Le 8 juillet 2016, les représentants des États membres de l’UE réunis au sein du comité "article 31" ont approuvé la version finale du bouclier de protection des données UE-États-Unis dit "Privacy Shield , ouvrant ainsi la voie à l’adoption formelle des textes juridiques et à la mise en service de ce dispositif.

Pour rappel 

Le 2 février 2016, la Commission européenne avait annoncé qu’elle avait trouvé un accord avec les Etats-Unis sur un nouveau dispositif qui encadre le transfert commercial par des entreprises américaines de données de citoyens européens et l’accès des autorités publiques américaines à ces données. Les négociations avaient été lancées à la suite de l’arrêt Schrems rendu par la Cour de justice de l’UE le 6 octobre 2015 qui avait invalidé la décision du 26 juillet 2000 mettant en œuvre l’accord dit Safe Harbour.

Par ce nouvel accord baptisé "Privacy Shield", les USA s’étaient engagés pour la première fois à ne pas opérer une surveillance de masse et indiscriminée des données des citoyens européens. De même, des mécanismes de recours doivent permettre à ces derniers de pouvoir contester l’usage abusif fait de leurs données par les entreprises américaines, tandis qu’un Médiateur américain traitera leurs griefs quant à l’éventuel accès des autorités publiques à leurs données.

Le 29 février, la Commission avait présenté les documents juridiques correspondants.

Le 13 avril 2016, les autorités européennes de protection des données personnelles, réunies au sein du groupe Article 29 (G 29), avaient exprimé leurs inquiétudes face au nouveau cadre juridique négocié avec les Etats-Unis pour Privacy Shield. Le G 29 avait estimé que le nouvel accord n'encadrait pas suffisamment la collecte généralisée de données, alors qu’ "une surveillance massive et indiscriminée ne peut jamais être considérée comme proportionnée et strictement nécessaire dans une société démocratique", comme il le disait dans son avis. Le G 29 était aussi préoccupé par les garanties insuffisantes sur les pouvoirs, l’efficacité et l’indépendance du médiateur américain chargé de recueillir et traiter les plaintes des citoyens européens. Il suggérait que les autorités nationales européennes de protection des données soient désignées comme les points de contact des citoyens pour leurs démarches. Pour ce qui est de la partie commerciale de l’accord, le G29 pointait du doigt le manque de garanties claires en cas de transferts des données vers des pays tiers ainsi que la liste d’exceptions à l’accès du citoyen aux données qui "a tendance à faire pencher la balance dans le sens des intérêts des entreprises".

Le 26 mai 2016, le Parlement européen, dûment consulté, adoptait par 501 voix pour, 119 contre, et 31 abstentions, une résolution non législative par laquelle il invitait la Commission européenne à poursuivre ses négociations avec les États-Unis. Les eurodéputés déploraient une collecte de masse de données et communications à caractère personnel par les Etats-Unis, qui bien que limitée à six cas, ne répondrait pas aux critères de nécessité et de proportionnalité définis par la Charte des droits fondamentaux de l'UE. Ils jugeaient eux aussi que la nouvelle fonction de médiateur introduite aux Etats-Unis n'est "pas suffisamment indépendante" ni "investie de compétences suffisantes pour exercer efficacement et faire respecter sa fonction". Enfin, ils jugeaient complexe le mécanisme de recours.

Des éléments de la nouvelle version de l’accord "Privacy Shield"

Le 8 juillet, le vice-président de la Commission, Andrus Ansip, et la commissaire Vera Jourová, ont publié une déclaration dans laquelle ils affirment que "le bouclier de protection des données UE-États-Unis offrira un niveau de protection élevé aux citoyens et procurera une sécurité juridique aux entreprises".

Ils énumèrent ensuite les caractéristiques du nouveau teste qui est selon eux "foncièrement différent de l’ancienne "sphère de sécurité"

• des obligations plus strictes aux entreprises qui traitent des données qui permettraient que ces règles soient appliquées et que leur respect soit assuré dans la pratique;
• l’assurance par écrit par les USA que l’accès des pouvoirs publics aux données à des fins répressives et de sécurité nationale serait subordonné à des limitations, des conditions et des mécanismes de surveillance bien définis;
• l’exclusion de toute surveillance de masse non ciblée des données des citoyens européens;
• la protection des droits fondamentaux et plusieurs mécanismes de recours accessibles et abordables.

Pour la Commission, "le vote des États membres intervenu aujourd'hui constitue un signe fort de confiance."

Le 11 juillet 2016, la commissaire Vera Jourová informera la commission des libertés civiles, de la justice et des affaires intérieures dite LIBE du Parlement européen de l'état d'avancement des travaux.