Une nouvelle incertitude plane sur les transferts de données entre l’Union européenne et les États-Unis. Le tribunal de l’UE se prononce mercredi 3 septembre sur le recours du député français Philippe Latombe contre le dernier accord européen sur la protection de la vie privée.

Le cadre UE-États-Unis de protection des données (DPF), en vigueur depuis juillet 2023, est actuellement en cause. Ce cadre légal permet à des milliers d’entreprises américaines de traiter plus facilement les données personnelles des Européens, en partant du principe que les données transférées aux États-Unis sont protégées d’une manière équivalente aux normes de l’UE en matière de protection de la vie privée.

Malgré l’application de la législation, les défenseurs de la vie privée l’ont critiquée dès le départ, avertissant qu’elle exposait encore les Européens aux lois de surveillance américaines.

Les prédécesseurs du DPF, le Safe Harbour et le Privacy Shield, ont été invalidés en 2015 et 2020, respectivement dans les affaires Schrems I et Schrems II, nommées d’après Max Schrems. Cet avocat et militant de la protection de la vie privée avait initialement porté plainte, mais il s’est abstenu cette fois-ci. C’est le député français Philippe Latombe qui a pris le relais et conteste le cadre actuel, l’estimant tout aussi mauvais.

Philippe Latombe demande purement et simplement l’annulation du DPF, s’inquiétant du volume de données personnelles concernées, de la faiblesse des mécanismes de recours, de l’absence de règles sur la prise de décision automatisée et de l’insuffisance des garanties en matière de sécurité des données. Selon lui, la législation américaine ne prévoit que de vagues mesures et n’impose pas d’obligations claires aux organisations qui transfèrent des données.

Si les juges estiment que le recours du député français n’est pas recevable, l’affaire pourrait être rejetée mercredi matin. Mais si la Cour reçoit favorablement sa requête, elle pourrait évaluer la validité du DPF et éventuellement l’annuler.

Dans les affaires Schrems I et II, l’un des arguments qui a convaincu les juges était l’absence de contrôle indépendant pour garantir la confidentialité des transferts de données. Cette question a refait surface depuis le retour de Donald Trump à la Maison-Blanche, où il a écarté des démocrates des organes chargés de la protection de la vie privée et du pouvoir judiciaire, suscitant des doutes quant à leur autonomie.

Des relations UE-États-Unis fragiles

Si le tribunal de l’UE annule le DPF, les transferts de données entre l’UE et les États-Unis seront à nouveau entachés de risques juridiques, de coûts de mise en conformité plus élevés et d’une plus grande incertitude pour les entreprises.

Toutefois, cette fois-ci, cette issue familière n’est pas la seule source d’inquiétude.

En 2015 et en 2020, Bruxelles et Washington ont rapidement cherché des solutions de remplacement après l’annulation des versions précédentes de l’accord. Aujourd’hui, cependant, les relations sont au plus bas. Depuis que Donald Trump a repris ses fonctions en janvier, son administration a multiplié les attaques contre l’UE, critiquant ses lois sur la technologie et affirmant que celles-ci sont hostiles aux entreprises américaines.

En cette période de tension entre l’UE et les États-Unis, les vents géopolitiques soufflent dans la direction de « la souveraineté des données, de la résilience domestique et de la compétitivité mondiale, et non du mondialisme et de la coopération internationale », a remarqué pour Euractiv Joe Jones, directeur de la recherche et des perspectives à l’Association internationale des professionnels de la vie privée.

L’indépendance des organes de contrôle américains étant remise en question, la Commission européenne est restée silencieuse sur la validité de l’accord au lieu de soutenir publiquement le cadre en place. Interrogée sur l’existence de plans d’urgence au cas où le cadre actuel tomberait, la Commission a refusé de spéculer.

L’arrêt de mercredi sera rendu par le Tribunal de première instance. Quel que soit le verdict, il peut faire l’objet d’un recours devant la Cour de justice de l’UE, une procédure qui pourrait donc encore durer des années.

(sn)