Il est apparu que des informations sensibles de chauffeurs Uber exer\u00e7ant en Europe (comme des licences de taxi, donn\u00e9es de localisation, photos, informations de paiement, documents d’identit\u00e9, casier judiciaire) ont \u00e9t\u00e9 transf\u00e9r\u00e9es par Uber Europe pour \u00eatre stock\u00e9es sur des serveurs d’Uber aux USA.<\/p>\n\n\n\n
Uber n’avait plus de \u00ab\u00a0garanties appropri\u00e9es\u00a0\u00bb suite \u00e0 l’invalidation du \u00ab\u00a0privacy shield\u00a0\u00bb qui d\u00e9signait les USA comme un \u00ab\u00a0pays ad\u00e9quat\u00a0\u00bb. Ce n’est qu’\u00e0 partir du moment o\u00f9 Uber s’est inscrite aux USA, sur la liste du \u00ab\u00a0Data Privacy Framework<\/strong>\u00a0\u00bb (DPF), que les garanties entourant le transfert ont \u00e9t\u00e9 consid\u00e9r\u00e9es comme suffisantes.<\/p>\n\n\n\n Cet \u00e9pisode est une piqure de rappel pour toutes les entreprises : lorsque votre entreprise est responsable de traitement, elle supporte la responsabilit\u00e9 de prot\u00e9ger les donn\u00e9es lors d’un transfert en dehors de l’Union europ\u00e9enne. Votre entreprise doit pouvoir d\u00e9montrer qu’elle respecte les principes du RGPD (art. 5.2 RGPD) et justifier la mise en \u0153uvre de toutes les mesures techniques et organisationnelles n\u00e9cessaires \u00e0 cet effet (art. 24 RGPD).<\/p>\n\n\n\n A d\u00e9faut, votre entreprise s’expose \u00e0 de lourdes amendes, comme le d\u00e9montre le cas d’Uber. Cet article a pour objet de rappeler les principes et mesures \u00e0 prendre pour \u00e9viter ce type de situation.<\/p>\n\n\n\n Qu’est-ce qu’un transfert de donn\u00e9es personnelles en dehors de l’UE ?<\/strong><\/p>\n\n\n\n Il y a transfert de donn\u00e9es personnelles en dehors de l’UE lorsque des donn\u00e9es personnelles sont envoy\u00e9es par un responsable de traitement (ou par son sous-traitant, avec son autorisation) vers un pays non<\/strong> membre de l’UE et ce afin que ces donn\u00e9es fassent l’objet d’un traitement apr\u00e8s ce transfert.<\/p>\n\n\n\n Le r\u00f4le de la personne exer\u00e7ant le traitement importe peu, il peut s’agir d’un sous-traitant ou d’un autre responsable de traitement. Le traitement est d\u00e9fini de mani\u00e8re large: il ne faut pas n\u00e9cessairement qu’il y a une utilisation \u00ab\u00a0active\u00a0\u00bb des donn\u00e9es, un simple stockage, par exemple sur un h\u00e9bergement sur un serveur (p.ex. AWS), constitue aussi un traitement, m\u00eame si les donn\u00e9es ne sont pas activement utilis\u00e9es.<\/p>\n\n\n\n \u00c0 quelles conditions les donn\u00e9es peuvent-elles \u00eatre transf\u00e9r\u00e9es hors UE ?<\/strong><\/p>\n\n\n\n Le RGPD (art. 44 et s.) oblige le responsable de traitement exportateur de donn\u00e9es \u00e0 veiller \u00e0 ce que le transfert envisag\u00e9 \u00ab\u00a0ne compromette pas le niveau de protection des personnes physiques\u00a0\u00bb. Pour assurer le niveau de protection, diff\u00e9rentes mesures de protection sont propos\u00e9es par le RGPD.<\/p>\n\n\n\n Premi\u00e8re mesure de protection : le transfert vers un pays \u00ab\u00a0ad\u00e9quat\u00a0\u00bb<\/u><\/em><\/p>\n\n\n\n La premi\u00e8re mesure – et la plus facile \u00e0 mettre en \u0153uvre – est de n’envoyer les donn\u00e9es personnelles uniquement vers un destinataire install\u00e9 dans un pays consid\u00e9r\u00e9 par la Commission europ\u00e9enne comme \u00ab\u00a0ad\u00e9quat\u00a0\u00bb, c’est-\u00e0-dire offrant des garanties suffisantes de protection des donn\u00e9es.<\/p>\n\n\n\n Lorsque le pays est \u00ab\u00a0ad\u00e9quat\u00a0\u00bb, le transfert de donn\u00e9es vers une entreprise install\u00e9e dans ce pays ne doit plus \u00eatre encadr\u00e9 de mani\u00e8re particuli\u00e8re. <\/strong>Les garanties sont v\u00e9rifi\u00e9es sur la base de crit\u00e8res pr\u00e9d\u00e9finis dans le RGPD. Si ces crit\u00e8res sont rencontr\u00e9s, la Commission rend une \u00ab\u00a0d\u00e9cision d’ad\u00e9quation\u00a0\u00bb, cette d\u00e9cision \u00e9tant revue sur base r\u00e9guli\u00e8re.<\/p>\n\n\n\n Les pays consid\u00e9r\u00e9s comme \u00ab\u00a0ad\u00e9quats\u00a0\u00bb sont actuellement: Andorre, Argentine, \u00celes F\u00e9ro\u00e9, Guernesey, \u00cele de Man, Japon, Jersey, Nouvelle-Z\u00e9lande, Suisse, Uruguay et \u00c9tats-Unis (sous conditions) et Canada (sous conditions).<\/p>\n\n\n\n Il existe, pour le Canada et les USA, des dispositions particuli\u00e8res \u00e0 respecter.<\/p>\n\n\n\n Pour les USA<\/strong> : lors d’un transfert de donn\u00e9es vers les USA, le responsable de traitement doit pr\u00e9alablement s’assurer que le destinataire figure sur la liste \u00ab\u00a0Data Privacy Framework\u00a0\u00bb. Cette liste, exhaustive, comprend l’ensemble des entreprises qui se sont engag\u00e9es \u00e0 respecter certaines conditions, sous la forme d’une auto-certification. Cette liste est consultable \u00e0 l’adresse: https:\/\/www.dataprivacyframework.gov\/list<\/a>. Il est important de noter que (i) les USA ne sont pas assimil\u00e9s dans leur ensemble \u00e0 un \u00ab\u00a0pays ad\u00e9quat\u00a0\u00bb, mais uniquement les destinataires et (ii) des recours ont \u00e9t\u00e9 introduits contre le DFA et il est donc possible qu’il soit prochainement annul\u00e9 par la CJUE, \u00e0 l’instar du \u00ab\u00a0privacy shield\u00a0\u00bb (annulation courant 2025 ?).<\/p>\n\n\n\n Pour le Canada <\/strong>: la l\u00e9gislation de protection des donn\u00e9es canadienne jug\u00e9e comme \u00ab\u00a0ad\u00e9quate\u00a0\u00bb ne s’applique qu’aux entit\u00e9s commerciales (entreprises du secteur priv\u00e9 active dans le commerce, les services financiers, etc.).<\/p>\n\n\n\n Seconde mesure de protection : les outils de transfert ou \u00ab\u00a0garanties appropri\u00e9es\u00a0\u00bb<\/u><\/em><\/p>\n\n\n\n En l\u2019absence d’une d\u00e9cision d’ad\u00e9quation, le responsable de traitement doit s’assurer de la mise en place de garanties individuelles<\/strong> avant de transf\u00e9rer les donn\u00e9es hors de l’UE. <\/p>\n\n\n\n Le responsable de traitement qui transfert des donn\u00e9es peut l’encadrer par les clauses contractuelles types (CCT), \u00e0 ins\u00e9rer dans le contrat de sous-traitance. Ces clauses, mises \u00e0 jour r\u00e9guli\u00e8rement par la Commission europ\u00e9enne et disponibles ici<\/a>, sont compos\u00e9es de deux parties: une partie \u00ab\u00a0r\u00e9glementaire\u00a0\u00bb, \u00e0 copier\/coller tel quel dans le contrat (moyennant quelques choix) et une partie \u00ab\u00a0formulaire\u00a0\u00bb \u00e0 compl\u00e9ter individuellement pour chaque contrat. Il est imp\u00e9ratif de compl\u00e9ter correctement les clauses contractuelles afin que l’encadrement soit bien effectu\u00e9. <\/p>\n\n\n\n Les r\u00e8gles d’entreprise contraignante (Binding Corporate Rules (BCR) en anglais) est une politique de protection de donn\u00e9es intra-groupe, mise en place pour un ensemble de soci\u00e9t\u00e9s filiales situ\u00e9es dans divers pays et qui s’\u00e9changent des donn\u00e9es personnelles. Les BCR sont soumises \u00e0 un agr\u00e9ment pr\u00e9alable de l’autorit\u00e9 de contr\u00f4le comp\u00e9tente, suivant un cahier des charges. Les r\u00e8gles d’entreprise contraignantes s’appliquent habituellement aux soci\u00e9t\u00e9s disposant de filiales hors UE et effectuant r\u00e9guli\u00e8rement des transferts de donn\u00e9es.<\/p>\n\n\n\n Les codes de conduite sont similaires aux BCR, \u00e0 la diff\u00e9rence que c’est un secteur entier qui est concern\u00e9 et non un groupe multinational individuel. Les codes de conduite sont \u00e9labor\u00e9s par des associations repr\u00e9sentant des cat\u00e9gories d\u2019organisations. Un syst\u00e8me d\u2019organismes accr\u00e9dit\u00e9s qui contr\u00f4lent le respect du code de conduite doit \u00eatre mis en place. Un exemple de code de conduite est celui de la Chambre nationale des notaires, approuv\u00e9 par l’APD le 8 avril 2021 et arr\u00eat\u00e9 dans un arr\u00eat\u00e9 royal du 24 juillet 2021.<\/p>\n\n\n\n Il est utile de noter que la simple adh\u00e9sion \u00e0 un code de conduite ne constitue pas un blanc-sein du respect du RGPD. Encore faut-il pouvoir d\u00e9montrer une application concr\u00e8te des dispositions qui sont reprises. Des contr\u00f4les sont en principe pr\u00e9vu dans les codes de conduite – sans pr\u00e9judice des contr\u00f4les r\u00e9alis\u00e9s par l’APD elle-m\u00eame.<\/p>\n\n\n\n La certification est une proc\u00e9dure par laquelle les entreprises sont certifi\u00e9es<\/strong> par les autorit\u00e9s de contr\u00f4le ou certifi\u00e9es par des organismes eux-m\u00eames certifi\u00e9s par les autorit\u00e9s de contr\u00f4le. Une certification d\u00e9montre le respect de certains crit\u00e8res op\u00e9rationnels et juridiques. Le certificat peut \u00eatre retir\u00e9. Ce processus reste th\u00e9orique, il n’existe en effet que 5 organismes actuellement actifs (dont la liste est disponible ici<\/a>) sans pour autant que les certifications puissent autoriser le transfert \u00e0 eux seuls.<\/p>\n\n\n\n Les parties peuvent d\u00e9cider de ne pas utiliser les clauses contractuelles types (CCT) de la Commission europ\u00e9enne et d’adopter leur propres clauses<\/strong> \u00ab\u00a0ad hoc\u00a0\u00bb. Ces clauses doivent apporter des garanties suffisante et doivent \u00eatre approuv\u00e9es par l’autorit\u00e9 de contr\u00f4le au pr\u00e9alable.<\/p>\n\n\n\n Appliquer ces \u00ab\u00a0garanties appropri\u00e9es\u00a0\u00bb ne pourrait toutefois pas toujours suffire\u2026En effet, la Cour de Justice de l’Union europ\u00e9enne a jug\u00e9, dans un arr\u00eat d\u00e9sormais c\u00e9l\u00e8bre (\u00ab\u00a0Schrems II\u00a0\u00bb), que les garanties appropri\u00e9es ne pouvaient \u00eatre examin\u00e9es sans avoir \u00e9gard au contexte juridique<\/strong> dans lequel elles s’appliquent.<\/p>\n\n\n\n Par exemple, les clauses contractuelles peuvent \u00eatre limit\u00e9es (voire leurs effets annihil\u00e9s) par le droit imp\u00e9ratif ou d’ordre public du pays de destination (on pense par exemple aux dispositions am\u00e9ricaines qui permettent de consulter les donn\u00e9es dans le cadre de dossier relevant de l’int\u00e9r\u00eat s\u00e9curitaire am\u00e9ricain).<\/p>\n\n\n\n La Cour de Justice juge qu’il est de la responsabilit\u00e9 de l’exportateur des donn\u00e9es de v\u00e9rifier<\/strong>, au cas par cas et, le cas \u00e9ch\u00e9ant, en collaboration avec l\u2019importateur dans le pays tiers, si le droit ou la pratique du pays tiers compromet l\u2019efficacit\u00e9 des garanties appropri\u00e9es contenues dans les instruments de transfert. Dans ces cas, la Cour estime qu’il appartient aux exportateurs de mettre en \u0153uvre des mesures suppl\u00e9mentaires qui rem\u00e9dient \u00e0 ces lacunes de la protection et la portent au niveau exig\u00e9 par le droit de l\u2019Union\u2026 La Cour de Justice ne pr\u00e9cise pas quelles pourraient \u00eatre ces mesures.<\/p>\n\n\n\n Or, identifier les \u00ab\u00a0lacunes\u00a0\u00bb et adopter des \u00ab\u00a0mesures suppl\u00e9mentaires\u00a0\u00bb apparaissent comme des t\u00e2ches particuli\u00e8rement complexes pour une entreprise<\/strong>, d’autant qu’il s’agit de le v\u00e9rifier dans le pays de destination. Le comit\u00e9 europ\u00e9en de la protection des donn\u00e9es a adopt\u00e9 des recommandations afin d\u2019aider les exportateurs (qu\u2019il s\u2019agisse de responsables du traitement ou de sous-traitants) \u00e0 s\u2019acquitter de ces t\u00e2ches: (i) connaitre et cartographier tous les transferts, (ii) v\u00e9rifier quel est la garantie d’application (d\u00e9cision d’ad\u00e9quation, CCT, code de conduite, etc.), (iii) \u00e9valuer si le droit national de destination affecte ou est susceptible d’affecter l’efficacit\u00e9 des garanties appropri\u00e9es, (iv) adopter des mesures suppl\u00e9mentaires (chiffrement, pseudonymisation, transfert fractionn\u00e9 \u00e0 deux destinataires ind\u00e9pendants, obligations d transparence, audit, mesures techniques sp\u00e9cifiques, etc).<\/p>\n\n\n\n La troisi\u00e8me voie: les \u00ab\u00a0d\u00e9rogations\u00a0\u00bb en cas de \u00ab\u00a0situations particuli\u00e8res\u00a0\u00bb<\/u><\/em><\/p>\n\n\n\n En l\u2019absence de d\u00e9cision d’ad\u00e9quation ou de garanties appropri\u00e9es, le transfert peut \u00eatre r\u00e9alis\u00e9 par d\u00e9rogation<\/strong>, dans des situations particuli\u00e8res :<\/p>\n\n\n\n Lorsqu’aucune de ces situations n’est applicable, un transfert vers un pays tiers reste tout de m\u00eame autoris\u00e9 si les conditions suivantes sont respect\u00e9es :<\/p>\n\n\n\n <\/p>\n\n\n\n Conclusion<\/strong><\/p>\n\n\n\n Il est que chaque responsable de traitement identifie correctement les transferts de donn\u00e9es et soit en mesure de connaitre les destinataires des donn\u00e9es. Lorsqu’elles sont transf\u00e9r\u00e9es hors UE, le responsable de traitement veille \u00e0 utiliser des garanties appropri\u00e9es si le pays de destination n’est pas ad\u00e9quat.<\/p>\n\n\n\n Pour rappel, toutes ces d\u00e9marches et les choix qui ont \u00e9t\u00e9 pos\u00e9s doivent imp\u00e9rativement \u00eatre document\u00e9s. En effet, le principe d’accountability s’impose \u00e0 lui, \u00e0 savoir l\u2019obligation pour les entreprises de mettre en \u0153uvre des m\u00e9canismes et des proc\u00e9dures internes permettant de d\u00e9montrer le respect des r\u00e8gles relatives \u00e0 la protection des donn\u00e9es (CNIL).<\/p>\n\n\n\n Thibault Caeymaex<\/a><\/p>\n\n\n\n Associate Partner THALES Lawyers <\/p>\n\n\n\n\n
\n
\n
\n
\n
\n
\n
\n
![\"thibault-caeymaex\"](\"https:\/\/www.thales.be\/wp-content\/uploads\/2024\/05\/tca-scaled-e1715689586941-1024x1024.jpg\")
<\/figure>\n\n\n\n