Le 16 juillet, dans un arrêt très attendu (C-311/18), la Cour de justice de l'Union européenne (CJUE) a porté un coup sérieux à la pratique du transfert de données personnelles vers des pays situés en dehors de l'Union européenne.
Un brin d'histoire...
Cette affaire remonte au 25 juin 2013, lorsque M. Maximilian Schrems, un citoyen européen, a déposé une plainte auprès du Commissaire à la protection des données irlandais demandant d'interdire à Facebook Ireland Ltd de transférer ses données personnelles vers les États-Unis.
Cette plainte faisait référence aux activités de surveillance de masse américaines, qui ont été mises en lumière au même moment par M. Edward Snowden. Il a souligné que la réglementation en vigueur aux États-Unis ne régissait pas suffisamment ces programmes et ne garantissait pas aux personnes concernées des droits équivalents à ceux reconnus dans l'Union européenne.
Dans un premier arrêt du 6 octobre 2015 (C362/14), la CJCE a statué en sa faveur en invalidant le Safe Harbor, un mécanisme de protection mis en place pour les transferts de données vers les États-Unis, que la Commission européenne avait considéré comme suffisant (décision 2000/520).
Suite à cette décision, l'autorité irlandaise, qui avait initialement rejeté la plainte en raison de l'existence du Safe Harbor, a ouvert une enquête au cours de laquelle Facebook Ireland Ltd a alors justifié avoir mis en place, non pas le Safe Harbor, mais des clauses contractuelles standard conformes à celles adoptées par la décision de la Commission européenne 2010/87/EU, qui devraient en principe fournir des garanties adéquates aux individus affectés par les transferts de données personnelles vers des pays qui ne garantissent pas un niveau de protection suffisant.
Cette fois, la CJCE a été appelée à se prononcer sur la validité des clauses contractuelles types susmentionnées d'une part, et du « Privacy Shield », un nouveau mécanisme de protection créé entre-temps par les États-Unis et la Commission pour remplacer le Safe Harbor.
Invalidation du Privacy Shield
Dans son arrêt du 16 juillet, la CJCE a décidé d'invalider avec effet immédiat le Privacy Shield, ou plus précisément la décision (2016/1250) par laquelle la Commission européenne avait considéré que le Privacy Shield constituait un mécanisme de protection suffisant pour réguler le transfert de données personnelles aux États-Unis.
Dans son arrêt, la CJCE a considéré que les programmes de surveillance américains ne se limitent pas à ce qui est strictement nécessaire, puisque les autorités peuvent, en particulier, mener des opérations de surveillance à grande échelle qui ne respectent pas les principes de nécessité et de proportionnalité en vigueur dans l'Union européenne.
La CJCE a également noté que les États-Unis, y compris le mécanisme de médiation auquel se réfère la décision relative au Bouclier de protection des données, ne fournissent pas de réelle possibilité aux personnes concernées d'intenter des actions en justice devant un tribunal indépendant et impartial, comme l'exige la Charte des droits fondamentaux de l'Union européenne.
Clauses contractuelles types valides, mais pas toujours suffisantes.
En ce qui concerne les Clauses Contractuelles Types, la CJCE a confirmé qu'elles demeurent un mécanisme valable pour sécuriser les transferts de données personnelles de l'Union Européenne vers des pays qui ne bénéficient pas d'une décision d'adéquation. Elle a toutefois rappelé que, conformément à l’article 46 du RGPD, ces clauses seules ne constituent pas toujours une protection suffisante, en particulier dans le cas de transferts de données vers des pays qui, comme les États-Unis, ne réglementent pas suffisamment le pouvoir d’ingérence de leurs autorités.
À cet égard, la CJCE souligne essentiellement que les clauses contractuelles types constituent un contrat, établi entre un exportateur responsable des traitements et un importateur de données, et que ce contrat n'est pas opposable aux autorités du pays recevant les données; ces autorités n'étant pas partie au contrat.
Ainsi, bien que valables, les clauses contractuelles types ne constituent pas une garantie suffisante pour régir les transferts de données personnelles de l'Union européenne vers des pays tels que les États-Unis. Dans ce cas, des mesures supplémentaires devraient être mises en place en plus de ces clauses.
Impact de ces décisions
L'impact de ce 2ème opus est loin d'être négligeable. En effet, depuis le 16 juillet, tous les opérateurs économiques qui transféraient auparavant des données personnelles de l'Union européenne vers les États-Unis sur la base du Privacy Shield sont tenus, s'ils souhaitent continuer de procéder à de tels transferts, de remplacer le Privacy Shield par des garanties alternatives valables. Toutefois, les mécanismes alternatifs qui peuvent être mis en place - qui sont énumérés à l’article 46 du PGRD et qui incluent les clauses contractuelles types - sont, pour la plupart, des mécanismes contractuels que la CJCE a jugés insuffisants en raison de leur inapplicabilité vis-à-vis des autorités américaines.
La mise en œuvre de ces mécanismes alternatifs doit donc s’accompagner de l’adoption de mesures complémentaires pour assurer le niveau de protection requis.
La question se pose alors de savoir quels types de mesures peuvent, en plus des clauses contractuelles types, constituer une protection adéquate contre l'ingérence des autorités américaines.
La CJCE n'a pas statué sur cette question, et les autorités de protection des données n'ont pas encore publié d'informations à ce sujet, ce qui peut rendre la conformité un peu difficile.
Concrètement, il semble difficile d'empêcher techniquement les autorités américaines d'accéder aux données transitant de l'Union européenne vers les États-Unis, puisque, comme la CJCE l'a noté, les autorités américaines interceptent le trafic sur les câbles de réseau, en particulier dans le cadre des programmes Upstream.
À cet égard, même la mise en œuvre de solutions de chiffrement de bout en bout pourrait être considérée comme insuffisante, en raison notamment de la solution de déchiffrement qui est ou pourrait être à la disposition des autorités, notamment à la suite des technologies quantiques. En outre, certaines réglementations pourraient exiger des opérateurs qu'ils communiquent leurs clés de chiffrement aux autorités, ou même interdire certaines d'entre elles à l'avenir. Les États-Unis discutent notamment de la «
Lawful Access to Encrypted Data Act
». Le recours à des solutions hébergées au sein de l’Union européenne pourrait constituer une alternative. Toutefois, il n’est même pas certain que cela soit suffisant en toutes circonstances, notamment lorsque le traitement est effectué à distance des États-Unis, par exemple dans le cadre d’activités d’administration, de maintenance ou de support. En effet, certaines opérations de traitement à distance, telles que les accès, impliquent techniquement un transfert temporaire et donc une exposition des données. Ce transfert est en outre considéré comme un transfert de données au sens de la réglementation européenne.
Certains opérateurs économiques se demandent également s'il est possible d'adapter les mesures supplémentaires en fonction du risque pour les droits et libertés, en particulier pour veiller à ce que l'utilisation des données présentant un faible risque pour la vie privée des individus ne soit pas indûment entravée. Ici aussi, rien n'est moins certain, même si l'approche basée sur le risque, prédominante dans le RGDP et dans les clauses contractuelles types, pourrait le suggérer.
Au-delà des Etats-Unis, ces questions se posent à chaque fois qu’un transfert est opéré, sur la base des clauses contractuelles types, vers des pays qui ne font pas l’objet d’une décision d’adéquation et pour lesquels il n’est pas possible d’établir avec certitude qu’ils offrent des garanties équivalentes à celles reconnues au sein de l’Union européenne en matière d’ingérence des autorités.
L'incertitude quant au type de mesures supplémentaires à mettre en place crée une insécurité, non seulement pour les personnes concernées, qui pourraient ne pas bénéficier d'une protection adéquate lors du transfert de leurs données, mais aussi pour les opérateurs économiques, dont beaucoup attendent encore la confirmation de la conformité, en particulier lorsqu'ils dépendent de prestataires de services tiers ou de solutions opérant en dehors de l'Union européenne.
Ainsi, la prédominance - voire le quasi-monopole - des GAFAM dans des secteurs tels que la recherche en ligne, les réseaux sociaux et la publicité, rend extrêmement difficile, voire impossible d'un point de vue concurrentiel, de se passer de leurs services. Et de tels services impliquent généralement des transferts vers les États-Unis pour lesquels il n'est pas aisé, en raison notamment des incertitudes mentionnées ci-dessus, de s'assurer que des garanties supplémentaires appropriées ont été mises en place.
Dans ce contexte, il semble essentiel que les autorités de protection des données continuent d'accompagner les opérateurs économiques afin que les mesures complémentaires requises en cas de transferts vers les États-Unis et autres pays équivalents puissent être clairement identifiées et mises en œuvre.
As such, the predominance - or near-monopoly - of GAFAM in sectors such as online research, social networks and advertising, makes it extremely difficult, if not impossible from a competitive stand point, to do without their services. And such services usually involve transfers to the United States for which it is not easy, due in particular to the uncertainties mentioned above, to ensure that appropriate additional safeguards have been put in place.
In this context, it seems essential that the data protection authorities continue to support economic operators so that the supplementary measures required in the event of transfers to the United States and other equivalent countries can be clearly identified and implemented.
Quid de l'utilisation des services OVHcloud ?
Pas de transfert aux Etats-Unis
Sauf pour les services commandés directement auprès de l'entité américaine d'OVHcloud, dans le cadre de l'exécution de ses prestations, OVHcloud ne transfère pas les données de ses clients aux États-Unis.
En effet, les datacenters d'OVHcloud situés aux États-Unis ne hébergent aucun des services commercialisés par les entités non américaines d'OVHcloud ; ces derniers étant uniquement utilisés pour héberger les services commercialisés par l'entité américaine d'OVHcloud. Par ailleurs, l'entité américaine d'OVHcloud n'est pas impliquée dans la fourniture des services fournis par les entités non américaines d'OVHcloud. En particulier, aucun de ces services n'est administré à partir des États-Unis, et par conséquent aucun traitement de données associé ne peut être exploité à distance, et notamment consulté, à partir des États-Unis.
Par conséquent, l'invalidation du Privacy Shield n'a pas d'impact ici.
Concernant les prestations commandées à l'entité américaine d'OVHcloud, elles ne sont généralement pas utilisées pour traiter des données soumises à la réglementation européenne, auquel cas les solutions européennes mentionnées ci-dessus sont privilégiées. Cependant, OVHcloud Etats-Unis étudie néanmoins des solutions pour les clients qui pourraient être impactés.
Transferts limités vers d'autres pays
Lorsque le client opte pour un service hébergé dans un centre de données OVHcloud situé dans l’Union européenne, seules les entités européennes et canadiennes d’OVHcloud ont, dans le cadre de l’administration et de la maintenance des services, la possibilité d’effectuer des opérations de traitement sur les données hébergées par les Clients.
En ce qui concerne le Canada, il a fait l'objet d'une décision d'adéquation (2002/2/CE)
par laquelle la Commission européenne a notamment noté que le droit canadien « couvre tous les principes de base nécessaires à un niveau de protection adéquat des personnes physiques, même si des exceptions et des limitations sont également prévues afin de sauvegarder des intérêts publics importants. L'application de ces normes est garantie par le recours judiciaire et par la supervision indépendante réalisée par les autorités, telles que le Commissaire fédéral à la protection de la vie privée investi de pouvoirs d'investigation et d'intervention ». En outre, les dispositions du droit canadien en matière de responsabilité civile s'appliquent en cas de traitement illicite préjudiciable aux personnes ».
Par ailleurs, OVHcloud n’a jamais reçu de la part des autorités canadiennes de demande disproportionnée au regard des droits fondamentaux et des principes de l’Union européenne.
Ainsi, même si la décision d'adéquation susmentionnée est limitée dans son champ d'application aux activités relevant de la loi canadienne sur la protection des renseignements personnels et les documents électroniques (Personal Information Protection and Electronic Documents Act, PIPEDA) - qui a conduit OVHcloud à adopter des clauses contractuelles pour certaines opérations de traitement en dehors du champ d'application du PIPEDA -, les conclusions susmentionnées sur le droit canadien permettent de considérer que la mise en œuvre de clauses contractuelles types pour des activités non soumises au PIPEDA ne nécessite aucune mesure supplémentaire en ce qui concerne l'intervention des autorités.
Néanmoins, OVHcloud a mis en place des mesures complémentaires conformément à sa politique de sécurité, et cherche à obtenir confirmation, notamment de la part de la Commission, de la conformité des conclusions qui précèdent. Plus généralement, il serait souhaitable que la Commission revoie toutes les décisions d'adéquation qui ont été prises notamment avant les arrêts de la CJCE et l'entrée en vigueur du RGPD.
Les clients d'OVHcloud ont également la possibilité de choisir des data centers situés en dehors de l'Union européenne pour héberger leurs services, notamment à Singapour et en Australie. Ces data centers ne sont cependant généralement pas utilisés pour traiter des données couvertes par le RGDP; les data centers européens étant dans ce cas privilégiés. Toutefois, pour les clients qui souhaitent opérer un tel transfert vers l’Asie, OVHcloud a mis en place des clauses contractuelles types. Dans ces cas, le Client doit réaliser, si nécessaire avec l’aide d’OVHcloud, une analyse de conformité de la solution qu’il déploie sur les Services OVHcloud.
Concernant l’utilisation des outils internes d’OVHcloud, dont certains contiennent des données clients (données de compte client, facturation, tickets de support, données relatives à l’utilisation des services, etc.), et qui sont utilisés par d’autres entités non européennes d’OVHcloud, OVHcloud a mis en place des clauses contractuelles types auxquelles s’ajoutent diverses mesures techniques et organisationnelles pour limiter autant que possible les transferts selon la politique de sécurité d’OVHcloud.
En particulier, OVHcloud privilégie systématiquement l’hébergement de son système d’information au sein de l’Union européenne. Cela permet d'éviter par construction les transferts de masse, car les transferts ne sont que temporaires et occasionnels dans un tel cas d'accès à distance.
En outre, l’accès est limité sur la base du principe du moindre privilège, qui garantit que seules les données nécessaires à la réalisation des opérations commerciales légitimes sont accessibles aux opérateurs. Ces accès sont systématiquement traçables. En outre, en cas de recours à des solutions tierces, OVHcloud privilégie l'hébergement "on premise" sur sa propre infrastructure afin de garder le contrôle.
Toutes ces mesures, combinées à la mise en œuvre d'une politique stricte concernant le traitement des demandes des autorités, semblent fournir une protection adéquate contre d'éventuelles ingérences des autorités de pays non appropriés.
Toutefois, OVHcloud continuera à porter une attention particulière aux recommandations des autorités afin de s'assurer de l'adéquation de son dispositif.
Par ailleurs, le groupe OVHcloud s'engage à réexaminer l'ordre juridique des pays où il est présent afin d'évaluer leur conformité à la lumière de ce nouveau jugement de la CJCE, et pouvoir accompagner au mieux son client.