La Commission a publié un imposant rapport sur l’adéquation du Data Privacy Framework (DPF), entré en vigueur en juillet 2023. Il a remplacé le Privacy Shield, qui avait lui-même pris la relève du Safe Harbor, tous deux annulés par les arrêts Schrems rendus par la Cour de justice de l’Union européenne (CJUE).

Très critiqué dès les premières étapes de son élaboration, le DPF doit faire l’objet d’une évaluation régulière. Le rapport publié par la Commission européenne constitue la première de ces évaluations et sa conclusion est claire : tout va bien.

Les États-Unis remplissent leur part du contrat

« Sur la base des informations recueillies au cours de l'examen, la Commission conclut que les autorités américaines ont mis en place tous les éléments constitutifs du cadre. Il s'agit notamment de la mise en œuvre de garanties visant à limiter l'accès aux données à caractère personnel par les services de renseignement américains à ce qui est nécessaire et proportionné pour protéger la sécurité nationale, et de la mise en place d'un mécanisme de recours indépendant et impartial », indique ainsi le communiqué.

Le rapport évoque tout de même un « certain nombre de recommandations visant à garantir que le cadre continue à fonctionner efficacement, comme l'élaboration d'orientations communes entre les autorités américaines et les autorités de protection des données de l'UE sur les principales exigences du DPF ». La Commission rappelle qu’elle continuera à suivre l'évolution de la situation, avec des rapports à la clé.

Pourtant, les critiques sont restées les mêmes, notamment du côté de Max Schrems, qui y voyait une copie conforme du Privacy Shield.

Derrière la validation, les mêmes questions

S’il est si complexe d’établir un cadre avec les États-Unis, c’est que la loi américaine consacre la primauté de la sécurité nationale sur les droits citoyens. Or, dès que l’on évoque la protection des données personnelles, c’est tout le contraire en Europe : la protection individuelle est au premier plan. Les deux cadres juridiques sont fondamentalement incompatibles.

Plusieurs points posent particulièrement question, à commencer par la manière dont sont considérées les données personnelles aux États-Unis, surtout face aux forces de l’ordre et aux agences de renseignement. Des aménagements ont bien été faits, mais deux gros grains de sable sont toujours présents.

D’une part, sur le renseignement, le renouvellement de la section 702 de la loi FISA (Foreign Intelligence Surveillance Act) vient confirmer, une nouvelle fois, que le renseignement peut aller fouiller dans les données européennes, pour des questions de sécurité nationale. Son renforcement, plus tôt dans l’année, pour y inclure les données des opérateurs téléphoniques, est tout aussi marquant. L’ordre exécutif 14086 de Joe Biden a rendu les conditions d’accès plus strictes et structurées et rappelle le besoin de minimisation et de proportionnalité. Mais l’accès aux données persiste.

D’autre part, le « mécanisme de recours indépendant et impartial » pointé par la Commission européenne n’est considéré ni indépendant ni impartial par nombre de critiques. En juillet 2023, l’association noyb (créée par Max Schrems) relevait ainsi que cette Data Protection Review Court n’est pas une juridiction « au sens juridique normal de l'article 47 de la Charte ou de la Constitution américaine, mais un organe relevant du pouvoir exécutif du gouvernement américain ». Le plaignant doit passer par l’autorité nationale de son pays (la CNIL en France) et ne pourra pas faire appel, si sa demande de modification ou de suppression des données est refusée par la DPRC.

Philippe Latombe fustige un rapport « ubuesque »

« Ils se fichent vraiment de nous ! », s’agace jeudi le député Philippe Latombe, qui a déposé un recours devant le Tribunal de l’Union européenne il y a un an pour faire invalider le Data Privacy Framework.

• Data Privacy Framework : Philippe Latombe nous explique son recours devant le Tribunal de l’Union européenne

« Le rapport dit expressément des choses contradictoires. Il dit qu’il n’y a pas de problème d’adéquation parce qu’il y a potentiellement un amendement dans une loi fiscale américaine qui va modifier et atténuer la loi FISA. Alors je vois mal le Congrès américain revenir maintenant sur quelque chose qu’ils ont renouvelé pour trois ans, confirmé et renforcé en avril dernier, par une loi fiscale », explique le député.

Pour Philippe Latombe, les objectifs des États-Unis concernant l’Europe sont clairs : transformer le Vieux continent en « une colonie numérique ».

Cette vision est prégnante dans le projet EUCS. Ici, le député rejoint de nombreux observateurs en France, dont le Cigref, qui pestent contre la suppression du niveau de sécurité High+ pour les offres cloud. Il devait garantir la protection contre les lois extraterritoriales et correspondait, dans les grandes lignes, à la certification SecNumCloud de l’ANSSI. Mais dans sa dernière version, ce niveau a disparu, au grand dam de la France.

• Cybersécurité européenne : en France, les critiques continuent de pleuvoir sur la certification EUCS

Une cour indépendante ? « Ce n’est pas vrai »

Le député s’en prend également à la Data Protection Review Court : « Ils viennent nous dire qu’ils ont mis en place les juridictions qu’ils avaient promises. Je rappelle que ce ne sont pas des juridictions. Ce sont des systèmes de revue, des personnes issues de l’administration américaine et qui n’ont pas d’autonomie. Ce sont des fonctionnaires qui dépendent du ministre de la Justice (DoJ) ».

La Commission affirme pourtant que cette cour est indépendante et impartiale. « Ce n’est pas vrai », déclare Philippe Latombe, « parce que ce ne sont pas des juridictions et la CJUE a une jurisprudence constante sur le sujet ». Et de rappeler qu’une juridiction doit motiver ses décisions, dont on doit pouvoir faire appel. Dans le cas de la Data Protection Review Court, « ce n’est pas le cas, car elle ne peut donner que deux types de réponse : soit "Non il n’y a aucun problème", soit "Oui il y a un problème, mais il a été corrigé" ».

Impératifs politiques

Le député note également que le rapport survient alors que l’administration européenne va changer en novembre. Il aurait bien mieux valu, selon lui, valider pour quelques mois et procéder à un nouvel examen en janvier. Maintenant, la nouvelle révision aura lieu dans trois ans. « Je ne suis même pas en colère, tellement c’était prévisible », indique Philippe Latombe. « Ce qui est plus gênant, c’est qu’ils l’affichent à ce point ».

La procédure initiée par Philippe Latombe pourrait remonter jusqu’à la CJUE (qui fait office d’appel après le Tribunal de l’Union). Max Schrems travaille également sur son propre recours de la CJUE. En outre, en mars dernier, le Contrôleur européen de la protection des données (CEPD, la « CNIL des CNIL ») a jugé que l’utilisation d’Office 365 par la Commission européenne enfreint les règles de protection des données de l’Union. La Commission a contesté l’avis de son propre contrôleur et l’affaire sera examinée, ici aussi, devant la CJUE. La même Cour qui a déjà fait tomber les cadres d’adéquation à deux reprises.

Pourquoi cette dichotomie ? Parce que les impératifs politiques se heurtent à l’application stricte de certains cadres, et tout particulièrement le RGPD. C’est ce qui ressortait notamment d’un avis de Guillaume Poupard, ancien directeur de l’ANSSI, sur l’évolution d’EUCS. Il rappelait que les pays membres de l’Union ne sont pas tous d’accord sur « la » grande question : la protection des données doit-elle être stricte au point de brusquer violemment les relations commerciales avec les États-Unis ?

Invalider le Data Privacy Framework ou réinstaurer le niveau High+ dans EUCS revient, à chaque fois, à proclamer l’inadéquation des grandes entreprises américaines sur le terrain de la protection des données personnelles. Ce problème se retrouve partout et est au centre notamment des polémiques entourant le Health Data Hub, dont les données sont stockées dans le cloud de Microsoft (Azure).

Et si le DPF était invalidé et qu’il fallait trouver une solution pérenne ? « Ça obligerait ces entreprises à devenir vraiment des entreprises européennes. Et donc à respecter les règles économiques et fiscales européennes. Ça obligerait à remettre tout à plat, et là ce serait intéressant. Mais comme on a perdu notre influence en Europe – et on le voit bien avec l’épisode Thierry Breton – on n’est pas écoutés. Et EUCS, c’est ce problème-là, par exemple », ajoute Philippe Latombe.