Protection des données à caractère personnel
Le présent document de travail des services de la Commission accompagne le rapport de la Commission sur le troisième examen annuel du fonctionnement du bouclier de protection des données UE-États-Unis. Il présente les conclusions des services de la Commission sur la mise en œuvre et l'application du cadre de protection de la vie privée entre l'UE et les États-Unis au cours de sa troisième année de fonctionnement.
Aspects commerciaux
La Commission a évalué le fonctionnement concret de l'administration, de la surveillance et de l'application du processus de protection de la vie privée. Le troisième examen annuel portait notamment sur le processus de renouvellement de la certification, la surveillance de la conformité et l'application de la loi.
Le processus de renouvellement de la certification
Au moment des réunions d'examen, un peu plus de 5000 entreprises étaient certifiées en vertu du bouclier de protection de la vie privée. Après trois ans de fonctionnement, le bouclier compte donc plus d'entreprises participantes que son prédécesseur, l'accord Safe Harbor. La majorité (plus de 70%) des entreprises certifiées Privacy Shield sont des petites et moyennes entreprises (PME). Le succès du bouclier de protection de la vie privée se reflète également dans le taux actuel de renouvellement de la certification de 89 %.
Les services de la Commission se félicitent que le ministère américain du commerce examine en permanence le processus de renouvellement de la certification et le modifie à mesure que des problèmes surviennent.
Suivi et supervision par le ministère du commerce
Les services de la Commission se félicitent du fait que le ministère procède régulièrement et systématiquement à des contrôles aléatoires proactifs de conformité, ce qui est important pour améliorer le respect du cadre dans son ensemble. Alors que ces contrôles devraient continuer à être effectués régulièrement et de manière systématique, le respect de ces exigences est donc crucial pour la continuité du bouclier de protection de la vie privée et devrait faire l'objet d'une surveillance et d'une application strictes par les autorités américaines.
Fausses allégations
Le ministère du Commerce a détecté 669 cas de fausses allégations de participation depuis le dernier examen en octobre 2018. Dans tous ces cas, il a envoyé des lettres d'avertissement certifiées aux entreprises concernées. Dans la plupart des cas, les entreprises ont renouvelé leur certification suite à ces lettres d'avertissement.
Les services de la Commission regrettent que le ministère ne dispose pas actuellement d'outils appropriés pour identifier plus efficacement les fausses allégations de participation dans le cadre par des entreprises qui n'ont jamais demandé de certification.
Application du cadre par la commission fédérale du commerce
Sept mesures d'application relatives aux violations du bouclier de protection de la vie privée ont été menées à terme. Les sept affaires concernaient toutes de fausses allégations de participation au cadre. Les services de la Commission s’attendaient néanmoins à une approche plus vigoureuse en ce qui concerne les mesures d'application de la loi en cas de violation substantielle des principes du bouclier de la vie privée.
De manière plus générale, les services de la Commission notent que l'année écoulée a été une année importante pour les mesures d'exécution de la commission fédérale du commerce dans le domaine de la protection de la vie privée. En particulier, deux règlements importants ont été conclus pour des violations présumées de loi des États-Unis visant à protéger la vie privée des enfants sur Internet (la COPPA). La première affaire a résolu les accusations portées contre YouTube pour avoir recueilli illégalement des renseignements personnels auprès d'enfants sans le consentement de leurs parents. Par suite de ce règlement, YouTube (et sa société mère Google) ont convenu d'une amende de 170 millions de dollars.
La deuxième affaire, réglée avec une amende de 5,7 millions de dollars, concernait les allégations de la commission fédérale du commerce contre l’application mobile de partage de vidéo et de réseautage social Musical.ly (connue sous le nom de TikTok) pour avoir recueilli illégalement des renseignements personnels d'enfants sans le consentement des parents.
Accès et utilisation des données personnelles
Les services de la Commission accueillent favorablement les éclaircissements qui confirment les conclusions de la Commission dans sa décision sur le caractère adéquat de la collecte de renseignements étrangers en vertu de l'article 702 de la Loi sur la surveillance du renseignement étranger, à savoir que la collecte de renseignements étrangers est ciblée au moyen de sélecteurs et que le choix de ces derniers est régi par la loi et soumis à un contrôle judiciaire et législatif indépendant.