Schrems II

conformite

Définition

Schrems II désigne l'arrêt historique rendu par la Cour de Justice de l'Union Européenne (CJUE) le 16 juillet 2020 (affaire C-311/18, Data Protection Commissioner c. Facebook Ireland Limited et Maximillian Schrems). Cet arrêt a invalide le Privacy Shield, cadre de transfert de données entre l'UE et les États-Unis en vigueur depuis 2016, et a posé des exigences nouvelles et contraignantes pour tout transfert de données hors de l'Espace Économique Européen (EEE). L'arrêt a été déclenché par Maximillian Schrems, militant autrichien pour la protection des données, qui contestait le transfert de ses données personnelles de Facebook Ireland vers les serveurs américains de Facebook Inc. La CJUE a conclu que le droit américain en matière de surveillance (FISA Section 702, Executive Order 12333) ne garantissait pas un niveau de protection substantiellement équivalent à celui du RGPD, notamment en raison de l'accès disproportionné des services de renseignement américains aux données des Européens et de l'absence de recours effectifs pour ces derniers. Sur le fond, la CJUE a invalidé le Privacy Shield mais a maintenu la validité des CCT comme mécanisme de transfert, sous condition. Elle a cependant précisé que les CCT ne suffisent pas à elles seules : elles doivent être accompagnées d'une évaluation du cadre juridique du pays destinataire (Transfer Impact Assessment, TIA) et, si nécessaire, de mesures supplémentaires techniques ou contractuelles pour garantir une protection équivalente. Les conséquences pratiques ont été immenses : toutes les organisations européennes transférant des données vers des pays tiers (en particulier les États-Unis) ont dû évaluer leurs flux, réaliser des TIA et potentiellement mettre en place des mesures supplémentaires. Les autorités de contrôle européennes (DPC irlandaise, CNIL française, etc.) ont prononcé des injonctions à l'encontre d'organisations utilisant des outils américains (Google Analytics, Facebook Pixel) sans garanties suffisantes. En juillet 2023, la Commission européenne a adopté une nouvelle décision d'adéquation pour les États-Unis via le Data Privacy Framework (DPF), successeur du Privacy Shield. Le DPF vise à répondre aux préoccupations de Schrems II en créant de nouveaux mécanismes de recours pour les citoyens européens. Des recours en annulation devant la CJUE sont en cours (Schrems III).

Faits et décision de la CJUE

L'arrêt Schrems II (CJUE, 16 juillet 2020) a invalidé le Privacy Shield UE-États-Unis, adopté en 2016 en remplacement du Safe Harbor (invalidé par Schrems I en 2015). La CJUE a jugé que les programmes de surveillance américains (FISA §702, Executive Order 12333) ne garantissaient pas un niveau de protection équivalent au RGPD, notamment en raison de l'accès massif des services de renseignement et de l'absence de voies de recours effectifs pour les citoyens de l'UE.

La Cour a maintenu la validité des CCT mais a exigé que les exportateurs vérifient, cas par cas, si le droit du pays destinataire permet de respecter les garanties offertes par les CCT. Si ce n'est pas le cas, le transfert doit être suspendu ou renoncé. Cette obligation de vérification a créé le concept de Transfer Impact Assessment (TIA).

Impact opérationnel

Les conséquences immédiates ont été massives : suspension ou mise en conformité urgente de milliers de flux de données vers les États-Unis, remise en question des outils d'analyse (Google Analytics, Facebook Pixel, Mailchimp, Hubspot), et exigences de nouveaux DPA et TIA avec tous les prestataires américains. La DPA autrichienne a déclaré en 2022 que l'utilisation de Google Analytics était illégale, suivie par plusieurs homologues européens.

Le CEPD a publié en novembre 2020 ses recommandations 01/2020 sur les mesures supplémentaires pour assurer des transferts conformes : chiffrement de bout en bout avec clés gérées en Europe, confidential computing, pseudonymisation avant transfert. Les fournisseurs cloud américains ont développé des solutions de gestion des clés en UE (AWS KMS avec clés client, Google CMEK, Microsoft BYOK) pour répondre à ces exigences.

Data Privacy Framework et Schrems III

En juillet 2023, la Commission européenne a adopté la décision d'adéquation pour le Data Privacy Framework (DPF) UE-États-Unis. Le DPF introduit un tribunal de révision de la protection des données (DPRC) permettant aux Européens de contester les accès des services de renseignement américains. Les organisations américaines certifiées au DPF peuvent recevoir des données européennes sans CCT.

Maximillian Schrems a annoncé des recours contre le DPF (Schrems III), arguant que les réformes américaines restent insuffisantes. L'incertitude juridique demeure pour les transferts UE-États-Unis. Les organisations sont encouragées à maintenir leurs CCT et TIA comme filet de sécurité, même en utilisant le DPF, pour le cas où celui-ci serait invalidé.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis