—

vu le traité sur l’Union européenne (traité UE), le traité sur le fonctionnement de l’Union européenne (traité FUE) et les articles 6, 7, 8, 11, 16, 47 et 52 de la charte des droits fondamentaux de l’Union européenne,

—

vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (1) et la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (2),

—

vu l’arrêt rendu par la Cour de justice de l’Union européenne le 6 octobre 2015 dans l’affaire C-362/14, Maximillian Schrems contre Data Protection Commissioner (3),

—

vu l’arrêt de la Cour de justice de l’Union européenne du 21 décembre 2016 dans les affaires C-203/15 — Tele2 Sverige AB contre Post- och telestyrelsen et C-698/15 — Secretary of State for the Home Department contre Tom Watson e.a. (4),

—

vu la décision d’exécution (UE) 2016/1250 de la Commission du 12 juillet 2016 conformément à la directive 95/46/CE du Parlement européen et du Conseil relative à l’adéquation de la protection assurée par le bouclier de protection des données UE-États-Unis (5),

—

vu l’avis 4/2016 du Contrôleur européen de la protection des données (CEPD) du 30 mai 2016 sur le projet de décision d’adéquation relative au bouclier de protection des données UE-États-Unis (6),

—

vu l’avis 01/2016 du groupe de travail «article 29» sur la protection des données du 13 avril 2016 sur le projet de décision d’adéquation relative au bouclier de protection des données UE-États-Unis (7) et sa déclaration du 26 juillet 2016 (8),

—

vu le rapport de la Commission du 18 octobre 2017 au Parlement européen et au Conseil sur le premier examen annuel du fonctionnement du bouclier de protection des données UE-États-Unis COM(2017)0611 et le document de travail des services de la Commission accompagnant le document (SWD(2017)0344),

—

vu le document du groupe de travail «article 29» sur la protection des données (ci-après, «le groupe de travail “article 29”») du 28 novembre 2017 intitulé «EU-US Privacy Shield — First Annual Joint Review» (9),

—

vu la lettre de réaction du groupe de travail «article 29» du 11 avril 2018 à la réautorisation de la section 702 du Foreign Intelligence Surveillance Act (FISA) américain,

—

vu sa résolution du 6 avril 2017 sur l’adéquation de la protection assurée par le bouclier de protection des données UE-États-Unis (10);

—

vu l’article 123, paragraphe 2, de son règlement intérieur,

A.

considérant que la Cour de justice de l’Union européenne, dans son arrêt du 6 octobre 2015 dans l’affaire C-362/14, Maximillian Schrems contre Data Protection Commissioner, a invalidé la décision concernant la sphère de sécurité et a précisé qu’un niveau de protection adéquat dans un pays tiers s’entend comme «substantiellement équivalent» à la protection garantie dans l’Union en vertu de la directive 95/46/CE lue à la lumière de la charte, et qu’il est donc urgent de conclure les négociations relatives à un nouveau dispositif afin de garantir la sécurité juridique sur les modalités de transfert des données à caractère personnel de l’Union vers les États-Unis;

B.

considérant que, lors de l’examen du niveau de protection offert par un pays tiers, la Commission est tenue d’apprécier le contenu des règles applicables dans ce pays résultant de la législation interne ou des engagements internationaux de celui-ci, ainsi que la pratique visant à assurer le respect de ces règles, dès lors qu’elle doit, conformément à l’article 25, paragraphe 2, de la directive 95/46/CE, prendre en compte toutes les circonstances relatives à un transfert de données à caractère personnel vers un pays tiers; que cet examen ne doit pas seulement se rapporter à la législation et aux pratiques relatives à la protection des données à caractère personnel à des fins commerciales et privées, mais doit également couvrir tous les aspects du cadre applicable à ce pays ou secteur, à savoir, en particulier, mais pas uniquement, la répression, la sécurité nationale et le respect des droits fondamentaux;

C.

considérant que les transferts de données à caractère personnel entre les organisations commerciales de l’UE et des États-Unis constituent un élément important des relations transatlantiques, au vu de la numérisation toujours croissante de l’économie mondiale; que ces transferts devraient être menés dans le strict respect du droit à la protection des données à caractère personnel et du droit au respect de la vie privée; que l’un des objectifs fondamentaux de l’Union est la protection des droits fondamentaux consacrés dans la charte;

D.

considérant que Facebook, signataire du bouclier de protection des données, a confirmé que les données de 2,7 millions de citoyens de l’UE figuraient parmi les données utilisées de manière abusive par le consultant politique Cambridge Analytica;

E.

considérant que le CEPD a formulé plusieurs inquiétudes sur le projet de bouclier de protection des données dans son avis 4/2016; que dans ce même avis, le CEPD salue les efforts déployés par toutes les parties pour apporter une solution aux problèmes relatifs aux transferts de données à caractère personnel à des fins commerciales de l’Union vers les États-Unis dans le cadre d’un système d’autocertification;

F.

considérant que, dans son avis 01/2016 sur le projet de décision d’adéquation du bouclier de protection des données UE-États-Unis, le groupe de travail «article 29» s’est félicité des améliorations apportées par le bouclier de protection des données par rapport à la décision relative à la sphère de sécurité, tout en faisant part de vives inquiétudes concernant à la fois les aspects commerciaux et l’accès des autorités publiques aux données transférées au titre du bouclier de protection des données;

G.

considérant que, le 12 juillet 2016, à la suite de nouvelles discussions avec l’administration américaine, la Commission a adopté sa décision d’exécution (UE) 2016/1250, constatant le niveau adéquat de protection des données à caractère personnel transférées de l’Union à des organisations aux États-Unis au titre du bouclier de protection des données UE-États-Unis;

H.

considérant que le bouclier de protection des données UE-États-Unis est assorti de plusieurs engagements et assurances unilatéraux de la part de l’administration américaine, explicitant, entre autres, les principes de la protection des données, le fonctionnement de la surveillance, de la mise en application de la loi et des voies de recours, et les protections et garanties en vertu desquelles les agences de sécurité peuvent avoir accès aux données à caractère personnel et traiter ces dernières;

I.

considérant que, dans sa déclaration du 26 juillet 2016, le groupe de travail «article 29» salue les améliorations apportées par le mécanisme du bouclier de protection des données UE-États-Unis par comparaison avec la décision relative à la sphère de sécurité, et félicite la Commission et les autorités américaines d’avoir tenu compte de ses inquiétudes; que le groupe de travail «article 29» fait néanmoins état d’un certain nombre d’inquiétudes concernant à la fois les aspects commerciaux et l’accès des autorités publiques américaines aux données transférées depuis l’Union, comme l’absence de règles spécifiques sur les décisions automatisées et d’un droit général de s’opposer, le besoin de garanties plus strictes sur l’indépendance et les pouvoirs du médiateur, ou le manque d’assurances concrètes sur l’absence de collecte massive et indifférenciée des données à caractère personnel (collecte de masse);

J.

considérant que, dans sa résolution du 6 avril 2017, le Parlement européen, tout en reconnaissant que le bouclier de protection des données UE-États-Unis comporte des améliorations notables en termes de clarté des normes par rapport à l’ancien régime de la sphère de sécurité entre l’Union et les États-Unis, estime également que d’importantes questions demeurent en ce qui concerne certains aspects commerciaux, la sécurité nationale et la répression; qu’il demande à la Commission de réaliser, lors du premier examen annuel conjoint, un examen complet et approfondi de tous les défauts et faiblesses et de montrer comment ils ont été traités afin d’assurer l’application de la charte de l’UE et de la législation de l’Union, et d’évaluer attentivement l’efficacité et la faisabilité des mécanismes et garanties mentionnés dans les assurances et clarifications de l’administration américaine;

K.

considérant que le rapport de la Commission au Parlement européen et au Conseil sur le premier examen annuel du fonctionnement du bouclier de protection des données UE-États-Unis et le document de travail des services de la Commission accompagnant ce document, tout en reconnaissant que les autorités américaines ont mis en place les structures et procédures nécessaires pour assurer le bon fonctionnement du bouclier de protection des données et en concluant que les États-Unis continuent de garantir un niveau suffisant de protection des données à caractère personnel transférées au titre du bouclier, ont formulé dix recommandations aux autorités américaines afin d’aborder des questions qui ne concernent pas seulement les missions et activités du ministère américain du commerce (DoC) en tant qu’administrateur responsable du suivi de la certification des organisations au titre du bouclier de protection des données et de l’application effective des principes, mais également les questions de sécurité nationale telles que la réautorisation de la section 702 du Foreign Intelligence Surveillance Act (FISA), ou la nomination d’un médiateur permanent, et le fait que les membres du Privacy Civil Liberties Oversight Board (PCLOB) ne sont toujours pas en fonction;

L.

considérant que l’avis du groupe de travail «article 29» du 28 novembre 2017 intitulé «EU-US Privacy Shield — First Annual Joint Review», rendu dans la foulée du premier examen annuel conjoint, prend acte des progrès du bouclier de protection des données par rapport à la décision, invalidée, relative à la sphère de sécurité; que le groupe de travail «article 29» prend acte des efforts consentis par les autorités américaines et la Commission afin de mettre en œuvre le bouclier de protection des données;

M.

considérant que le groupe de travail «article 29» a recensé un certain nombre de questions en suspens, importantes et très préoccupantes, concernant à la fois le commerce et l’accès des autorités publiques américaines aux données transférées aux États-Unis au titre du bouclier de protection des données (que ce soit à des fins de répression ou de sécurité nationale), qui doivent être abordées aussi bien par la Commission que par les autorités américaines; qu’il a demandé la mise en place immédiate d’un plan d’action pour démontrer que toutes ces questions seront abordées, au plus tard lors du deuxième examen conjoint;

N.

considérant que, si aucune réponse n’est apportée aux inquiétudes du groupe de travail «article 29» dans les délais impartis, les membres de ce groupe prendront des mesures appropriées, y compris en portant la décision relative à l’adéquation du bouclier de protection des données devant les juridictions nationales afin qu’elles saisissent la Cour de justice de l’Union européenne d’une demande de décision préjudicielle;

O.

considérant qu’un recours en annulation (affaire T-738/16 La Quadrature du Net et autres contre Commission) et une saisine de la Haute cour d’Irlande dans l’affaire opposant le commissaire à la protection des données d’Irlande et Facebook Ireland Limited et Maximilian Schrems (affaire Schrems II) ont été portés devant la Cour de justice européenne; que la saisine constate que la surveillance de masse perdure et examine si une solution effective se trouve dans la loi américaine pour les citoyens européens dont les données à caractère personnel sont transférées au États-Unis;

P.

considérant que le 11 janvier 2018, le Congrès américain a modifié et réautorisé pour six ans la section 702 du FISA sans répondre aux préoccupations que la Commission exprime dans son rapport d’examen conjoint et de l’avis du groupe de travail «article 29»;

Q.

considérant que, dans le cadre de la législation budgétaire générale promulguée le 23 mars 2018, le Congrès américain a promulgué le «Clarifying Overseas Use of Data (“CLOUD”) Act», qui facilite l’accès à des fins répressives au contenu des communications et autres données liées en permettant aux autorités répressives des États-Unis d’imposer la production de données de communication même si elles sont stockées en dehors des États-Unis, et en permettant à certains pays étrangers de conclure des accords exécutifs avec les États-Unis de manière à permettre aux fournisseurs de services américains de répondre à certaines décisions de justice étrangères réclamant un accès à des données de communication;

R.

considérant que Facebook Inc., Cambridge Analytica and SCL Elections Ltd sont des entreprises certifiées dans le cadre du bouclier de protection des données et qu’en tant que telles, elles ont bénéficié de la décision d’adéquation comme base juridique pour le transfert, en vue du traitement ultérieur, de données à caractère personnel de l’Union européenne vers les États-Unis;

S.

considérant qu’en vertu de l’article 45, paragraphe 5, du règlement général sur la protection des données, lorsque les informations disponibles révèlent qu’un pays tiers n’assure plus un niveau de protection adéquat, la Commission abroge, modifie ou suspend sa décision d’adéquation;

1.

2.

3.

4.

5.

6.

7.

8.

9.

10.

11.

12.

13.

14.

15.

16.

17.

18.

19.

20.

21.

22.

23.

24.

25.

26.

27.

28.

29.

30.

31.

32.

33.

34.

35.

36.

37.