Safe Harbor et CNIL : des régulateurs allemands dénoncent le laxisme de la Federal Trade Commission (FTC)

« La légitimité de l’accord est de plus en plus remise en question » a déclaré le commissaire Johannes Caspar (Hambourg) la semaine dernière lors d’un évènement consacré à la protection des données et organisé à Berlin. La frustration des commissaires les plus en pointe sur ce dossier vient du fait que cet accord n’a connu aucune réforme de fond suite aux révélations d’Edouard Snowden mentionnant que la NSA surveillait les données privées des citoyens allemands.

Dernier épisode en date, deux procédures administratives ont donc été initiées contre des entreprises américaines dans les landers de Berlin et de Brême.

Le programme Safe Harbor est un accord crucial pour les entreprises américaines. Google, Facebook ou encore Twitter peuvent en vertu de cet accord transférer légalement des données commerciales de l’Union européenne vers les États-Unis s’ils acceptent de respecter la loi applicable à la protection des données des citoyens des pays de l’UE. Cette loi porte essentiellement sur la collecte et le traitement des données.

C’est la FTC américaine qui doit vérifier que les exigences du Safe Harbor sont bien respectées par les entreprises américaines. Si l’accord venait à être dénoncé, cela aurait un impact important sur les activités des GAFA dans l’Union européenne.

Quel impact en cas de suspension du Safe Harbor ?
Suite au scandale d’espionnage de la NSA, de nombreuses voix européennes se sont élevées pour demander la suspension du programme Safe Harbor. Au lieu de suspendre l’accord, cependant, en novembre 2013, la Commission européenne a envoyé aux États-Unis une liste de 13 réformes qu’elle souhaite voir apporter au Safe Harbor. Le gouvernement américain n’a toujours pas pleinement répondu à la demande, même s’il avait promis de le faire pour l’été 2014. Tout cela pourrait être réglé en mai prochain, aux dernières nouvelles.

Reste que nul ne sait quel serait l’impact réel de la suspension du programme Safe Harbor. N’étant plus autorisés à transférer des données hors de l’UE, des entreprises comme Twitter, dont tous les serveurs sont aux Etats-Unis, auraient des difficultés majeures pour faire fonctionner leur activité européenne. Pour les entreprises qui ont des serveurs en Europe, cela affecterait néanmoins leur activité back-office, les données locales pouvant être transférées outre Atlantique pour subir un traitement algorithmique à des fins de profilage ou de détection des fraudes.

Mais la fin du Safe Harbor pourrait également porter préjudice à des entreprises européennes qui opèrent des données ailleurs qu’en Europe. Siemens, SAP et même BMW pour ne citer que les allemands, ont tout intérêt à expédier leurs données aux Etats-Unis quand cela est nécessaire d’un point de vue business.

5 000 membres de Safe Harbor
Plus de 5 000 sociétés sont membre de Safe Harbor, dont en plus des sociétés citées précédemment Amazon, Hewlett-Packard, IBM ou encore Microsoft. Ces entreprises affirment se conformer à un niveau ‘adéquat’ au exigences de protection des données personnelles de l’Union européenne.

Mais les inspections, réalisées par la FTC (Federal Trade Commission) des Etats-Unis, sont sporadiques, et les sanctions peuvent difficilement être appliquées. « De mon point de vue, la charge de la preuve n’est pas du ressort des entreprises américaines » a dit cependant Holger Lutz, associé chez Baker & McKenzie à DataGuidance. « C’est plus du ressort de l’autorité compétente en matière de protection des données ».

Les principes du Safe Harbor sont basés sur ceux de la Directive 95/46 du 24 octobre 1995 affirme la Cnil.

Les domaines couverts concernent l’information des personnes sur la collecte de données, la possibilité accordée à la personne concernée de s’opposer à un transfert à des tiers ou à une utilisation des données pour des finalités différentes, le consentement explicite des personnes pour le recueil de données sensibles, le droit d’accès, de rectification et enfin la sécurité.

« Le Safe Harbor permet donc d’assurer une protection adéquate pour les transferts de données en provenance de l’Union européenne vers des entreprises établies aux Etats-Unis » assure la Cnil, qui précise que la liste des entreprises ayant adhéré aux principes du Safe Harbor se trouve sur le site du Département du Commerce américain.

Denis JACOPINI et son équipe se charge de réaliser un audit, mettre en conformité avec la CNIL votre traitement de données à caractère personnel (DCP).

Il peut également vous former à la tenue d’un registre et aux fondamentaux vous permettant de devenir le Correspondant Informatique et Libertés (CIL) de votre entreprise.

Contactez-vous

Après cette lecture, quel est votre avis ?

Cliquez et laissez-nous un commentaire…

Source : http://www.zdnet.fr/actualites/safe-harbor-des-regulateurs-allemands-denoncent-le-laxisme-de-la-ftc-39814338.htm

Par Guillaume Serries