La justice européenne a invalidé jeudi un mécanisme crucial permettant le transfert de données personnelles entre l'Union européenne et les Etats-Unis - le "Privacy Shield" - en raison du risque que font peser les programmes de surveillance américains sur la protection de ces données. Une victoire pour les défenseurs des libertés, mais qui ouvre une période d'incertitudes pour les entreprises.Bis repetita. Fin 2015, la Cour de Justice européenne annulait, suite à une plainte de l'activiste autrichien Max Schrems, le Safe Harbor, le mécanisme juridique encadrant le transfert de données entre l'Europe et les Etats-Unis. La raison ? Le Safe Harbor n'était pas jugé assez protecteur pour les données des Européens, alors que le lanceur d'alerte Edward Snowden avait révélé deux ans plus tôt l'ampleur de la surveillance de masse pratiquée par les Etats-Unis grâce aux outils numériques. Dans l'urgence, l'UE avait pondu une nouvelle réglementation, le Privacy Shield, voulu comme beaucoup plus sécurisant pour les Européens.
Mais là encore, la Cour de Justice européenne estime que le compte n'y est pas. Dans un arrêt rendu jeudi 16 juillet, la justice européenne a invalidé le Privacy Shield en raison du risque que font peser les programmes de surveillance américains sur la protection des données des Européens. Et encore une fois, cette décision est l'aboutissement de l'activisme de Max Schrems, cette fois auprès du régulateur irlandais, qui réclamait l'interruption des flux de données entre le siège européen de Facebook, en Irlande, et sa maison-mère en Californie. Le défenseur des droits estimait que ces données sont moins protégées aux Etats-Unis car elles peuvent être réclamées par des agences de renseignement comme la NSA ou le FBI, sans possibilité de recours ni de contrôle. La CJUE a donc choisi d'aller dans son sens.
Une victoire incomplète pour les défenseurs de la vie privée car les "clauses contractuelles type" restent en place
Concrètement, la Cour de justice de l'UE (CJUE) estime dans son arrêt que le Privacy Shield rend "possible des ingérences dans les droits fondamentaux des personnes dont les données sont transférées" vers les Etats-Unis, car les autorités publiques américaines peuvent y avoir accès, sans que cela ne soit limité "au strict nécessaire".
Pour Alexandre Roure, du CCIA, le lobby des géants de la tech à Bruxelles, cette décision ouvre une ère d'incertitudes pour les 4.500 entreprises américaines implantées sur le Vieux Continent, qu'il s'agisse des géants du Net comme les Gafam, mais surtout des entreprises de taille plus modeste pour lesquelles les transferts de données sont indispensables au bon fonctionnement.
