratives et de sanctions pénales.La position des régulateursLe G29 (groupement des CNIL européennes) a enjoint les autorités européennes et américaines à ouvrir des négociations pour trouver un nouveau cadre légal adéquat avant la fin du mois de janvier2016. Le G29 prévoit également que cette période de 3 mois servira de “délai de grâce”, au-delà duquel les régulateurs nationaux prendront des mesures de sanction coordonnées contre les entreprises qui ne se seront pas mises en conformité. Quels effets en pratique?Cette décision impose la remise à plat de l’ensemble des traitements impliquant des transferts de données vers les États-Unis sous ce régime. En pratique, il faudra donc basculer ces transferts vers les autres exceptions prévues par la Directive. Mais le choix est limité. La mise en place des clauses contractuelles standards de la Commission européenne semble la solution la plus appropriée. Certaines SSII américaines sont cependant réticentes à souscrire aux engagements contractuels qu’elles prévoient. Nos conseils: • Agir dès maintenant;• Établir une cartographie des traitements mis en place dans l’entreprise, pour isoler ceux établis sous le régime du Safe Harbor;• Établir une hiérarchie des risques et des traitements à régulariser;• Mettre en place les solutions alternatives les plus adaptées;• Formaliser les modifications auprès de la CNIL;• Effectuer une veille des communications de la CNIL et du G29.Weltimmo: l’autre décision qui change la donneLa CJUE a rendu une autre décision largement éclipsée par la médiatisation de l’affaire Schrems, mais tout aussi importante. Dans un arrêt Weltimmo du 1er?octobre 2015 (C230-14), la CJUE s’est prononcée sur la loi applicable au responsable du traitement. La Directive 95/46/CE prévoit que la loi applicable en matière de protection des données personnelles est celle du lieu d’établissement du responsable du traitement. Ainsi, une entreprise établie en France, qui collecte des données personnelles dans un autre État membre, doit respecter la loi française et s’enregistrer auprès de la CNIL. La CJUE vient de préciser qu’une telle entreprise devrait désormais vérifier si elle doit aussi être considérée comme “établie” dans les autres États où elle intervient. La Cour retient des critères de rattachement ténus, tels que l’existence d’un compte bancaire dans l’État membre concerné, la langue d’un site internet, la présence d’un représentant de l’entreprise dans l’État concerné, etc. Compte tenu de ces critères, le test sera souvent positif et l’entreprise sera souvent considérée comme ayant un “établissement” en dehors de son pays d’origine.La fin du système du “one stop shop”Par cette décision, la CJUE met fin au système du “one stop shop” permettant à de nombreux acteurs du e-commerce de ne se conformer qu’aux règles de l’État dans lequel ils sont enregistrés et d’opérer librement dans les autres États membres. Les entreprises devront désormais se conformer aux règles de chaque État dans lequel elles interviennent sous peine de sanctions des autorités locales. À propos de AramisLe cabinet regroupe vingt avocats, dont 8 associés spécialisés dans des matières qui recouvrent une très large palette des besoins des entreprises françaises et internationales : distribution et consommation, concurrence, droit social, douanes, fiscalité, monétique ete-paiements, procédures collectives, technologies de l’information, restructurations, fusions / acquisitions, marchés de capitaux...

La CJUE change la donne

Données personnelles