La Commission examine si la décision de la Cour suprême des États-Unis concernant l'indépendance des autorités fédérales affecte les transferts de données avec l'UE.

Le gouvernement européen examine les conséquences possibles de la décision Trump v. Slaughter, par laquelle la Cour suprême des États-Unis a invalidé la protection contre la révocation d'un membre de la Federal Trade Commission. La Commission n'a jusqu'à présent identifié aucun impact sur le cadre qui permet le transfert de données personnelles vers les entreprises américaines participantes.

La Commission européenne a commencé à analyser si la décision de la Cour suprême des États-Unis, qui étend le pouvoir du président de révoquer des membres de la Federal Trade Commission, pourrait avoir des conséquences sur le cadre utilisé pour le transfert de données personnelles de l'Union européenne vers les entreprises américaines participantes.

En bref
La décision examinée concerne la protection légale qui limitait la possibilité pour le président des États-Unis de révoquer un membre de la Federal Trade Commission, l'autorité responsable de l'application des engagements pris par les entreprises participantes au cadre transatlantique pour les données.

La Commission a déclaré qu'elle examine la décision et la manière dont elle sera appliquée, sans conclure que les transferts de données sont affectés ou que la décision d'adéquation doit être modifiée.

Le cadre adopté en juillet 2023 permet le transfert de données de l'UE vers les entreprises américaines participantes sans exiger l'introduction de garanties supplémentaires pour chaque transfert.

Le commissaire européen à la démocratie, à la justice, à l'état de droit et à la protection des consommateurs, Michael McGrath, a discuté du cadre avec le président de la Federal Trade Commission et un membre du Privacy and Civil Liberties Oversight Board lors d'une visite à Washington.

La Commission surveille en permanence la décision d'adéquation et peut intervenir si des modifications juridiques ou institutionnelles aux États-Unis réduisent le niveau de protection sur lequel l'évaluation européenne était fondée.

Le porte-parole de la Commission pour la justice et la protection des consommateurs a confirmé lors d'un point de presse le 23 juillet que le gouvernement européen a pris note de la décision de la Cour suprême des États-Unis dans l'affaire Trump v. Slaughter et qu'il analysera attentivement la manière dont elle est mise en œuvre.

"Nous avons pris note de la décision de la Cour suprême des États-Unis dans l'affaire Trump v. Slaughter. Nous analyserons attentivement toute mesure de mise en œuvre et ses éventuelles implications pour notre agenda avec les États-Unis", a déclaré le porte-parole.

La Commission n'a pas dit que la décision affecte déjà les transferts de données personnelles et n'a pas annoncé de réévaluation formelle ou de procédure pour suspendre le cadre transatlantique. L'analyse est à un stade préliminaire, et l'institution n'a pas présenté de calendrier pour son achèvement.

La Cour suprême des États-Unis a décidé que la norme qui permettait la révocation d'un membre de la Federal Trade Commission uniquement pour certaines raisons est incompatible avec la séparation des pouvoirs prévue par la Constitution américaine. La décision renforce le contrôle du président sur la composition de la direction de l'autorité fédérale.

La Federal Trade Commission joue un rôle direct dans le fonctionnement de la composante commerciale du cadre UE–États-Unis pour la protection des données. L'autorité peut vérifier le respect des engagements pris par les entreprises américaines inscrites dans le système et peut intervenir lorsque une société déclare qu'elle respecte les exigences du cadre, mais ne les applique pas en pratique.

La possible pertinence pour l'UE découle de la nécessité que les mécanismes d'application et de contrôle sur lesquels repose la décision d'adéquation continuent de fonctionner efficacement. La Commission doit vérifier à la fois l'existence des normes américaines et la capacité des institutions responsables à les appliquer de manière indépendante et efficace.

Le gouvernement européen n'a cependant pas établi que la possibilité de révocation des membres de la Federal Trade Commission réduit automatiquement la protection des données transférées depuis l'UE. Une telle conclusion nécessiterait un examen des conséquences juridiques et pratiques de la décision, de la manière dont l'autorité exerce ses activités et des éventuelles mesures adoptées par l'administration américaine.

En juillet 2023, la Commission a décidé que les États-Unis offrent un niveau adéquat de protection pour les données transférées vers les entreprises américaines participant au cadre de protection des données UE–États-Unis. La décision permet aux organisations européennes de transférer des données vers ces entreprises sans avoir à instituer des mécanismes supplémentaires pour chaque opération, tels que des clauses contractuelles types.

Le cadre ne couvre pas automatiquement toutes les entreprises des États-Unis. Les sociétés doivent s'inscrire et s'engager à respecter les exigences concernant l'utilisation des données, la limitation des finalités du traitement, la conservation des informations, la sécurité et l'exercice des droits des personnes concernées.

La Federal Trade Commission et le Department of Transportation appliquent les obligations des entreprises participantes, en fonction du secteur dans lequel elles opèrent. Les personnes dont les données sont transférées bénéficient également de mécanismes pour déposer des plaintes et résoudre des litiges.

Un aspect distinct concerne l'accès des autorités américaines aux données à des fins de sécurité nationale. Les États-Unis ont introduit des exigences selon lesquelles les activités de renseignement doivent respecter les principes de nécessité et de proportionnalité et ont créé un mécanisme de contestation pour les personnes de l'UE.

Le Privacy and Civil Liberties Oversight Board fait partie de la structure américaine de surveillance des activités liées à la sécurité nationale et à la protection de la vie privée. Il n'a pas le même rôle que la Federal Trade Commission et n'a pas été l'institution directement visée par la décision Trump v. Slaughter.

La Commission suit cependant la situation des deux organismes, car le cadre transatlantique repose sur plusieurs niveaux de protection. La Federal Trade Commission est pertinente pour le respect des obligations commerciales par les entreprises, tandis que les organismes de contrôle et les mécanismes de recours sont pertinents pour l'accès des autorités publiques américaines aux données.

Le commissaire européen à la démocratie, à la justice, à l'état de droit et à la protection des consommateurs, Michael McGrath, a rencontré à Washington le président de la Federal Trade Commission, Andrew Ferguson, et Beth Williams, membre du Privacy and Civil Liberties Oversight Board.

Selon la Commission, McGrath a discuté avec les deux représentants du cadre UE–États-Unis et a souligné la nécessité de renforcer la coopération transatlantique dans le domaine de la protection des données, tant pour les citoyens que pour les entreprises.

La visite a eu lieu quelques semaines après le prononcé de la décision de la Cour suprême. La Commission n'a pas précisé si les autorités américaines ont offert des garanties supplémentaires concernant l'indépendance institutionnelle, la continuité des activités de contrôle ou les effets concrets de la décision.

Le porte-parole a rappelé que la décision européenne de juillet 2023 a conclu que les États-Unis offrent un niveau adéquat de protection pour les données transférées dans le cadre du système. Il a ajouté que, comme toutes les décisions d'adéquation, celle-ci est surveillée pour vérifier si le niveau de protection est maintenu.

La première évaluation périodique du cadre a été réalisée en 2024. L'analyse a suivi l'application des exigences par les entreprises participantes, l'activité des autorités américaines, le fonctionnement des mécanismes de recours et les modifications juridiques pertinentes pour l'accès gouvernemental aux données.

La surveillance ne se limite pas aux évaluations périodiques programmées. La Commission peut analyser à tout moment les évolutions législatives, les décisions judiciaires, les changements institutionnels et les pratiques des autorités américaines qui pourraient modifier le niveau de protection pris en compte lors de l'adoption de la décision.

Si elle constate que les États-Unis ne garantissent plus la protection nécessaire, la Commission pourrait demander des mesures correctives et pourrait modifier, suspendre ou retirer la décision d'adéquation. Aucune de ces étapes n'a été annoncée en lien avec la décision Trump v. Slaughter.

Les transferts effectués sur la base du cadre continuent donc d'être autorisés. Les entreprises peuvent également utiliser d'autres instruments prévus par les règles européennes, tels que des clauses contractuelles types et des règles d'entreprise obligatoires, en fonction de leur situation.

Le cadre actuel a été adopté après que la Cour de justice de l'Union européenne a invalidé en 2020 le mécanisme précédent, connu sous le nom de Privacy Shield. La cour européenne a alors considéré que les protections concernant l'accès des autorités américaines aux données et les voies de recours disponibles pour les personnes de l'UE n'étaient pas suffisantes.

Les États-Unis ont ensuite introduit de nouvelles garanties concernant les activités des services de renseignement et un mécanisme de recours destiné aux personnes de l'UE. La Commission a considéré que ces changements permettent la reprise des transferts sur la base d'une nouvelle décision d'adéquation, mais le fonctionnement du système reste soumis à surveillance.