Déclaration sur la décision d'adéquation de la Commission européenne concernant les États-Unis
Aujourd'hui, la Commission européenne a publié une nouvelle décision d'adéquation remplaçant la décision "Privacy Shield", qui avait été invalidée par la Cour de justice de l'UE (CJUE) au sujet de la surveillance américaine. La CJUE a exigé (1) que la surveillance américaine soit proportionnée au sens de l'article 52 de la Charte des droits fondamentaux (CFR) et (2) qu'il y ait un accès à un recours judiciaire, comme l'exige l'article 47 CFR. La loi américaine actualisée (Executive Order 14086) ne semble pas répondre à ces deux exigences, car elle ne change pas la situation par rapport à la PPD-28 précédemment applicable. Il y a toujours une "surveillance massive" et un "tribunal" qui n'est pas un vrai tribunal. Par conséquent, toute "décision d'adéquation" de l'UE basée sur l'Executive Order 14086 ne satisfera probablement pas la CJUE.
Comme l'a souligné noyb dans sa précédente déclaration sur le décret américain 14086, les changements apportés au droit américain semblent plutôt minimes. Certains amendements, tels que l'introduction du principe de proportionnalité ou l'établissement d'une Cour, semblent prometteurs - mais en y regardant de plus près, il devient évident que l'Executive Order surestime et sous-exécute la protection des personnes non américaines. Il semble évident que toute "décision d'adéquation" de l'UE basée sur le décret 14086 ne satisfera probablement pas la CJUE. Cela signifie que le troisième accord entre le gouvernement américain et la Commission européenne pourrait échouer.
Max Schrems :"Nous allons analyser le projet de décision en détail dans les prochains jours. Comme le projet de décision est basé sur le fameux Executive Order, je ne vois pas comment il pourrait survivre à une contestation devant la Cour de justice. Il semble que la Commission européenne ne fait qu'émettre des décisions similaires encore et encore - en violation flagrante de nos droits fondamentaux."
Le projet de décision va maintenant être examiné par le Conseil européen de la protection des données (CEPD) et les États membres de l'Union européenne. Toutefois, même les déclarations négatives du CEPD et des États membres ne sont pas contraignantes pour la Commission. Une fois la décision publiée, les entreprises européennes pourront s'y fier lorsqu'elles enverront des données aux États-Unis. La décision finale n'est pas attendue avant le printemps 2023. Les utilisateurs pourront alors contester la décision via les tribunaux nationaux et européens.
