Journal Safe Harbor est mort, vive Safe Harbor !

Sommaire

• Le contexte
• Le point de vue américain sur la question des données personnelles
• La fin du Safe Harbor
• L'accord "Privacy Shield"
• Conclusion

Bonjour nal,

Un journal bookmark pour te parler d'un sujet qui tient hacker de pas mal de monde ici : la vie privée.

Le contexte

Comme tu le sais, l'accord Safe Harbor a été invalidé par la Cour de justice de l'Union Européenne en octobre 2015. La raison était simple mais quelque peu humiliante pour les rédacteurs de l'accord : l'accord offrait aux citoyens européens un niveau de protection inférieur à celui prévu par la directive régissant la protection des données personnelles. Cette directive interdisait en effet le transfert de données depuis l'Union Européenne vers des états non membres de l'UE offrant un niveau de protection moindre que le niveau européen. Comme le niveau de protection européen est très élevé, peu d'états offrent ce niveau de protection, et encore moins d'états concentrent protection élevée et concentration en personnes compétentes pour exploiter ces données. C'était la raison d'être de Safe Harbor : permettre le transfert de données entre l'UE et les USA dans le respect de la directive 95/46/CE. Concrètement, ça prenait la forme d'un traité entre l'UE et les USA où les américains s'engageaient sur un certain nombre de points de la protection des données personnelles des européens. Les entreprises devaient passer, tous les ans, un processus de certification de ces points. Les traités internationaux ayant force de loi, les USA pouvaient être vus comme aussi protecteurs que l'UE, ce qui permettait le transfert des données personnelles sans violer la directive 95/46/CE.

Le point de vue américain sur la question des données personnelles

À ce niveau, cher journal, il est bon que je te rappelle le point de vue américain sur la question. En droit américain, les données sont vues comme à peu près un bien marchand et appartiennent donc, comme tout bien marchand, à l'entreprise qui les produit. La marge d'intervention de la personne concernée par les données est donc extrêmement limitée puisqu'une fois la donnée produite, on n'a légalement plus la main dessus.

De plus, les entreprises américaines sont soumises au Patriot Act, qui leur impose de partager leurs données avec la NSA sur simple requête tout en leur interdisant d'informer quiconque de cette transmission de données. Edward Snowden a démontré que, non seulement la NSA faisait usage de ce dispositif, mais qu'elle en avait industrialisé l'usage au point d'avoir des accords de coopération avec plusieurs très grosses boîtes américaines.

La fin du Safe Harbor

Max Schrems est un activiste autrichien qui s'était déjà fait connaître pour son combat contre Facebook concernant la protection de la vie privée. Une de ses plaintes, déposée en Irlande, est remontée au niveau de la Cour de justice de l'Union Européenne. La Cour constate que Facebook respecte bien le Safe Harbor, pas de problème de ce point de vue. Ce qui est beaucoup plus problématique, c'est que le Safe Harbor est plus permissif que la directive qu'il est censé faire appliquer. La conclusion est alors évidente : le traité violant la loi qu'il est censé faire appliquer, il est lui-même caduc. Fin du Safe Harbor. commence alors une période d'incertitude juridique pour les entreprises américaines : même si la directive 95/46/CE était respectée en pratique après transfert des données, elle interdirait toujours le transfert des données vers les USA.

L'accord "Privacy Shield"

Le but du Privacy Shield, validé par la Commission Européenne le 12 juillet, est donc de fournir à nouveau un cadre juridique permettant le transfert de données personnelles vers les USA.

Problème : ce Privacy Shield n'est pas beaucoup plus protecteur que le défunt Safe Harbor. Par exemple, il prévoit un droit d'accès et de rectification des données personnelles erronées pour la personne concernée. Problème : ce que prévoit la directive 95/46/CE, c'est un droit d'accès, de rectification et de suppression. De même, la directive 95/46/CE, qui date de 1995, est très protectrice concernant les accès aux données par les états et les services de renseignement. Elle interdit notamment l'accès généralisé aux données (précisément la raison d'être de la NSA). Que prévoit le Privacy Shield ? Que l'on peut accéder aux données, si c'est pour la sécurité des états européens. On sent que le 13 novembre 2015 est passé par là. La Quadrature du Net ne s'y est d'ailleurs pas trompée, dans un communiqué publié dès le mois de mars.

Conclusion

En conclusion, j'ai bien peur qu'on ait remplacé Safe Harbor par quelque chose de pas vraiment plus protecteur. Il y avait pourtant des choses à faire, comme le droit au pseudonymat (n'est-ce pas Facebook), la protection contre la surveillance généralisée… J'ai bien peur que ce nouvel accord soit cassé tout comme l'ancien.
Je laisse le mot de la fin à la Cour de Justice de l'Union Européenne, la citation étant extraite de l'arrêt du 6 octobre 2015 :

La Commission était tenue de constater que les Etats-Unis assurent effectivement un niveau de protection substantiellement équivalent à celui garanti au sein de l’Union. La Cour relève que la Commission n’a pas opéré un tel constat.