Invalidation de l’accord « Safe Harbor » par la CJUE : les entreprises suisses dans l’illégalité ?

De nombreuses multinationales, telles que Google, Facebook, Microsoft, Amazon, Apple, mais aussi d’autres moins visibles, stockent leurs données informatiques aux Etats-Unis, même si celles-ci relèvent d’activités ou de dossiers qui sont étrangers à cette juridiction.

Or, selon le droit suisse et le droit européen, les Etats-Unis ne disposent pas d’une protection des données d’un niveau adéquat. Cela a été confirmé par l’affaire Wikileaks en particulier.

Pour pallier cette divergence d’approches entre les deux continents, un accord intitulé « Safe Harbor », conclu en 2000 par les gouvernements américain et européen, a instauré un cadre juridique permettant aux entreprises et organisations américaines de se conformer à la Directive européenne. En Suisse, un accord similaire mais adapté aux lois suisses sur la protection des données, le « US-Swiss Safe Harbor framework » (« Safe Harbor suisse »), a été conclu en 2008 par les gouvernements américain et suisse.

En 2013, un étudiant autrichien, Maximilian Schrems, a ouvert action contre Facebook pour violation de la protection de ses données. Jusqu’au 6 octobre 2015, personne n’y a véritablement porté attention.

Or, à cette date, la Cour de justice de l’Union Européenne (CJUE) a donné raison à cet étudiant et a invalidé l’accord « Safe Harbor » dans son arrêt Maximilian Schrems c. Data Protection Commissioner. La CJUE a constaté que le transfert de données personnelles vers les Etats-Unis sous la forme prévue par cet accord est insuffisant pour protéger lesdites données, notamment en raison de l’existence d’une surveillance massive et indiscriminée aux Etats-Unis et de l’absence de possibilité pour un individu d’exercer un recours judiciaire effectif.

Par la même occasion, les juges de la CJUE ont mis à mal le « Safe Harbor suisse ».

Il va sans dire que les différents acteurs des accords précités ont été pris de court.

La question de savoir quelles sont les conséquences de la décision de la CJUE du 6 octobre 2015 pour la Suisse se pose.

Le Préposé fédéral à la protection des données et à la transparence (« le PFPDT ») a affirmé que le « Safe Harbor suisse » n’est désormais plus une base légale suffisante pour une transmission de données vers les Etats-Unis conforme au droit suisse.

Un nouvel accord doit ainsi être renégocié incessamment avec les Etats-Unis, et il est évident que la Suisse ne pourra pas échapper à une collaboration à l’échelle internationale, notamment avec l’UE pour ce faire.

Ainsi, à l’heure actuelle, les entreprises suisses qui continuent à transmettre des données vers les Etats-Unis sur la base du « Safe Harbor suisse » le font dans un vide juridique qui les met dans une situation risquée en cas d’action judiciaire.

Dans ce cadre et en laissant transparaître une légère panique, le PFPDT a demandé aux entreprises suisses, à qui il recommandait avant 6 octobre 2015 de recourir au « Safe Harbor suisse », de mettre en œuvre promptement, tout en attendant le nouvel accord, les mesures suivantes :

– Convenir de garanties contractuelles permettant d’assurer un niveau de protection adéquat à l’étranger ;
– Informer de manière claire et exhaustive les personnes dont les données sont transmises lorsque les autorités américaines accèdent à ces données ;
– S’engager à mettre à disposition des personnes dont les données sont transmises les outils nécessaires à une protection juridique efficace, à exécuter réellement les procédures correspondantes et à accepter les décisions qui en résultent.

Il a demandé aux entreprises concernées de procéder aux adaptations contractuelles requises d’ici à la fin du mois de janvier 2016.

Wilhelm Avocats vous conseille sur le droit suisse de la protection des données, le « Safe Harbor suisse », les mesures à prendre d’ici à fin janvier 2016 et l’avancée des négociations.

WILHELM Avocats SA – 27/10/2015