REVUE

internationaL
LES ImPLICATIonS JurIDIQuES ET TECHnoLoGIQuES PoST SAFE HArbOUr
(10) En France, le transfert
de données vers un pays ne
présentant pas un niveau de
protection adéquat est
réprimé par l'article 226-21
du code pénal d'une peine
de 5 ans d'emprisonnement
et de 300 000 euros
d'amende.
(11) Concernent uniquement
les transferts de données
intragroupes, afin de faire
circuler librement ces
données entre les diverses
entités d'un groupe partout
dans le monde.
(12) Communication de la
commission concernant le
transfert transatlantique de
données à caractère
personnel faisant suite à
l’arrêt de la Cour de justice
dans l’affaire C- 362/14
(Schrems), 6 novembre
2015, Com(2015) 566 final.
(13) Certains droits et
obligations sont ainsi
directement intégrés dans
les "CCT", par exemple des
mesures de sécurité, de
notifications à la personne
concernée en cas de
transfert de données
sensibles, de droit d'accès,
de rectification et
d'effacement, de règles
d'indemnisation en cas de
violation de ces clauses.
Il ajoute que des
clauses
contractuelles types
(CCT) ou des règles
d'entreprise
contraignantes 11
(rEC) peuvent être
utilisés, sans
préjudice pour les
autorités nationales
de contrôle de mener
des investigations, à
la lumière des articles
7, 8 et 47 de la
Charte.
Les alternatives
juridiques actuelles
au safe harbour :
cct, rec et cas
dérogatoires
La Commission a
rendu publiques
des orientations 12 . En résumé, les
entreprises américaines peuvent avoir
recours aux mécanismes de "CCT"
émises par la Commission 13 ou de "rEC"
autorisées par les membres du G29. Ces
mécanismes contractuels sont censés
suppléer l'accord Safe Harbour avec des
garanties suffisantes. Il existe enfin des
dérogations, notamment lorsque la
personne concernée a « indubitablement
donné son consentement au transfert ».
Afin d'éviter tout abus, le G29
recommande des bonnes pratiques,
notamment pour garantir un véritable
consentement « libre, spécifique et
informé », sans pression particulière, que
(14) Groupe de travail
«Article 29», Avis 8/2001 sur
le traitement des données à
caractère personnel dans le
contexte professionnel (WP
48), 13 septembre 2001, p.
31, 32 et 36.
(15)
http://www.brmavocats.com
/2015/11/invalidation-dusafe-harbor-quellesconsequences-pour-votreentreprise,
article de me
Edouard VErBECQ.
(16) B. Benhamou,
secrétaire général de
l'institut de la souveraineté
numérique.
http://www.souverainetenu
merique.fr/
l'on peut craindre
dans un contexte
professionnel du fait
d'un lien de
subordination 14 .
Pour une entreprise
française, la pratique
encourage de faire
signer des clauses
contractuelles à ses
sous-traitants aux
états-unis, ou
d'imposer un hébergement des données
en Europe à ces derniers 15 .
un recours accru aux technologies de
protection de données
Sur un plan technologique, la protection des
données va probablement s'accompagner
d'un accroissement des outils
cryptographiques, puisque selon certains : «
les données personnelles [...] doivent
désormais être protégées [...] par des
mesures d’encadrement juridique
adéquates et par des mesures de
protection technologiques en particulier
cryptographiques. En effet, [...] l’évolution
des algorithmes de traitement des données
en masse (big data), rend plus nécessaire
encore la protection de ces données. » 16 Si
une diffusion de ces technologies paraît
positive, des effets pervers ont parfois été
constatés en termes d'entrave aux
investigations judiciaires.
La gestation du Privacy shield
L’accord Safe Harbour étant neutralisé, la
sémantique commandait de puiser à
18 Revue de la Gendarmerie Nationale 4 e trimestre 2016