Arrêt Schrems II : la fin des transferts vers les USA, quelles conséquences ?

Zone grise : conserver mais atténuer le risque

La secousse est si forte que les organisations n’arrivent pas à dépasser ce nouveau cadre de pensée. L’arrêt de l’usage de services fournis par des sociétés sous la coupe de lois liberticides hors UE (ex: Amazon Web Services, les services web de Microsoft, Google, etc.) n’est pas envisageable. De nombreuses mesures indiquées dans la Recommandation 01/2020 sont presque impossibles à déployer de manière opérationnelle (cf. §44 « As a consequence, if the data importer or any further recipient to which the data importer may disclose the datafalls under 702 FISA, SCCs or other Article 46 GDPR transfer tools may only be relied upon for such transfer if additional supplementary technical measures make access to the data transferred impossible or ineffective », alors que justement l’un des moyens d’un traitement est justement de rendre ces données accessibles à son sous-traitant pour se décharger sur lui, et que le FISA est une loi étasunienne à portée extra-territoriale s’appliquant même aux filiales européennes d’une société basées aux USA et même à une Maison Mère disposant d’un établissement aux USA).

Alors les organisations concernées devraient chercher à couvrir le risque de manière économique, en prenant des assurances, en constituant des réserves, ou vont simplement ignorer ou accepter le risque tel qu’il est, éventuellement en prenant des mesures complémentaires (chiffrement, clauses contractuelles, engagements des sous-traitants…), tout en sachant que si elles peuvent réduire les impacts pour les personnes concernées comme pour elles-même, elles ne seront pour ainsi dire jamais totalement suffisantes pour couvrir réellement le risque.

Cette zone grise pour les organisations c’est potentiellement de nombreux activistes (dont les intentions porteront parfois sur les libertés publiques, parfois sur des questions de concurrence par exemple) en capacité de leur nuire (et à raison), car elles sont alors très vulnérables dans le contexte.

Cette zone grise c’est aussi un test pour l’État de Droit… Saurons-nous, en tant que population organisée, faire valoir et appliquer nos règles collectives, qui plus est quand elles visent à protéger nos libertés fondamentales ?

Zone « bleue » : réformer le monde pour se rapprocher des objectifs de la DUDH art.12

Cette option n’est ouverte que pour de rares organisations seules. Il s’agit là d’un défi qu’il ne sera possible de relever que collectivement, par le regroupement d’organisations, par le dialogue entre institutions, par la négociation politique internationale. C’est l’option qui amène l’Europe a changer le monde.

Trois leviers se présentent d’ores et déjà avec les recommandations du CEPD :

• Elles servent de critères d’adéquation pour les pays tiers, qui alignent leur législation sur les exigences de la Charte des Droits Fondamentaux de l’UE en matière au moins de protection des données personnelles.

• Elles servent d’appui pour construire une coopération bilatérale transatlantique sur la question de la préservation des droits et libertés dans un espace de plus en plus cybernétique, interconnecté et collectant les données massivement, coopération qui entraîne le monde derrière elle malgré les résistances connues d’avance de certains pays.

• Elles servent d’appui pour construire une coopération multilatérale, démarrant par exemple par le Conseil de l’Europe et une révision de sa convention 108 sur la protection des données puis pouvant se poursuivre aux Nations Unies.

Et derrière ce combat pour l’Article 12 de la DUDH, valant également pour nombre de pays intra-UE dont les législations romperaient également avec la Charte des Droits Fondamentaux, nous attend un combat que nous aurions du démarrer dès 2014 (et même avant) sur les articles 18 (liberté de penser) et 19 (liberté d’opinion) de la même DUDH… qui ne sont que les prolongements collectifs de la protection des données personnelles… qui pourrait prendre la forme d’ »un appel à la protection des données collectives« , visant à protéger nos libertés de penser, d’action politique et syndicale, aujourd’hui une cible directe ou indirecte de choix (car très valeureuse et presque non régulée) des réseaux sociaux numériques (Facebook, Twitter, Linkedin …), des plateformes de consommation et de production (Amazon, Uber, …), mais également des États (cf. décrets du Ministère de l’Intérieur du 02/12/2020 ici, ici et ici, qui ciblent maintenant les groupes et organisations de personne, chose sur laquelle la CNIL n’est pas compétente pour donner un avis).