Transfert de données UE-USA : le CEPD publie une déclaration sur le projet de nouveau cadre transatlantique pour la protection des données personnelles

Le Comité européen de la protection des données (CEPD) a publié le 6 avril une déclaration sur l'accord de principe entre la Commission européenne et les États-Unis sur un projet de cadre transatlantique de protection des données personnelles annoncé le 25 mars dernier.

Le CEPD rappelle que cette annonce ne constitue pas un cadre légal sur lequel les exportateurs de données peuvent fonder leurs transferts vers les États-Unis. À ce titre, ils doivent continuer à mettre en œuvre les actions requises pour être en conformité avec la jurisprudence de la CJUE, en particulier son arrêt Schrems II du 16 juillet 2020 (V. Transfert de données UE-USA : la CJUE annule le Privacy Shield et Arrêt « Schrems II » : le décryptage de la CNIL dans des questions-réponses).

L'on rappelera que le RGPD impose à la Commission européenne de solliciter l'avis du CEPD avant d'adopter une potentielle nouvelle décision d'adéquation reconnaissant un niveau satisfaisant de protection des données garanti par les autorités étasuniennes.

Dans le cadre de la préparation de son avis, ce dernier prévoit d'examiner notamment les points suivants :

• la stricte nécessité et la proportionnalité de la collecte de données personnelles à des fins de sécurité nationale ;
• le respect du droit à un recours effectif et à un procès équitable ;
• l'éventualité d'une nouvelle autorité pouvant adopter des décisions contraignantes pour les services de renseignement ;
• l'existence d'un recours judiciaire contre les décisions ou l'inaction de cette autorité.