Transferts de données vers les États-Unis dans le cadre de la Loi générale sur la protection des données (GDPR) après la décision de la Cour de justice de l’Union Européenne dans l’affaire Schrems II

Le 1er août 2016, le Dispositif de protection de la vie privée UE-États-Unis (Dispositif de protection de la vie privée) est entrée en vigueur. Ce dispositif permettait aux organisations de l’Union européenne (UE) de transférer des données à caractère personnel à des organisations certifiées aux États-Unis (US) sans qu’il soit nécessaire de mettre en place des garanties supplémentaires.

Avant de pouvoir recevoir des données à caractère personnel en provenance de l’UE, il était obligatoire pour une organisation d’être d’abord certifiée par le Dispositif de protection de la vie privée.

Le 16 juillet 2020, le dispositif de protection de la vie privée a été suspendu après que la Cour de justice de l’Union européenne ait déterminé que ce mécanisme n’était pas un mécanisme valide de transfert de données à caractère personnel (connu sous le nom d’affaire Schrems II).

La décision prise dans l’affaire Schrems II implique que les organisations qui s’appuient sur le Dispositif de protection de la vie privée doivent désormais utiliser un mécanisme alternatif pour fournir des garanties appropriées pour la protection des données à caractère personnel transférées en dehors de l’UE (tel qu’un accord contenant les clauses contractuelles types de la Commission européenne).

Depuis, plusieurs décisions de justice ont été rendues pour déterminer ce qui constitue des garanties appropriées lors du transfert de données à caractère personnel de l’UE vers les États-Unis.

Le ministère américain du commerce et la Commission européenne ont entamé des discussions afin d’évaluer la possibilité d’un bouclier de protection de la vie privée renforcé pour se conformer à la décision Schrems II.