Fiche de révision : Protection des données et transferts

📋 Plan du Cours

1. Protection des données dans l’Union européenne
2. Principes et droits du RGPD
3. Décisions d’adéquation
4. Garanties contractuelles et règles internes
5. Dérogations aux transferts encadrés
6. États-Unis et transferts de données
7. Protections des données en Afrique
8. Droit chinois et données européennes

📅 Repères chronologiques

1. 2015Dans l’affaire Schrems I, la Cour de justice de l’Union européenne a invalidé le système du Safe Harbor.
2. 2019L’Union européenne et le Japon ont reconnu leurs systèmes de protection des données comme offrant un niveau de protection équivalent.
3. 2020Dans l’arrêt Schrems II, la Cour de justice de l’Union européenne a invalidé le Privacy Shield en raison de l’accès possible des autorités américaines aux données et du manque de recours pour les Européens.
4. octobre 2020Le Conseil d’État a estimé que l’accès aux données du Health Data Hub par les services de renseignement américains ne pouvait pas être totalement exclu et a demandé des précautions particulières sous le contrôle de la CNIL, sans ordonner la suspension immédiate de la plateforme.
5. juillet 2022L’autorité chinoise du cyberespace (CAC) a infligé à Didi une amende de 1,2 milliard de dollars pour des manquements en matière de sécurité des données, après avoir jugé que son introduction en bourse à New York risquait d’exposer des données sensibles pour la sécurité nationale chinoise.
6. 12 mai 2023L’autorité irlandaise de protection des données a condamné Meta à une amende de 1,2 milliard d’euros pour des transferts de données d’utilisateurs européens de Facebook vers les États-Unis reposant sur des clauses contractuelles types jugées insuffisantes.
7. juillet 2023La Commission européenne a adopté une décision d’adéquation concernant le EU-US Data Privacy Framework, qui permet les transferts vers les entreprises américaines participant à ce cadre.

📖 1. Protection des données dans l’Union européenne

🔑 Notions clés & Définitions

• Donnée personnelle : RGPD - Toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement.
• Traitement : Toute opération effectuée sur des données personnelles, de manière automatisée ou non, notamment leur collecte, leur enregistrement, leur conservation, leur consultation, leur modification, leur transmission ou leur suppression.

★ À maîtriser

• Le RGPD est le règlement européen numéro 2016/679, adopté le 27 avril 2016 et applicable depuis le 25 mai 2018.

• La protection des données repose sur trois catégories d’acteurs :

  • l’Union européenne, qui établit le cadre juridique
  • les autorités nationales, qui contrôlent son application
  • les organisations, qui doivent respecter leurs obligations

Compléments

📌 Un pays tiers est un État qui ne fait pas partie de l’Union européenne.

• Le RGPD a remplacé la directive européenne 95/46/CE du 24 octobre 1995.

• En France, la CNIL, Commission nationale de l’informatique et des libertés, contrôle les organismes, les accompagne dans leur mise en conformité et peut prononcer des sanctions en cas de violation du RGPD.

📖 2. Principes et droits du RGPD

★ À maîtriser

• Le RGPD vise notamment à donner aux personnes davantage de contrôle sur leurs données personnelles et à encadrer leur collecte et leur utilisation par les organisations.

• L’article 5 du RGPD énonce sept principes :

  • licéité, loyauté et transparence
  • limitation des finalités
  • minimisation des données
  • exactitude
  • limitation de la conservation
  • intégrité et confidentialité
  • responsabilité

Compléments

• Le droit d’accès prévu à l’article 15 du RGPD permet à une personne de consulter les données collectées à son sujet et d’obtenir une copie lisible du traitement.

• Le droit de rectification prévu à l’article 16 du RGPD permet de corriger ou de mettre à jour des informations inexactes.

📌 Le droit à l’effacement prévu à l’article 17 du RGPD permet d’exiger la suppression des données, notamment lorsqu’elles ne sont plus nécessaires, lorsque le consentement est retiré ou lorsque le traitement est illicite.

• Le principe de responsabilité impose à l’organisme qui traite des données de prouver qu’il respecte les règles du RGPD.

• Selon l’article 83 du RGPD, certaines violations peuvent entraîner une amende administrative pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial de l’entreprise, le montant le plus élevé étant retenu.

📖 3. Décisions d’adéquation

🔑 Notions clés & Définitions

• Décision d’adéquation : Une décision par laquelle la Commission européenne reconnaît qu’un pays situé hors de l’Union européenne offre un niveau de protection des données suffisamment proche de celui garanti par le droit européen.

★ À maîtriser

📌 Selon l’article 44 du RGPD, un transfert vers un pays tiers ne doit pas compromettre le niveau de protection garanti par le règlement, y compris lors des transferts ultérieurs.

📌 Après une décision d’adéquation, les entreprises européennes peuvent transférer des données vers le pays reconnu sans mettre en place une garantie supplémentaire spécifique pour chaque transfert.

Compléments

• La Commission européenne examine notamment : l’État de droit, les droits fondamentaux, les possibilités d’accès des autorités publiques aux données, les règles de protection des données, les recours dont disposent les personnes concernées

• Une décision d’adéquation peut concerner un pays entier, certains territoires ou certains secteurs.

💡 Astuce mémo

Un feu vert de la Commission autorise le transfert vers un pays jugé suffisamment protecteur.

📖 4. Garanties contractuelles et règles internes

🔑 Notions clés & Définitions

• Clauses contractuelles types : Des clauses établies par la Commission européenne et intégrées au contrat entre une entreprise européenne et un destinataire étranger afin d’imposer des garanties relatives aux données personnelles.
• Règles d’entreprise contraignantes : Des règles internes juridiquement contraignantes qui encadrent les transferts de données entre les entités d’un groupe international.

★ À maîtriser

📌 La signature de clauses contractuelles types ne suffit pas toujours : l’entreprise doit vérifier que la législation du pays destinataire permet réellement de respecter les garanties prévues.

📌 Pour être valables, les BCR doivent être appliquées par les entités concernées, garantir des droits aux personnes concernées et être approuvées dans le cadre prévu par le RGPD.

Compléments

• Si la loi du pays destinataire autorise un accès très large des autorités aux données, des mesures supplémentaires peuvent être nécessaires pour protéger les personnes concernées.

• Les BCR permettent à un groupe international d’encadrer de nombreux transferts internes dans un cadre commun plutôt que de gérer séparément chaque transfert.

💡 Astuce mémo

Les clauses encadrent un contrat avec un destinataire ; les BCR organisent les transferts au sein d’un groupe.

📖 5. Dérogations aux transferts encadrés

★ À maîtriser

📌 L’article 49 du RGPD autorise certains transferts en l’absence de décision d’adéquation ou de garanties appropriées, uniquement dans des situations spécifiques et non comme moyen de transfert régulier.

• Les dérogations comprennent notamment : le consentement explicite de la personne informée des risques, la nécessité du transfert pour exécuter un contrat, des raisons importantes d’intérêt public, la protection des intérêts vitaux d’une personne sous certaines conditions

Compléments

• La CNIL rappelle que les transferts hors de l’Union européenne doivent être encadrés par les mécanismes du RGPD et que les dérogations sont réservées à des situations spécifiques.

💡 Astuce mémo

Dérogation exceptionnelle ≠ mécanisme général de transfert

📖 6. États-Unis et transferts de données

★ À maîtriser

📌 Après Schrems II, des clauses contractuelles types ne suffisent pas si le pays destinataire a des lois intrusives : des mesures complémentaires, comme un chiffrement renforcé dont la clé reste en Europe, sont nécessaires.

Compléments

• L’autorité irlandaise a également ordonné à Meta de cesser les transferts concernés et de rapatrier ou supprimer les données.

💡 Astuce mémo

Safe Harbor → Privacy Shield invalidés → garanties renforcées

📖 7. Protections des données en Afrique

🔑 Notions clés & Définitions

• Convention de Malabo : L’accord de référence de l’Union africaine visant à harmoniser la protection des données et la cybersécurité sur le continent.

★ À maîtriser

• Il n’existe pas de régime unique de protection des données applicable à tous les États africains, qui disposent de leurs propres législations et autorités de contrôle.

📌 Le Sénégal ne bénéficie pas d’une décision d’adéquation européenne au titre de l’article 45 ; une entreprise européenne doit donc s’appuyer sur un autre mécanisme du chapitre V, par exemple les garanties appropriées de l’article 46.

📌 Le Maroc ne bénéficie pas d’une décision d’adéquation de l’Union européenne ; les transferts vers ce pays restent soumis aux exigences du chapitre V du RGPD, quelle que soit la qualité du droit marocain.

Compléments

• Plus de 40 pays africains ont transposé ces principes en adoptant des lois nationales strictes et en créant des autorités de contrôle indépendantes.

• La loi sénégalaise n°2008-12 du 25 janvier 2008 porte sur la protection des données à caractère personnel et le Sénégal dispose d’une autorité de contrôle, la Commission de Protection des Données Personnelles (CDP).

• Le Maroc dispose de la loi n°09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et d’une autorité de contrôle, la CNDP.

💡 Astuce mémo

Protection nationale ≠ décision d’adéquation européenne

📖 8. Droit chinois et données européennes

★ À maîtriser

• Depuis 2021, la Chine dispose de la Personal Information Protection Law (PIPL), dont un chapitre est consacré aux transferts de données vers l’étranger.

📌 La Chine ne bénéficie pas d’une décision d’adéquation européenne ; le transfert initial depuis l’Union européenne doit donc reposer sur un autre mécanisme du chapitre V du RGPD.

Compléments

• Un transfert de données peut être soumis à : une évaluation de sécurité, une certification, un contrat conforme au modèle des autorités chinoises

• La PIPL peut imposer la localisation des données sur le territoire chinois avant tout transfert ultérieur.

📊 Tableaux de synthèse

Mécanismes de transfert présentés

Protection locale et transfert européen