La justice européenne a invalidé jeudi un mécanisme crucial permettant le transfert de données personnelles entre l’Union européenne et les Etats-Unis – le « Privacy Shield » – en raison du risque que font peser les programmes de surveillance américains sur la protection de ces données.
A l’origine de l’affaire : une plainte de Max Schrems auprès du régulateur irlandais, réclamant l’interruption du flux de données entre le siège européen de Facebook, en Irlande, et sa maison-mère en Californie. Raison invoquée : une fois aux Etats-Unis, ses données sont moins protégées, car elles peuvent être réclamées par des agences de renseignement, comme la NSA ou le FBI, sans recours, ni contrôle, comme l’ont montré les révélations du lanceur d’alerte Edward Snowden. La CJUE a choisi d’aller dans son sens.
Cette décision a été accueillie comme une victoire par le juriste autrichien Max Schrems, figure de la lutte pour la protection des données, qui était à l’origine de l’affaire via une plainte contre Facebook.
« Après une première lecture du jugement sur le ‘Privacy Shield’, il semble que nous ayons gagné à 100 % – pour notre vie privée », écrit sur Twitter celui qui s’était fait connaître en faisant déjà annuler en 2015 un accord similaire entre l’UE et les Etats-Unis.
« Les États-Unis devront engager une sérieuse réforme de la surveillance pour revenir à un statut ‘privilégié’ pour les entreprises américaines » leur permettant de transférer des données, a-t-il ajouté.
La Cour de justice de l’UE (CJUE) estime dans son arrêt que le « Privacy Shield » rend « possible des ingérences dans les droits fondamentaux des personnes dont les données sont transférées » vers les Etats-Unis, car les autorités publiques américaines peuvent y avoir accès, sans que cela ne soit limité « au strict nécessaire ».