La Cour de justice de l'Union européenne a annulé, à la mi-juillet, l'accord international « Privacy Shield » qui fournissait un cadre légal pour toutes les entreprises qui hébergent et traitent des données aux États-Unis. La justice européenne a ainsi estimé que le texte ne fournissait pas les protections adéquates aux citoyens européens, notamment contre la surveillance de leurs communications par les services de sécurité américains.

La situation nouvelle générée par cette décision a des conséquences lourdes et potentiellement graves pour un large écosystème qui rassemble tous les opérateurs qui, depuis le Vieux Continent, envoient et gèrent des données personnelles outre-Atlantique, qu'ils soient grands ou petits, américains ou européens. L'impact économique pourrait être immense : selon la Chambre de commerce américaine, 333 milliards de dollars sont liés aux échanges transatlantiques de services numériques. Les conséquences pourraient être ainsi importantes pour plus de 5.000 entreprises, dont 70% de PME, qui sont actives dans ce domaine.

Les implications de la décision européenne dépassent cependant les seuls opérateurs en ligne : elles concernent en réalité toutes les entreprises qui soit transfèrent leurs données vers les États-Unis, soit ont recours aux services de prestataires qui le font. En pratique, le champ est formidablement large : de nombreuses fonctions qui sont aujourd'hui au cœur de la moindre activité en relèvent (gestion RH, utilisation du "cloud", etc.). Des géants industriels aux petits commerces, ce sont des milliers d'opérateurs qui seront affectés. Les services publics ne seront pas épargnés, comme les péripéties du "Health Data Hub", la plateforme de données de santé française hébergé par un opérateur américain, l'ont montré à l'automne.

L'ampleur des enjeux dépasse cependant ces risques : en considérant que la démocratie américaine n'est pas suffisamment protectrice des droits des citoyens européens, la justice de l'Union européenne semble indiquer qu'aucun autre Etat dans le monde ne l'est - y compris peut-être demain le Royaume-Uni, lorsque le Brexit sera effectif. Tout transfert de données, quel qu'il soit, vers un territoire extérieur aux 27 Etats-membres pourrait ainsi être mis en risque.

Pas encore de texte alternatif

En l'état, l'Union européenne n'a pas encore adopté de texte alternatif - et les autorités de régulation peinent à parvenir à une analyse commune sur les initiatives à prendre.

Cette absence de cadre normatif clair et sécurisé est préjudiciable et particulièrement malvenu dans un moment de crise économique : Bruno Le Maire vient d'indiquer que le PIB allait de nouveau baisser au dernier trimestre 2020.

Il est aussi révélateur de ce que les considérations et lourdeurs administratives peuvent faire peser de menace sur l'activité des entreprises. L'administration, à Bruxelles - comme à Paris d'ailleurs, devrait avoir un rôle de facilitatrice de la croissance et œuvrer à lever les contraintes juridiques qui freinent l'élan des entrepreneurs. Force est de constater - et l'exemple du Privacy Shield le montre, que ce n'est souvent pas le cas : prisonnière d'un labyrinthe de normes, elle ne parvient parfois plus à produire de solutions. Pire encore, elle semble à l'occasion espérer résoudre les contraintes qu'elle a créées en ajoutant des règles supplémentaires aux réglementations antérieures.

Cette accumulation successive de régulations diverses a un coût (jusque 4% du PIB selon l'OCDE). Elle a aussi pour effet d'épuiser inutilement l'énergie des entreprises et de leurs salariés. Pour soutenir la croissance, il est donc urgent que le mouvement s'inverse. Cela implique pour l'appareil administratif un bouleversement de ses perspectives : alors qu'aujourd'hui, il externalise vers les entreprises les lourdeurs du droit, pour son confort ou par incapacité à les surmonter, il devra demain, à l'image de l'économie numérique, internaliser la complexité et présenter une façade de fluidité à ses usagers. Le temps presse.