Safe Harbor : cette remise en cause qui crispe les industriels

DigitalEurope s’inquiète des conclusions rendues la semaine dernière par Yves Bot, avocat général de la Cour de justice de l’Union européenne, à propos de l’accord Safe Harbor.

Le groupe de pression, qui fédère 35 organisations professionnelles nationales – dont l’Afdel en France – et 59 entreprises du secteur parmi lesquelles Apple, Google, Microsoft et Oracle, craint un impact négatif « sur les flux internationaux de données » et redoute un préjudice « à la création d’un marché numérique unique en Europe ».

Le rapport présenté par Yves Bot n’a que valeur d’éclairage pour les magistrats de la CJUE, dont la décision définitive est attendue ultérieurement. Mais il suffit à alerter le lobby de l’industrie technologique.

A l’inverse, La Quadrature du Net salue « des conclusions claires et protectrices ». L’association de défense des droits et des libertés des citoyens évoque « un pas dans la bonne direction ».

Le verdict de l’avocat général s’inscrit dans le cadre d’un différend qui oppose Facebook à l’activiste autrichien Max Schrems. Ce dernier exige que la filiale européenne du réseau social américain – implantée en Irlande – cesse de transférer les données des citoyens européens, dans la mesure où les États-Unis n’assureraient pas un niveau de protection adéquat, notamment au regard du programme PRISM permettant à la NSA d’accéder librement aux informations stockées sur des serveurs situés sur le territoire américain.

C’est précisément l’objet du Safe Harbor. Traduit en français par « Sphère de sécurité », cet ensemble de principes de protection des données personnelles négocié à la fin des années 90 entre les autorités américaines et la Commission européenne est entériné par une décision du 26 juillet 2000.

L’objectif principal est de permettre aux entreprises établies aux États-Unis de certifier qu’elles respectent la législation de l’Espace économique européen, en échange de quoi elles obtiennent l’autorisation de transférer les données qu’elles y collectent vers les USA.

« Snowden was here »

L’accord ne doit, en théorie, rester applicable qu’aussi longtemps que le pays de destination des données en assure une protection adéquate. Or, aux États-Unis, cet engagement a été mis à mal par les révélations d’Edward Snowden.

Sollicité par un jeu de ping-pong*, l’avocat général a estimé que la protection des données n’était effectivement pas assurée : à défaut de garanties suffisantes, la mise en oeuvre du Safe Harbor ne répond plus aux exigences requises par la directive et par la Charte européenne des droits de l’homme.

Et d’estimer que les autorités nationales de contrôle devraient pouvoir enquêter et suspendre, le cas échéant, le transfert de données personnelles de l’UE vers des serveurs situés aux US.

Cette position suscite aussi l’inquiétude de Bruxelles, qui considère qu’une suspension du Safe Harbor porterait atteinte aux intérêts économiques des deux blocs, Union européenne et États-Unis.

* Max Schrems s’était pourvu en 2014 auprès de l’autorité chargée de la protection de la vie privée en Irlande, pour les motifs sus-exposés. Sa plainte avait été rejetée. Saisie du dossier, la Haute Cour de justice irlandaise en avait délégué l’examen à la CJUE. D’où l’avis rendu par Yves Bot.

Crédit photo : fotomak – Shutterstock.com