Pas de période de transition après la fin du Privacy Shield

L’EDPB, l’autorité européenne pour la protection des données, signale que les entreprises ont tout intérêt à actualiser immédiatement leurs transferts de données, à présent que l’accord Privacy Shield sur les données conclu avec les Etats-Unis a été déclaré non valable.

La semaine dernière, la Cour supérieure de Justice européenne a aboli le traité qui réglementait les transferts de données entre l’UE et les Etats-Unis. Ce traité appelé Privacy Shield n’offrait pas suffisamment de garanties en matière de respect de la vie privée des citoyens, selon la Cour européenne.

Cela signifie aussi que les entreprises qui utilisaient cette réglementation pour envoyer des données aux Etats-Unis, doivent y renoncer directement, selon l’EDPB. Dans une FAQ que l’organisation a publiée (pdf), elle explique notamment qu’il n’y aura pas de période de transition. Les entreprises ont donc tout intérêt à examiner si leur stratégie et leurs processus doivent être actualisés.

Dans la pratique, cela revient à dire que la Cour supérieure de Justice européenne estime que les données des citoyens de l’UE, qui sont transférées vers d’autres pays, doivent faire l’objet de la même protection que dans l’UE même, à savoir les règles de confidentialité GDPR. Le traité Privacy Shield tenta d’offrir une solution globale pour les transferts de données vers les Etats-Unis, comme par exemple pour leur traitement par de grandes firmes technologiques telles Facebook ou Google, qui opèrent dans les deux zones. Mais ce traité semble donc à présent ne pas être suffisamment strict. Les entreprises, qui utilisaient d’autres manières, comme des contrats standards (SCC) pour réguler leurs transferts de données, peuvent simplement continuer d’y avoir recours, à condition que ces contrats satisfassent au GDPR. Les entreprises, qui utilisaient le traité Privacy Shield plus large, ne sont, elles, plus autorisées à expédier des données aux Etats-Unis et ce, jusqu’à ce qu’il y ait un nouveau traité.