« Seul un traité international peut résoudre la question des transferts de données personnelles entre l’Union européenne et les Etats-Unis »

Tribune. La société Microsoft peut-elle légalement héberger les données de santé des Français, alors même qu’en sa qualité de société américaine elle pourrait devoir les transférer aux Etats-Unis en cas d’injonction des services de renseignements américains ?

Telle est l’épineuse question qui a été soumise au juge des référés du Conseil d’Etat. Dans sa décision du 14 octobre 2020, sans trancher définitivement cette question, il incite les pouvoirs publics à y apporter une réponse pérenne. Cette insécurité juridique n’est pas satisfaisante, alors même que les enjeux sont considérables tant pour la protection de la vie privée que sur le plan économique.

Protection de la vie privée

A la source du problème se trouvent les exigences contradictoires de deux systèmes juridiques distincts. D’un côté, le droit des Etats-Unis, et notamment le Foreign Intelligence Surveillance Act (FISA), dont le champ d’application extraterritorial permet aux autorités américaines d’ordonner aux sociétés américaines de leur communiquer certaines données, y compris celles traitées par leurs filiales hors des Etats-Unis.

De l’autre côté, le droit européen, et plus particulièrement le règlement européen sur la protection des données (RGPD) qui, au nom de la protection de la vie privée, limite les possibilités de transferts de données à caractère personnel en dehors de l’Union européenne.

Ces tensions ont été mises en lumière avec éclat par l’arrêt de la Cour de justice de l’Union européenne du 16 juillet 2020 dit « Schrems II ». Elle considère que les Etats-Unis n’assurent pas un niveau de protection des données personnelles équivalent aux règles européennes, en raison notamment de l’absence de droits opposables aux autorités américaines devant les tribunaux.

En conséquence, la Cour a invalidé la décision de la Commission européenne du 12 juillet 2016, qui permettait le transfert de données vers les Etats-Unis « dans le cadre du bouclier de protection des données » (« Privacy Shield »).

Le bouclier est donc tombé, ouvrant la voie à de graves incertitudes.

Des précautions particulières

Dans l’affaire soumise au Conseil d’Etat, des associations ont demandé au juge des référés la suspension de la plate-forme des données de santé, également appelée Health Data Hub. Cette plate-forme, qui est un organisme public institué par une loi du 24 juillet 2019, est responsable du traitement des données de santé en France. Or elle a conclu un contrat avec une filiale irlandaise de la société américaine Microsoft, pour lui confier le soin d’héberger ces données aux Pays-Bas.

Il vous reste 61.51% de cet article à lire. La suite est réservée aux abonnés.