1.8.2016   

FR

Journal officiel de l'Union européenne

L 207/1

(1)

La directive 95/46/CE fixe les règles applicables au transfert de données à caractère personnel des États membres vers des pays tiers, dans la mesure où ces transferts relèvent de son champ d'application.

(2)

L'article 1er et les considérants 2 et 10 de la directive 95/46/CE visent à garantir non seulement une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques, notamment du droit fondamental au respect de la vie privée à l'égard du traitement des données à caractère personnel, mais également un niveau élevé de protection de ces libertés et droits fondamentaux (3).

(3)

L'importance tant du droit fondamental au respect de la vie privée, garanti par l'article 7 de la charte des droits fondamentaux de l'Union européenne, que du droit fondamental à la protection des données à caractère personnel, garanti par l'article 8 de celle-ci, a été soulignée dans la jurisprudence de la Cour de justice (4).

(4)

Conformément à l'article 25, paragraphe 1, de la directive 95/46/CE, les États membres sont tenus de veiller à ce que les transferts de données à caractère personnel vers un pays tiers n'aient lieu que si le pays en question assure un niveau de protection adéquat et si les lois des États membres qui mettent en œuvre d'autres dispositions de la directive sont respectées avant le transfert. La Commission peut constater qu'un pays tiers assure un niveau de protection adéquat en raison de sa législation interne ou des engagements internationaux auxquels il a souscrit pour protéger les droits des personnes. Dans ce cas, et sans préjudice du respect des dispositions nationales prises en application d'autres dispositions de la directive, des données à caractère personnel peuvent être transférées à partir des États membres sans que des garanties supplémentaires soient nécessaires.

(5)

Conformément à l'article 25, paragraphe 2, de la directive 95/46/CE, il y a lieu d'apprécier le niveau de protection offert par un pays tiers au regard de toutes les circonstances relatives à un transfert ou à une catégorie de transferts de données, notamment des règles de droit, générales ou sectorielles, en vigueur dans le pays tiers en cause.

(6)

Dans la décision 2000/520/CE de la Commission (5), il était considéré, aux fins de l'article 25, paragraphe 2, de la directive 95/46/CE, que les «principes de la sphère de sécurité relatifs à la protection de la vie privée», appliqués conformément aux orientations fournies par les «questions souvent posées» publiées par le ministère du commerce des États-Unis, assuraient un niveau adéquat de protection des données à caractère personnel transférées depuis l'Union vers des organisations établies aux États-Unis.

(7)

Dans ses communications COM(2013) 846 final (6) et COM(2013) 847 final (7) du 27 novembre 2013, la Commission a considéré que les fondements du régime de la sphère de sécurité devaient être réexaminés et renforcés au vu d'un certain nombre de facteurs, dont la croissance exponentielle des flux de données et l'importance cruciale de ceux-ci pour l'économie transatlantique, l'augmentation rapide du nombre d'entreprises américaines souscrivant audit régime, ainsi que les nouvelles informations sur l'ampleur et la portée de certains programmes de renseignement américains qui ont soulevé des questions quant au niveau de protection que ledit régime pouvait garantir. La Commission a en outre relevé un certain nombre d'insuffisances et de lacunes dans le régime de la sphère de sécurité.

(8)

Sur la base des éléments qu'elle a recueillis, notamment des données tirées des travaux du groupe de contact UE/États-Unis sur la protection de la vie privée (8) et des informations sur les programmes de renseignement américains reçues dans le cadre du groupe de travail ad hoc UE/États-Unis (9), la Commission a formulé 13 recommandations en vue d'un réexamen du régime de la sphère de sécurité. Ces recommandations portaient principalement sur le renforcement des principes de fond protégeant la vie privée et une plus grande transparence des politiques de confidentialité des entreprises américaines autocertifiées, sur un contrôle, un suivi et une mise en œuvre améliorés, par les autorités américaines, du respect de ces principes, sur la mise en place de mécanismes de règlement des litiges abordables et sur la nécessité de limiter le recours à la dérogation pour raison de sécurité nationale, prévue par la décision 2000/520/CE, à ce qui est strictement nécessaire et proportionné.

(9)

Dans son arrêt du 6 octobre 2015 dans l'affaire C-362/14, Maximillian Schrems/Data Protection Commissioner (10), la Cour de justice de l'Union européenne a déclaré invalide la décision 2000/520/CE. Sans examiner le contenu des principes de la sphère de sécurité, la Cour a considéré que Commission n'avait pas fait état, dans cette décision, de ce que les États-Unis «assuraient» effectivement un niveau de protection adéquat en raison de leur législation interne ou de leurs engagements internationaux (11).

(10)

À cet égard, la Cour de justice a expliqué que, même si l'expression «niveau de protection adéquat» figurant à l'article 25, paragraphe 6, de la directive 95/46/CE ne signifie pas un niveau de protection identique à celui qui est garanti dans l'ordre juridique de l'Union, elle doit être comprise comme exigeant que le pays tiers assure un niveau de protection des libertés et droits fondamentaux «substantiellement équivalent» à celui qui est garanti au sein de l'Union en vertu de la directive 95/46/CE lue à la lumière de la charte des droits fondamentaux. Même si les moyens auxquels ce pays tiers a recours, à cet égard, peuvent être différents de ceux mis en œuvre au sein de l'Union, ils doivent néanmoins s'avérer, en pratique, effectifs (12).

(11)

La Cour de justice a critiqué le fait que la décision 2000/520/CE ne comportait pas de constatations suffisantes quant à, d'une part, l'existence, aux États-Unis, de règles à caractère étatique destinées à limiter les éventuelles ingérences dans les droits fondamentaux des personnes dont les données sont transférées depuis l'Union vers les États-Unis, ingérences que des entités étatiques de ce pays seraient autorisées à pratiquer lorsqu'elles poursuivent des buts légitimes, tels que la sécurité nationale, et, d'autre part, l'existence d'une protection juridique efficace contre des ingérences de cette nature (13).

(12)

En 2014, la Commission avait entamé des pourparlers avec les autorités américaines en vue de discuter du renforcement du régime de la sphère de sécurité sur la base des 13 recommandations formulées dans la communication COM(2013) 847 final. À la suite de l'arrêt rendu par la Cour de justice de l'Union européenne dans l'affaire Schrems, ces pourparlers se sont intensifiés en vue d'adopter une éventuelle nouvelle décision constatant l'adéquation du niveau de protection qui respecterait les exigences de l'article 25 de la directive 95/46/CE telles qu'elles ont été interprétées par la Cour de justice. Les documents annexés à la présente décision, qui seront également publiés au Federal Register (le Journal officiel américain), sont le fruit de ces discussions. Les principes de protection de la vie privée (annexe II) et les observations et engagements officiels de diverses autorités américaines figurant dans les documents joints en tant qu'annexes I et III à VII constituent le «bouclier de protection des données UE-États-Unis».

(13)

La Commission a soigneusement analysé la législation et les pratiques des États-Unis, y compris ces observations et engagements officiels. Sur la base des constatations exposées aux considérants 136 à 140, elle conclut que les États-Unis assurent un niveau de protection adéquat des données à caractère personnel transférées, dans le cadre du bouclier de protection des données UE-États-Unis, de l'Union vers des organisations autocertifiées aux États-Unis.

(14)

Le bouclier de protection des données UE-États-Unis repose sur un système d'autocertification en vertu duquel les organisations américaines s'engagent à respecter une série de principes de protection de la vie privée, constitués de principes-cadres et de principes complémentaires (ci-après, conjointement, les «principes»), qui sont publiés par le ministère américain du commerce et qui figurent à l'annexe II de la présente décision. Ce bouclier s'applique à la fois aux responsables du traitement et aux sous-traitants (mandataires), avec ceci de spécifique que les sous-traitants doivent être contractuellement tenus d'agir uniquement sur instruction du responsable européen du traitement et d'aider ce dernier à répondre aux demandes des personnes qui exercent leurs droits en vertu des principes (14).

(15)

Sans préjudice du respect des dispositions nationales adoptées en application de la directive 95/46/CE, la présente décision a pour effet d'autoriser les transferts d'un responsable du traitement ou d'un sous-traitant de l'Union vers des organisations américaines qui ont autocertifié leur adhésion aux principes auprès du ministère du commerce et qui se sont engagées à les respecter. Les principes ne s'appliquent au traitement de données à caractère personnel par l'organisation américaine que dans la mesure où ce traitement ne relève pas du champ d'application de la législation de l'Union (15). Le bouclier de protection des données ne porte pas atteinte à l'application de la législation de l'Union régissant le traitement des données à caractère personnel dans les États membres (16).

(16)

La protection offerte aux données à caractère personnel par le bouclier de protection des données s'applique à toute personne concernée de l'Union européenne (17) dont les données à caractère personnel ont été transférées à partir de l'Union européenne à des organisations situées aux États-Unis qui ont autocertifié leur adhésion aux principes auprès du ministère du commerce.

(17)

Les principes s'appliquent dès la certification. La seule exception concerne le principe «Responsabilité en cas de transfert ultérieur», lorsque l'organisation qui autocertifie son adhésion au bouclier de protection des données entretient déjà des relations commerciales avec des tiers. Étant donné qu'il faudra sans doute un peu de temps pour mettre ces relations commerciales en conformité avec les règles applicables en vertu de ce principe, l'organisation sera tenue de les adapter dès que possible et, en tout état de cause, dans un délai de neuf mois à compter de l'autocertification (pour autant que cette dernière intervienne dans les deux mois suivant le jour de l'entrée en vigueur du bouclier de protection des données). Pendant cette période transitoire, l'organisation devra appliquer les principes «Notification» et «Choix» (et permettre ainsi à la personne concernée de l'Union européenne de s'opposer au traitement) et, lorsque des données à caractère personnel seront transférées à un tiers agissant en qualité de mandataire, elle devra veiller à ce que ce dernier offre au moins le niveau de protection requis par les principes (18). Cette période transitoire constitue un compromis raisonnable et approprié entre le respect du droit fondamental à la protection des données et le besoin légitime des entreprises de disposer d'un délai suffisant pour s'adapter au nouveau cadre, lorsque cette adaptation dépend aussi de leurs relations commerciales avec des tiers.

(18)

Le système sera géré et contrôlé par le ministère du commerce conformément aux engagements qu'il a pris et qui sont énoncés dans les observations du secrétaire d'État américain au commerce (annexe I de la présente décision). S'agissant de l'application effective des principes, les observations de la Commission fédérale du commerce (Federal Trade Commission — FTC) et du ministère du transport figurent aux annexes IV et V de la présente décision.

(19)

Lorsqu'elles autocertifient leur adhésion au bouclier de protection des données UE-États-Unis, les organisations doivent s'engager à respecter les principes (19).

(20)

En vertu du principe «Notification», les organisations ont l'obligation de fournir aux personnes concernées des informations sur un certain nombre d'éléments essentiels en rapport avec le traitement de leurs données à caractère personnel (tels que le type de données recueillies, la finalité du traitement, le droit d'accès et de choix, les conditions applicables aux transferts ultérieurs et la responsabilité du traitement). D'autres garanties s'appliquent, en particulier l'obligation, pour les organisations, de rendre publiques leurs politiques en matière de protection de la vie privée (qui tiennent compte des principes) et de fournir des liens dirigeant vers le site web du ministère du commerce (qui donne davantage de détails sur l'autocertification, les droits des personnes concernées et les mécanismes de recours disponibles), vers la liste du bouclier de protection des données mentionnée au considérant 30 et vers le site web d'un organe approprié de règlement extrajudiciaire des litiges.

(21)

En vertu du principe «Intégrité des données et limitation des finalités», les données à caractère personnel doivent se limiter à ce qui est pertinent aux fins du traitement et êtres fiables par rapport à l'utilisation prévue, exactes, exhaustives et actuelles. Une organisation ne peut pas traiter des données à caractère personnel d'une manière incompatible avec la finalité pour laquelle elles ont été initialement collectées ou avec une finalité approuvée ultérieurement par la personne concernée. Les organisations doivent veiller à ce que les données à caractère personnel soient fiables par rapport à l'utilisation prévue, exactes, exhaustives et actuelles.

(22)

Lorsqu'une nouvelle finalité (modifiée) est sensiblement différente de la finalité initiale, mais qu'elle reste compatible avec celle-ci, le principe «Choix» donne aux personnes concernées le droit de s'opposer au traitement (refus). Le principe «Choix» ne se substitue pas à l'interdiction expresse de procéder à des traitements incompatibles (20). Des règles particulières permettant, de manière générale, de refuser «à tout moment» l'utilisation de données à caractère personnel s'appliquent au marketing direct (21). En cas de données sensibles, les organisations doivent normalement obtenir le consentement exprès de la personne concernée («consentement»).

(23)

Toujours en vertu du principe «Intégrité des données et limitation des finalités», des informations à caractère personnel ne peuvent être conservées sous une forme permettant d'identifier une personne ou de la rendre identifiable (donc sous la forme de données à caractère personnel) qu'aussi longtemps que leur utilisation est conforme à la ou aux finalités pour lesquelles elles ont été initialement collectées ou qui ont été approuvées ultérieurement. Cette obligation n'empêche pas les organisations participant au bouclier de continuer à traiter des informations à caractère personnel pendant des périodes plus longues, mais uniquement aussi longtemps que, et dans la mesure où, ce traitement sert raisonnablement l'une des finalités spécifiques ci-après: l'archivage dans l'intérêt public, le journalisme, l'art et la littérature, ainsi que la recherche historique et l'analyse statistique. La conservation de données à caractère personnel pendant une période plus longue à l'une de ces fins sera soumise aux garanties prévues par les principes.

(24)

En vertu du principe «Sécurité», les organisations qui créent, gèrent, utilisent ou diffusent des données à caractère personnel doivent prendre des mesures de sécurité raisonnables et adéquates, qui tiennent compte des risques inhérents au traitement et à la nature des données. En cas de sous-traitance, les organisations doivent conclure avec le sous-traitant un contrat garantissant le même niveau de protection que celui offert par les principes et prendre les mesures nécessaires pour en assurer la bonne mise en œuvre.

(25)

En vertu du principe «Accès»  (22), les personnes concernées ont le droit, sans justification et sans redevance excessive, d'obtenir d'une organisation qu'elle leur confirme le traitement de données à caractère personnel les concernant et qu'elle leur communique ces données dans un délai raisonnable. Ce droit ne peut être restreint que dans des circonstances exceptionnelles. Tout refus ou toute restriction du droit d'accès doivent être nécessaires et dûment justifiés et il incombe à l'organisation de prouver que ces conditions sont respectées. Les personnes concernées doivent pouvoir corriger, modifier ou supprimer les informations à caractère personnel lorsque celles-ci sont inexactes ou qu'elles ont été traitées en violation des principes. Dans les domaines dans lesquels il est très probable que les entreprises recourent au traitement automatisé de données à caractère personnel pour prendre des décisions concernant les personnes (par exemple, l'octroi de crédits, les offres de prêts immobiliers, les décisions de recrutement), le droit américain offre des protections spécifiques contre les décisions négatives (23). Le droit américain prévoit généralement que les personnes ont le droit d'être informées des raisons exactes de la décision (par exemple, le refus d'un crédit), de contester les informations incomplètes ou inexactes (ainsi que le recours à des facteurs illégaux) et de demander réparation. Ces règles offrent une protection dans les cas probablement assez peu nombreux dans lesquels des décisions automatisées seraient prises par l'organisation participant au bouclier de protection des données elle-même (24). Néanmoins, compte tenu du recours accru au traitement automatisé (y compris au profilage) pour fonder des décisions concernant les personnes dans l'économie numérique moderne, ce domaine doit faire l'objet d'une étroite surveillance. Afin de faciliter cette surveillance, il a été convenu avec les autorités américaines qu'un dialogue sur la prise de décision automatisée, comportant un échange de vues sur les similitudes et les différences des approches adoptées par l'Union européenne et les États-Unis en la matière, sera prévu dans le cadre du premier examen annuel et, s'il y a lieu, des examens ultérieurs.

(26)

En vertu du principe «Voies de recours, application et responsabilité»  (25), les organisations participantes doivent prévoir des mécanismes solides destinés à garantir le respect des autres principes, ainsi que des possibilités de recours, y compris en vue d'obtenir une réparation effective, pour les personnes concernées de l'Union européenne dont les données à caractère personnel ont été traitées en violation des principes. Une fois qu'une organisation a pris volontairement la décision d'autocertifier (26) son adhésion au bouclier de protection des données UE-États-Unis, elle doit obligatoirement respecter les principes. Afin de pouvoir continuer à se prévaloir du bouclier de protection des données pour recevoir des données à caractère personnel de l'Union, cette organisation doit recertifier chaque année sa participation au bouclier. Les organisations doivent également prendre des mesures pour vérifier (27) que les politiques en matière de protection de la vie privée qu'elles ont rendues publiques sont conformes aux principes et que ces politiques sont effectivement respectées. Pour ce faire, elles peuvent, soit mettre en place un système d'auto-évaluation, qui doit comprendre des procédures internes visant à garantir que les salariés sont formés à la mise en œuvre des politiques en matière de protection de la vie privée et qu'il est procédé à des examens périodiques et objectifs du respect de ces politiques, soit organiser un contrôle extérieur fondé sur la méthode de l'audit ou des vérifications aléatoires. En outre, l'organisation doit mettre en place un mécanisme de recours effectif pour traiter les réclamations éventuelles (voir également à cet égard le considérant 43) et est soumise aux pouvoirs d'enquête et d'exécution de la FTC, du ministère du transport ou de tout autre organisme officiel américain qui veillera au respect effectif des principes.

(27)

Des règles particulières s'appliquent aux transferts dits «ultérieurs», c'est-à-dire aux transferts de données à caractère personnel d'une organisation à un responsable du traitement ou à un sous-traitant tiers, que ce dernier soit situé aux États-Unis ou dans un pays tiers en dehors des États-Unis (et de l'Union). Ces règles visent à faire en sorte que la protection garantie des données à caractère personnel des personnes concernées de l'Union européenne ne sera pas compromise, et ne pourra pas être contournée, lorsque ces données seront transférées à des tiers. Elles sont particulièrement importantes en cas de chaînes de traitement plus complexes, caractéristiques de l'économie numérique actuelle.

(28)

En vertu du principe «Responsabilité en cas de transfert ultérieur»  (28), tout transfert ultérieur ne peut avoir lieu: i) qu'à des fins limitées et spécifiques; ii) que sur la base d'un contrat [ou d'un dispositif comparable en cas de transfert intragroupe (29)] et iii) que si ce contrat prévoit le même niveau de protection que celui qui est garanti par les principes, ce qui implique notamment que l'application de ces derniers ne peut être limitée que dans la mesure nécessaire à la sécurité nationale, au respect de la loi ou à d'autres intérêts publics (30). Ces règles doivent être lues en liaison avec le principe «Notification» et, en cas de transfert ultérieur à un responsable du traitement dans un pays tiers (31), avec le principe «Choix», selon lequel les personnes concernées doivent être informées (entre autres) du type/de l'identité de tout destinataire tiers, de la finalité du transfert ultérieur, ainsi que du choix qu'elles ont de s'opposer (refus) à ce transfert ou, en cas de données sensibles, d'y consentir expressément (consentement). Au vu du principe «Intégrité des données et limitation des finalités», l'obligation d'offrir le même niveau de protection que celui qui est garanti par les principes présuppose que le tiers ne peut traiter les informations à caractère personnel qui lui ont été transmises qu'à des fins qui ne sont pas incompatibles avec les finalités pour lesquelles elles ont été initialement collectées ou qui ont été approuvées ultérieurement par la personne concernée.

(29)

L'obligation d'offrir le même niveau de protection que celui qui est garanti par les principes s'applique à tout tiers intervenant dans le traitement des données ainsi transférées indépendamment de leur localisation (aux États-Unis ou dans un autre pays tiers). Elle s'applique également lorsque le destinataire tiers initial communique à son tour ces données à un autre destinataire tiers, à des fins de sous-traitance par exemple. En tout état de cause, le contrat avec le destinataire tiers doit prévoir que ce dernier prévient l'organisation participant au bouclier de protection des données s'il constate qu'il n'est plus en mesure de respecter cette obligation. Dans ce cas, il y a lieu de mettre fin au traitement ou de prendre d'autres mesures raisonnables et appropriées pour remédier à la situation (32). Si des problèmes de respect des principes se posent dans la chaîne de (sous-)traitance, l'organisation participant au bouclier de protection des données qui agit en tant que responsable du traitement des données à caractère personnel devra prouver que le fait générateur du dommage ne lui est pas imputable. Dans le cas contraire, il devra en assumer la responsabilité, conformément au principe «Voies de recours, application et responsabilité». Des protections supplémentaires sont prévues en cas de transfert ultérieur à un mandataire tiers (33).

(30)

Le bouclier de protection des données UE-États-Unis prévoit des mécanismes de contrôle et d'application destinés à vérifier et à garantir que les entreprises américaines autocertifiées respectent les principes et qu'il sera remédié à tout manquement à cet égard. Ces mécanismes sont définis dans les principes (annexe II) et dans les engagements pris par le ministère américain du commerce (annexe I), la FTC (annexe IV) et le ministère des transports (annexe V).

(31)

Pour que le bouclier de protection des données UE-États-Unis soit valablement appliqué, les parties intéressées, telles que les personnes concernées, les exportateurs de données et les autorités nationales chargées de la protection des données (APD) doivent être en mesure d'identifier les organisations qui adhèrent aux principes. À cet effet, le ministère américain du commerce s'est engagé à tenir et à rendre publique une liste des organisations qui ont autocertifié leur adhésion aux principes et qui relèvent de la compétence d'au moins une des autorités chargées de l'application du bouclier mentionnées aux annexes I et II de la présente décision («liste du bouclier de protection des données») (34). Le ministère du commerce actualisera la liste en fonction des recertifications annuelles et chaque fois qu'une organisation se retire ou est radiée du bouclier de protection des données. Il tiendra et rendra public un registre officiel des organisations qui ont été radiées de la liste en indiquant, dans chaque cas, les raisons de cette radiation. Enfin, il fournira un lien dirigeant vers la liste des affaires en rapport avec l'application du bouclier de protection des données dont la FTC est saisie (cette liste figure sur le site web de cette dernière).

(32)

Le ministère du commerce publiera la liste du bouclier de protection des données et les recertifications sur un site web dédié. Les organisations autocertifiées devront pour leur part fournir l'adresse web de la liste du bouclier de protection des données gérée par le ministère. En outre, si elle est disponible en ligne, la politique de l'organisation en matière de protection de la vie privée doit inclure un lien dirigeant vers le site web du bouclier de protection des données, ainsi qu'un lien dirigeant vers le site web ou le formulaire d'introduction des réclamations du mécanisme de recours indépendant chargé d'instruire les réclamations non résolues. Le ministère du commerce vérifiera systématiquement, dans le contexte de la certification et de la recertification d'une organisation, si la politique de cette dernière en matière de protection de la vie privée est conforme aux principes.

(33)

Les organisations qui persistent à ne pas respecter les principes seront radiées de la liste du bouclier de protection des données et devront renvoyer ou supprimer les données à caractère personnel reçues dans le cadre de ce dernier. Les organisations qui sont rayées de la liste pour d'autres raisons, telles que le retrait volontaire ou la non-recertification, peuvent conserver ces données si elles s'engagent chaque année auprès du ministère du commerce à continuer d'appliquer les principes ou si elles assurent une protection adéquate des données à caractère personnel par un autre moyen autorisé (comme, par exemple, un contrat tenant pleinement compte des obligations inscrites dans les clauses contractuelles types adoptées par la Commission en la matière). Dans ce cas, l'organisation doit identifier en son sein un point de contact pour toutes les questions liées au bouclier de protection des données UE-États-Unis.

(34)

Le ministère du commerce surveillera les organisations qui ne participent plus au bouclier de protection des données, parce qu'elles s'en sont volontairement retirées ou que leur certification a expiré, afin de vérifier si elles restituent, suppriment ou conservent (35) les données à caractère personnel reçues antérieurement dans le cadre du bouclier. Si elles conservent ces données, les organisations sont tenues de continuer à leur appliquer les principes. Lorsque le ministère du commerce a radié des organisations en raison d'un non-respect persistant des principes, il veille à ce que ces organisations restituent ou suppriment les données à caractère personnel qu'elles ont reçues dans le cadre du bouclier.

(35)

Lorsqu'une organisation se retire du bouclier de protection des données UE-États-Unis, quelle qu'en soit la raison, elle doit supprimer toute déclaration publique laissant croire qu'elle continue à participer au bouclier ou qu'elle peut prétendre au bénéfice de celui-ci. Elle doit notamment supprimer toute référence au bouclier dans la politique de protection de la vie privée qu'elle rend publique. Le ministère du commerce recherchera les fausses déclarations de participation au bouclier, y compris par d'anciens participants (36), et s'emploiera à y remédier. Toute fausse déclaration d'une organisation à l'intention du grand public concernant son adhésion aux principes, sous la forme de déclarations ou de pratiques trompeuses, peut donner lieu à l'adoption de mesures d'exécution par la FTC, le ministère du transport ou toute autre autorité américaine chargée de l'application du bouclier. Toute fausse déclaration au ministère du commerce peut donner lieu à des poursuites au titre de la loi sur les fausses déclarations (18 U.S.C. § 1001) (37).

(36)

Le ministère du commerce surveillera d'office toutes les fausses déclarations de participation au bouclier de protection des données ou les usages abusifs de la marque de certification, et les APD peuvent renvoyer les organisations à un point de contact spécialisé au sein du ministère en vue d'un contrôle. Lorsqu'une organisation s'est retirée du bouclier de protection des données, ne recertifie pas son engagement à respecter les principes ou est radiée de la liste du bouclier, le ministère du commerce vérifiera, de manière suivie, qu'elle a supprimé de la politique en matière de protection de la vie privée qu'elle a rendue publique toute référence au bouclier de protection des données laissant croire qu'elle continue d'y participer et, si les fausses déclarations persistent, il saisira la FTC, le ministère du transport ou toute autre autorité compétente en vue de l'adoption d'éventuelles mesures d'exécution. Le ministère du commerce adressera des questionnaires aux organisations dont l'autocertification a expiré ou qui se sont volontairement retirées du bouclier de protection des données afin de vérifier si elles ont l'intention de restituer ou de supprimer les données à caractère personnel qu'elles ont reçues lorsqu'elles participaient au bouclier ou si elles comptent continuer à leur appliquer les critères, auquel cas, il devra vérifier qui, au sein de l'organisation, servira de point de contact permanent pour les questions liées au bouclier.

(37)

Sur une base continue, le ministère du commerce procédera d'office à des contrôles visant à déterminer si les organisations autocertifiées respectent les principes (38), notamment en leur envoyant des questionnaires détaillés. Il procédera aussi à un contrôle systématique chaque fois qu'il recevra une réclamation spécifique (sérieuse), qu'une organisation ne répondra pas de manière satisfaisante à ses demandes d'information ou que des indices crédibles donneront à penser qu'une organisation ne respecte par les principes. S'il y a lieu, le ministère du commerce consultera aussi les APD au sujet de ces contrôles.

(38)

Par le principe «Voies de recours, application et responsabilité», le bouclier de protection des données UE-États-Unis exige des organisations qu'elles ménagent des voies de recours aux personnes concernées par le non-respect des principes et donc la possibilité, pour les personnes concernées de l'Union européenne, d'introduire une réclamation en cas de non-respect des principes par des entreprises américaines certifiées, ainsi que de voir ces réclamations tranchées et aboutir si nécessaire à une décision prévoyant une réparation effective.

(39)

Dans le cadre de leur autocertification, les organisations doivent satisfaire aux exigences découlant du principe «Voies de recours, application et responsabilité», en prévoyant des mécanismes de recours indépendants facilement accessibles et efficaces qui permettent d'examiner et de trancher rapidement toute réclamation et tout litige sans frais pour les personnes concernées.

(40)

Les organisations peuvent opter pour des mécanismes de recours indépendants, soit dans l'Union, soit aux États-Unis, dont la possibilité de s'engager, sur une base volontaire, à coopérer avec les APD de l'Union européenne. Cependant, un tel choix n'existe pas lorsque les organisations traitent des données relatives aux ressources humaines, auquel cas la coopération avec les APD est obligatoire. D'autres solutions consistent à recourir à un organisme indépendant de règlement extrajudiciaire des litiges ou à des programmes de protection de la vie privée du secteur privé, dont les règles intègrent les principes. Ces derniers doivent inclure des mécanismes d'application efficaces, conformes aux exigences du principe «Voies de recours, application et responsabilité». Les organisations sont tenues de remédier aux problèmes de non-respect. Elles doivent aussi préciser qu'elles sont soumises aux pouvoirs d'enquête et d'application de la FTC, du ministère du transport ou de tout autre organisme officiel américain.

(41)

Par conséquent, le cadre du bouclier de protection des données fournit aux personnes concernées un certain nombre de possibilités de faire valoir leurs droits, d'introduire des réclamations en cas de non-respect des principes par des entreprises américaines autocertifiées et de voir leurs réclamations tranchées et aboutir si nécessaire à une décision prévoyant une réparation effective. Les personnes concernées peuvent introduire une réclamation directement auprès d'une organisation, d'un organisme indépendant de règlement des litiges désigné par l'organisation, des APD nationales ou de la FTC.

(42)

Dans les cas où leurs réclamations n'ont pas été tranchées par l'un de ces mécanismes de recours ou d'application, les personnes ont également le droit de recourir à l'arbitrage contraignant du mécanisme de règlement des litiges offert par le comité du bouclier de protection des données (Privacy Shield Panel) (annexe 1 de l'annexe II de la présente décision). À l'exception du comité d'arbitrage, qui ne peut être saisi qu'après que certaines voies de recours ont été épuisées, les personnes sont libres de recourir à un ou à plusieurs mécanismes de recours de leur choix, voire à l'ensemble de ceux-ci, et ne sont pas obligées d'en choisir un plutôt que l'autre ou de respecter un ordre spécifique. Toutefois, comme indiqué ci-dessous, il existe un certain ordre logique qu'il est conseillé de suivre.

(43)

Premièrement, les personnes concernées de l'Union peuvent introduire une réclamation en cas de non-conformité aux principes de protection de la vie privée en prenant directement contact avec l'entreprise américaine autocertifiée. Pour faciliter le règlement des litiges, l'organisation doit mettre en place un mécanisme de recours efficace pour traiter ces réclamations. La politique des organisations en matière de protection de la vie privée doit donc fournir aux personnes des informations claires au sujet d'un point de contact, à l'intérieur ou à l'extérieur de l'organisation, qui traitera les réclamations (y compris tout établissement au sein de l'Union qui peut répondre aux questions ou aux réclamations) et au sujet des instances indépendantes de traitement des réclamations.

(44)

Dès réception d'une réclamation individuelle, qu'elle ait été introduite par l'intéressé lui-même ou via le ministère du commerce à la suite d'une saisine effectuée par une APD, l'organisation doit fournir une réponse à la personne concernée de l'Union européenne dans un délai de 45 jours. Cette réponse doit contenir une appréciation du bien-fondé de la réclamation et des informations sur la manière dont l'organisation remédiera au problème. De même, les organisations sont tenues de répondre rapidement aux questions et autres demandes d'information relatives à leur adhésion aux principes qui leur sont adressées par le ministère du commerce ou une APD (39) (lorsque l'organisation s'est engagée à coopérer avec l'APD). Les organisations doivent conserver des archives sur la mise en œuvre de leurs politiques en matière de protection de la vie privée et les remettre sur demande à une instance de recours indépendante ou à la FTC (ou à une autre autorité américaine compétente en matière de pratiques déloyales et frauduleuses) dans le cadre d'une enquête ou d'une réclamation pour non-conformité.

(45)

Deuxièmement, les personnes peuvent également introduire une réclamation auprès de l'organisme indépendant de règlement des litiges (aux États-Unis ou dans l'Union) désigné par une organisation pour examiner et traiter définitivement les réclamations individuelles (à moins que celles-ci ne soient manifestement non fondées ou abusives) et mettre gratuitement à la disposition des personnes des voies de recours appropriées. Les sanctions et les actions correctrices imposées par un tel organisme doivent être suffisamment contraignantes pour garantir que les organisations respectent les principes et devraient prévoir une annulation ou une correction des effets de la non-conformité par l'organisation et, selon les circonstances, la cessation du traitement ultérieur des données à caractère personnel en cause et/ou la suppression de ces données, ainsi que la publicité des constats de non-conformité. Les organismes de règlement des litiges indépendants désignés par une organisation seront tenus de faire figurer sur leurs sites web publics des informations pertinentes relatives au bouclier de protection des données UE—États-Unis et aux services qu'ils fournissent à ce titre. Ils doivent publier chaque année un rapport annuel fournissant des statistiques agrégées concernant ces services (40).

(46)

Dans le cadre de ses procédures de contrôle de la conformité, le ministère du commerce s'assurera que les entreprises américaines autocertifiées sont effectivement enregistrées auprès des instances de recours indépendantes auprès desquelles elles affirment être enregistrées. Tant les organisations que les instances de recours indépendantes compétentes sont tenues de répondre rapidement aux questions et aux demandes formulées par le ministère du commerce pour les informations qui ont trait au bouclier de protection des données.

(47)

Si l'organisation ne se conforme pas à la décision d'un organisme de règlement des litiges ou d'autoréglementation, celui-ci devra notifier cette non-conformité au ministère du commerce et à la FTC (ou à une autre autorité américaine compétente pour enquêter sur les pratiques déloyales et frauduleuses), ou à un tribunal compétent (41). Si une organisation refuse de se conformer à une décision définitive d'un organisme d'autoréglementation en matière de protection de la vie privée, d'un organisme indépendant de règlement des litiges en matière de protection de la vie privée ou d'un organisme gouvernemental en matière de protection de la vie privée, quel qu'il soit, ou si un tel organisme constate fréquemment qu'une organisation ne respecte pas les principes, cela sera considéré comme une non-conformité persistante et, en conséquence, le ministère du commerce retira de la liste l'organisation qui s'est trouvée en situation de non-conformité, après lui avoir donné un préavis de 30 jours et la possibilité de présenter ses observations (42). Si une organisation continue à affirmer qu'elle est certifiée au regard du bouclier de protection des données après avoir été retirée de la liste, le ministère en réfèrera à la FTC ou à un autre service répressif (43).

(48)

Troisièmement, les personnes peuvent également introduire leurs réclamations auprès d'une APD nationale. Les organisations sont tenues de coopérer à l'enquête menée par une APD à la suite d'une réclamation et au traitement définitif de la réclamation par l'APD lorsqu'il s'agit du traitement de données relatives à des ressources humaines collectées dans le cadre d'une relation de travail ou lorsque l'organisation concernée s'est volontairement soumise à la surveillance des APD. En particulier, elles doivent répondre aux questions, se conformer aux avis émis par l'APD, y compris en ce qui concerne les mesures correctrices ou compensatoires, et fournir à l'APD la confirmation écrite que ces mesures ont été prises.

(49)

Les avis des APD seront communiqués par l'intermédiaire d'un panel informel d'APD établi au niveau de l'Union (44), qui aidera notamment à garantir qu'une réclamation donnée est traitée selon une approche harmonisée et cohérente. Un avis ne sera émis que lorsque l'on aura raisonnablement laissé aux deux parties au litige la possibilité de formuler leurs observations et de soumettre les éléments d'appréciation qu'elles souhaitent. Le panel donnera son avis aussi rapidement que le respect des principes du procès équitable le permet et, en principe, dans un délai de 60 jours à compter de la réception de la réclamation. Si une organisation ne se conforme pas à l'avis dans un délai de 25 jours à compter de sa notification et ne fournit aucun motif valable pour expliquer son retard, le panel notifiera son intention soit de soumettre l'affaire à la FTC (ou à une autre autorité répressive américaine compétente), soit de conclure à un manquement grave à l'engagement de coopérer. Dans le premier cas, cela peut conduire à des mesures coercitives fondées sur l'article 5 du FTC Act (ou sur une disposition législative similaire). Dans le deuxième cas, le panel en informera le ministère du commerce, qui considérera le refus de l'organisation de se conformer à l'avis du panel d'APD comme une non-conformité persistante, ce qui entraînera le retrait de l'organisation de la liste du bouclier de protection des données.

(50)

Si l'APD à laquelle la réclamation a été adressée n'a pris aucune mesure ou a pris des mesures insuffisantes pour traiter la réclamation, le réclamant a la possibilité de contester ces mesures ou cette absence de mesures devant les juridictions nationales de l'État membre concerné.

(51)

Les personnes peuvent également introduire des réclamations auprès d'APD même lorsque le panel d'APD n'a pas été désigné comme un organisme de règlement des litiges de l'organisation. Dans ces cas, les APD peuvent soumettre ces réclamations au ministère du commerce ou à la FTC. Afin de faciliter et de renforcer la coopération en ce qui concerne les réclamations individuelles et les organisations participant au bouclier de protection des données qui se trouvent en situation de non-conformité, le ministère du commerce instituera un point de contact ad hoc, qui fonctionnera comme une interface et apportera un soutien dans le cadre des enquêtes des APD portant sur la conformité d'une organisation aux principes (45). De même, la FTC s'est engagée à mettre en place un point de contact ad hoc (46) et à assister les APD dans les enquêtes en vertu du SAFE WEB Act américain (47).

(52)

Quatrièmement, le ministère du commerce s'est engagé à recevoir et examiner les réclamations relatives au non-respect des principes par une organisation et à faire tout ce qui est en son pouvoir pour les traiter définitivement. À cette fin, il prévoit des procédures spéciales applicables aux APD lorsqu'elles soumettent des réclamations à un point de contact ad hoc, suivent l'évolution de ces réclamations et assurent le suivi avec les entreprises, pour faciliter le règlement des litiges. Afin d'accélérer le traitement des réclamations individuelles, le point de contact sera en contact direct avec l'APD concernée en ce qui concerne les problèmes de conformité et, en particulier, tiendra celle-ci informée de l'état des réclamations dans un délai maximal de 90 jours à compter de la saisine. Cela permet aux personnes concernées d'introduire des réclamations pour non-conformité d'entreprises américaines autocertifées directement auprès de leur APD nationale, ces réclamations étant ensuite canalisées vers le ministère du commerce, qui est l'autorité américaine chargée de gérer le bouclier de protection des données UE—États-Unis. Le ministère du commerce a également promis de fournir, dans le cadre de l'examen annuel du fonctionnement du bouclier de protection des données UE—États-Unis, un rapport contenant une analyse agrégée des réclamations qu'il reçoit chaque année (48).

(53)

Si, sur la base de ses vérifications d'office de réclamations ou de toute autre information, le ministère du commerce conclut qu'une organisation ne s'est pas conformée, de manière persistante, aux principes de protection de la vie privée, elle retirera cette organisation de la liste du bouclier de protection des données. Le refus de se conformer à une décision définitive d'un organisme d'autoréglementation en matière de protection de la vie privée, d'un organisme indépendant de règlement des litiges en matière de protection de la vie privée ou d'un organisme gouvernemental en matière de protection de la vie privée, quel qu'il soit, y compris une APD, sera considéré comme une non-conformité persistante.

(54)

Cinquièmement, une organisation participant au bouclier de protection des données doit être soumise aux pouvoirs d'enquête et au pouvoir coercitif des autorités américaines, notamment la FTC (49), qui veillera au respect effectif des principes. Cette dernière examinera en priorité les saisines pour non-conformité aux principes de protection de la vie privée effectuées par les organismes de règlement des litiges indépendants ou les organismes d'autoréglementation, le ministère du commerce et les APD (agissant de leur propre initiative ou sur la base de réclamations), afin de déterminer si l'article 5 du FTC Act a été violé (50). La FTC s'est engagée à créer une procédure de saisine uniforme, à désigner un point de contact en son sein pour les saisines effectuées par l'APD et à échanger des informations sur les saisines. En outre, elle acceptera les réclamations qui lui seront directement adressées par des personnes physiques et ouvrira des enquêtes sur le bouclier de protection des données de sa propre initiative, notamment dans le cadre de ses enquêtes générales sur les aspects relatifs à la protection de la vie privée.

(55)

La FTC peut exiger la mise en conformité par des injonctions administratives (consent order) et elle contrôle systématiquement si ces directives sont respectées. Lorsque les organisations ne se conforment pas à ces injonctions, la FTC peut porter l'affaire devant le tribunal compétent afin de requérir des amendes administratives et d'autres sanctions, y compris pour tout préjudice causé par le comportement illégal. La FTC peut également requérir directement auprès d'un tribunal fédéral une injonction préliminaire ou permanente ou d'autres mesures visant à remédier à la situation de non-conformité. Chaque consent order adressée à une organisation participant au bouclier de protection des données contiendra des dispositions en matière de notification spontanée (51) et les organisations seront tenues de publier toute section du bouclier de protection des données se rapportant à un rapport de conformité ou d'évaluation soumis à la FTC. Enfin, la FTC maintiendra une liste en ligne des entreprises visées par des injonctions de la FTC ou des décisions de justice dans des affaires portant sur le bouclier de protection des données.

(56)

Sixièmement, en tant que mécanisme de recours «en dernier ressort», au cas où aucune des autres voies de recours disponibles n'aurait permis de traiter de manière définitive et satisfaisante la réclamation de la personne concernée de l'Union européenne, celle-ci peut recourir à un arbitrage contraignant par le «panel du bouclier de protection des données». Les organisations doivent informer les personnes qu'elles ont la possibilité de faire appel à un arbitrage contraignant sous certaines conditions et, lorsqu'une personne a notifié à une organisation qu'elle recourait à cette possibilité, l'organisation en question est tenue de donner suite (52).

(57)

Ce panel d'arbitrage sera composé d'un groupe d'au moins 20 arbitres désignés par le ministère du commerce et la Commission sur la base de leur indépendance, de leur intégrité, ainsi que de leur expérience de la législation américaine en matière de protection de la vie privée et de la législation de l'Union européenne en matière de protection des données. Pour chaque litige individuel, les parties sélectionneront dans ce groupe un panel constitué d'un, de deux ou de trois arbitres (53). La procédure sera régie par des règles d'arbitrage standard à convenir entre le ministère du commerce et la Commission. Ces règles compléteront le cadre qui a déjà été arrêté et qui contient plusieurs éléments facilitant l'accès des personnes concernées de l'Union européenne à ce mécanisme: i) lorsqu'elle prépare l'introduction d'une demande d'arbitrage auprès du panel, la personne concernée peut être assistée par son APD nationale; ii) l'arbitrage aura lieu aux États-Unis, mais les personnes concernées de l'Union peuvent choisir d'y participer par vidéoconférence ou téléconférence, qui sera mise à leur disposition gratuitement; iii) la langue utilisée dans la procédure d'arbitrage sera en règle générale l'anglais, mais l'interprétation lors de l'audience d'arbitrage et la traduction seront normalement (54) mises gratuitement à disposition de la personne concernée sur demande motivée; iv) enfin, chaque partie doit supporter ses propres honoraires d'avocat si elle est représentée par un avocat devant le panel, mais le ministère du commerce créera un fonds alimenté par les contributions annuelles des organisations participant au bouclier de protection des données, qui couvrira les coûts éligibles à la procédure d'arbitrage, dans la limite des plafonds qui seront déterminés par les autorités américaines en concertation avec la Commission.

(58)

Le panel du bouclier de protection des données aura le pouvoir d'imposer les «mesures d'équité personnalisées et non pécuniaires» (55) qui seront nécessaires pour remédier à la non-conformité aux principes. Au moment de statuer, le panel prendra en considération toute autre mesure correctrice déjà obtenue par d'autres mécanismes du bouclier de protection des données, mais les personnes peuvent toujours recourir à l'arbitrage si elles estiment que ces mesures sont insuffisantes. Cela permettra aux personnes concernées de l'Union de recourir à la procédure d'arbitrage dans tous les cas où, du fait de l'action ou de l'inaction des autorités compétentes américaines (par exemple la FTC), la réclamation de ces personnes n'a pas été traitée de manière définitive et satisfaisante. Il n'est pas possible de recourir à l'arbitrage lorsqu'une APD est habilitée à statuer sur la réclamation en question en ce qui concerne l'entreprise américaine autocertifiée, c'est-à-dire dans les cas où l'organisation est tenue de coopérer avec les APD et de se conformer à leurs avis en matière de traitement des données relatives à des ressources humaines collectées dans le cadre d'une relation de travail, ou s'est elle-même engagée à le faire. Les personnes peuvent demander l'exécution de la décision d'arbitrage devant les tribunaux américains en vertu du Federal Arbitration Act, ce qui garantit l'accès à une voie de recours dans le cas où une entreprise se trouve en situation de non-conformité.

(59)

Septièmement, si une organisation viole son engagement de respecter les principes et la politique qui a été publiée en matière de protection de la vie privée, il est possible que d'autres voies de recours soient prévues par les législations des États américains, qui prévoient des voies de recours au titre de la responsabilité délictuelle et dans les cas de dol, d'actes et de pratiques déloyales ou frauduleuses ou de rupture de contrat.

(60)

En outre, lorsqu'une APD, après avoir reçu une réclamation d'une personne concernée de l'Union européenne, considère que le transfert des données concernant une personne à une organisation aux États-Unis est effectué en violation de la législation de l'Union européenne en matière de protection des données, notamment lorsque l'exportateur de données a des raisons de croire que l'organisation ne respecte pas les principes, cette APD peut également exercer ses pouvoirs à l'égard dudit exportateur de données et, si nécessaire, ordonner la suspension du transfert de données.

(61)

À la lumière des informations figurant dans cette section, la Commission considère que les principes publiés par le ministère du commerce des États-Unis garantissent en tant que tels un niveau de protection des données à caractère personnel essentiellement équivalent à celui qui est garanti par les principes matériels de base énoncés dans la directive 95/46/CE.

(62)

En outre, l'application effective des principes est garantie par les obligations de transparence et par le fait que le ministère du commerce gère le bouclier de protection des données et assure le contrôle de la conformité en ce qui concerne ce bouclier.

(63)

De plus, la Commission considère que, pris dans leur ensemble, les mécanismes de surveillance, de recours et de coercition prévus par le bouclier de protection des données permettent de détecter et de sanctionner, en pratique, les infractions aux principes commises par des organisations participant au bouclier de protection des données et offrent aux personnes concernées des voies de recours pour accéder aux données à caractère personnel les concernant et, in fine, obtenir leur rectification ou leur suppression.

(64)

Comme il découle de la section I.5 de l'annexe II, l'adhésion aux principes est limitée à ce qui est nécessaire pour satisfaire aux obligations ayant trait à la sécurité nationale, à l'intérêt public ou au respect de la loi.

(65)

La Commission a évalué les limitations et garanties prévues dans la législation des États-Unis en ce qui concerne l'accès aux données à caractère personnel transférées dans le cadre du bouclier de protection des données UE—États-Unis et l'utilisation de ces données par les autorités publiques américaines à des fins de sécurité nationale, de respect de la loi ou d'intérêt public. En outre, le gouvernement américain, par l'intermédiaire de son bureau du directeur du renseignement national (Office of the Director of National Intelligence, ODNI) (56), a transmis à la Commission des observations et des engagements détaillés qui figurent à l'annexe VI de la présente décision. Par lettre signée par le secrétaire d'État américain, qui figure à l'annexe III de la présente décision, le gouvernement des États-Unis s'est également engagé à créer un nouveau mécanisme de surveillance pour les ingérences de la sécurité nationale, à savoir le médiateur du bouclier de protection des données, qui est indépendant de la communauté du renseignement. Enfin, une série d'observations du ministère de la justice américain, figurant à l'annexe VII de la présente décision, décrivent les limitations et garanties applicables à l'accès aux données et à l'utilisation de ces données par les autorités publiques aux fins de garantir le respect de la loi et à d'autres fins d'intérêt général. Afin d'accroître la transparence et de manifester la nature juridique de ces engagements, chacun des documents mentionnés et annexés à la présente décision sera publié au Journal officiel des États-Unis (U.S. Federal Register).

(66)

Les conclusions de la Commission concernant les limitations de l'accès aux données à caractère personnel transférées de l'Union européenne vers les États-Unis et de l'utilisation de ces données par les autorités publiques américaines et concernant l'existence d'une protection juridique effective sont détaillées ci-dessous.

(67)

Il ressort de l'analyse effectuée par la Commission que le droit américain prévoit plusieurs limitations de l'accès aux données à caractère personnel transférées dans le cadre du bouclier de protection des données UE—États-Unis et de l'utilisation de ces données à des fins de sécurité nationale, ainsi qu'une surveillance et des mécanismes de recours qui offrent des garanties suffisantes pour que lesdites données soient protégées de manière efficace contre les interventions illicites et le risque d'abus (57). Depuis 2013, l'année au cours de laquelle la Commission a publié ses deux communications (voir le considérant 7), ce cadre juridique a été considérablement renforcé, comme décrit ci-dessous.

(68)

En vertu de la Constitution des États-Unis, il appartient au président, en tant que commandant en chef des forces armées et chef de l'exécutif, de garantir la sécurité nationale, et, en ce qui concerne le renseignement extérieur, de conduire les affaires étrangères des États-Unis (58). Même si le Congrès a le pouvoir d'imposer certaines limitations et a déjà fait usage de ce pouvoir à divers égards, le président peut, à l'intérieur de ces limites, diriger les activités de la communauté américaine du renseignement, notamment par des décrets présidentiels ou des directives présidentielles. Cela vaut évidemment aussi dans les domaines où il n'existe aucune orientation de la part du Congrès. Actuellement les deux instruments juridiques essentiels à cet égard sont le décret présidentiel no 12333 (Executive Order 12333, ci-après l'«E.O. 12333») (59) et la directive stratégique présidentielle no 28 (Presidential Policy directive 28, ci-après la «PPD-28»).

(69)

La PPD-28, qui a été publiée le 17 janvier 2014, impose un certain nombre de limitations pour les opérations de «renseignement d'origine électromagnétique» (60). Cette directive présidentielle a force obligatoire pour les autorités américaines de renseignement (61) et continue de produire ses effets après un changement de gouvernement américain (62). La PPD-28 revêt une importance particulière pour les personnes qui ne sont pas américaines, y compris les personnes concernées de l'Union. Elle dispose notamment ce qui suit:

(70)

La PPD-28 dispose que les renseignements d'origine électromagnétique peuvent être collectés uniquement s'il existe une finalité de renseignement extérieur ou de contre-espionnage, pour soutenir des missions nationales et ministérielles, et jamais à d'autres fins (par exemple, pour offrir un avantage concurrentiel aux entreprises américaines). À cet égard, l'ODNI explique que les composantes de la communauté du renseignement «devraient, à chaque fois que cela est faisable, exiger que la collecte soit focalisée sur des cibles ou aspects spécifiques du renseignement extérieur par l'utilisation de discriminants (par exemple, des dispositifs spécifiques, des règles de sélection et des identifiants)» (63). En outre, les observations donnent des assurances que les décisions en matière de collecte de renseignements ne sont pas laissées à la discrétion de l'un ou l'autre agent de renseignement, mais obéissent à des politiques et des procédures que les différentes composantes (les services) de la communauté américaine du renseignement sont tenues de mettre en place pour mettre en œuvre la PPD-28 (64). En conséquence, l'élaboration et le choix des sélecteurs appropriés sont effectués au sein du cadre des priorités de contrôle du renseignement national (National Intelligence Priorities Framework, NIPF); ce cadre général garantit que les priorités en matière de renseignement sont fixées par des décideurs politiques de haut niveau et sont régulièrement réexaminées afin de rester adaptées aux menaces réelles pour la sécurité nationale et en tenant compte des risques potentiels, y compris les risques d'atteinte à la vie privée (65). Sur cette base, les agents des différents services élaborent et établissent des règles spécifiques de sélection qui doivent collecter des renseignements extérieurs répondant aux priorités (66). Les règles de sélection, aussi appelées «sélecteurs», doivent être régulièrement réexaminées afin de voir si elles continuent de fournir des renseignements pertinents au regard des priorités (67).

(71)

En outre, les exigences fixées dans la PPD-28 selon lesquelles la collecte de renseignements doit toujours (68) être «aussi ciblée que possible» et la communauté du renseignement doit accorder une priorité élevée à la disponibilité d'autres informations et d'autres solutions appropriées et faisables (69), sont conformes à la règle générale selon laquelle la collecte ciblée est prioritaire par rapport à la collecte en vrac. Selon les assurances données par l'ODNI, ces exigences garantissent en particulier que la collecte en vrac n'est pas «massive» ni effectuée «à l'aveugle», et que l'exception ne se substitue pas à la règle (70).

(72)

Si la PPD-28 explique que les composantes de la communauté du renseignement doivent parfois collecter des renseignements d'origine électromagnétique en vrac dans certaines circonstances, par exemple pour détecter et évaluer les nouvelles menaces ou les menaces émergentes, elle n'en impose pas moins à ces composantes de donner la priorité à des solutions de substitution qui permettraient de mettre en œuvre un renseignement d'origine électromagnétique ciblé (71). Il s'ensuit que la collecte en vrac n'aura lieu que lorsque la collecte ciblée au moyen de discriminants — c'est-à-dire un identifiant associé à une cible spécifique (tel que l'adresse électronique ou le numéro de téléphone de la cible) — n'est pas possible «pour des raisons techniques ou opérationnelles» (72). Cela vaut tant pour la manière dont les renseignements d'origine électromagnétique sont collectés que pour les renseignements qui sont effectivement collectés (72).

(73)

D'après les observations de l'ODNI, même lorsque la communauté du renseignement ne peut pas utiliser des identifiants spécifiques pour cibler la collecte, elle s'efforcera de réduire «autant que possible» le champ de la collecte. Afin de respecter ce principe, elle «applique des filtres et d'autres moyens techniques pour focaliser la collecte sur les dispositifs qui sont les plus susceptibles de contenir des informations présentant un intérêt pour le renseignement extérieur» [et elle répondra donc aux exigences élaborées par les décideurs politiques américains conformément au processus décrit ci-dessus, au considérant 70]. En conséquence, la collecte en vrac sera ciblée au moins de deux façons, comme indiqué ci-après. Premièrement, cette collecte portera toujours sur des objectifs liés au renseignement extérieur (par exemple, pour acquérir des renseignements d'origine électromagnétique sur les activités d'un groupe terroriste opérant dans une région donnée) et sera toujours focalisée sur les communications qui présentent un tel lien. Selon les assurances données par l'ODNI, cela est illustré par le fait que les «activités de renseignement d'origine électromagnétique menées par les États-Unis ne touchent qu'une faible partie des communications transitant sur internet» (73). Deuxièmement, les observations de l'ODNI expliquent que les filtres et autres moyens techniques utilisés seront conçus de manière à cibler la collecte «aussi précisément que possible» de façon à garantir que le volume de «données non pertinentes» soit réduit au minimum.

(74)

Enfin, même dans les cas où les États-Unis jugent nécessaire de recueillir des renseignements d'origine électromagnétique en vrac, dans les conditions fixées aux considérants 70 à 73, la PPD-28 restreint l'utilisation de ces renseignements à une liste spécifique de six motifs de protection de la sécurité nationale, en vue de défendre la vie privée et les libertés civiles de toutes les personnes, quels que soient leur nationalité et leur lieu de résidence (74). Ces motifs autorisés comprennent des mesures visant à détecter et à neutraliser les menaces liées à l'espionnage, au terrorisme et aux armes de destruction massive, les menaces pour la cybersécurité, ainsi que les menaces contre les forces armées ou le personnel de l'armée et les menaces criminelles transnationales liées aux cinq autres motifs; ils seront réexaminés au moins une fois par an. Selon les observations des autorités américaines, les acteurs de la communauté du renseignement ont renforcé leurs pratiques et normes analytiques en matière d'interrogation de données de renseignement d'origine électromagnétique non évaluées de façon à se conformer à ces exigences; l'utilisation de questions ciblées garantit que seules les informations dont on estime qu'elles présentent un intérêt potentiel du point de vue du renseignement sont soumises pour examen aux analystes (75).

(75)

Ces restrictions sont particulièrement appropriées pour les données à caractère personnel transférées dans le cadre du bouclier de protection des données UE-États-Unis, en particulier dans le cas où la collecte de données à caractère personnel devrait intervenir à l'extérieur des États-Unis, notamment lors de leur transit sur les câbles transatlantiques de l'Union vers les États-Unis. Comme l'ont confirmé les autorités américaines dans les observations de l'ODNI, les limitations et garanties prévues par ce bouclier, y compris celles énoncées dans la PPD-28, s'appliquent à ce type de collecte (76).

(76)

Même si les principes considérés ne sont pas formulés dans un langage juridique, ils rendent l'essence des principes de nécessité et de proportionnalité. La priorité est clairement donnée à une collecte ciblée, tandis que la collecte en vrac est limitée aux situations (exceptionnelles) dans lesquelles une collecte ciblée n'est pas possible pour des raisons techniques ou opérationnelles. Même lorsque la collecte de données en vrac ne peut être évitée, l'«utilisation» ultérieure de ces données du fait de l'accès accordé est strictement limitée à des fins spécifiques et légitimes tenant à la sécurité nationale (77).

(77)

Les exigences considérées, se présentant sous la forme d'une directive adoptée par le président en sa qualité de premier magistrat, sont contraignantes pour l'ensemble des services de renseignement et ont été mises en œuvre plus avant au moyen de règles et de procédures des agences qui transposent les principes généraux en orientations spécifiques pour les opérations quotidiennes. En outre, si le Congrès n'est pas lui-même lié par la PPD-28, il a également pris des mesures pour veiller à ce que, aux États-Unis, la collecte des données à caractère personnel et l'accès à ces données s'effectuent de manière ciblée et non généralisée.

(78)

Il ressort des informations disponibles, notamment des observations reçues de la part des autorités américaines, qu'une fois que les données ont été transférées à des organismes établis aux États-Unis et autocertifiés, dans le cadre du bouclier de protection des données UE-États-Unis, les agences américaines de renseignement ne pourront chercher (78) à avoir accès à des données à caractère personnel que si leur demande est conforme à la loi sur la surveillance et le renseignement étranger (FISA) ou qu'elle émane du Bureau fédéral d'enquête (FBI) agissant sur le fondement d'une lettre dite de sécurité nationale (79). Plusieurs bases juridiques existent dans le cadre du FISA, qui peuvent être utilisées pour collecter (et par la suite traiter) les données à caractère personnel de citoyens européens transférées en vertu du bouclier de protection des données UE-États-Unis. En dehors de l'article 104 du FISA (80) qui porte sur la surveillance électronique classique des individus et de l'article 402 du FISA (81) relatif à l'installation de dispositifs d'écoute téléphonique et de suivi et d'enregistrement des communications, les deux principaux instruments sont l'article 501 du FISA [ex-article 215 du «PATRIOT ACT» américain (loi antiterroriste)] et l'article 702 du FISA (82).

(79)

À cet égard, l'USA FREEDOM Act, qui a été adopté le 2 juin 2015, interdit la collecte en vrac d'enregistrements sur la base de l'article 402 du FISA (dispositifs d'écoute téléphonique et de suivi et d'enregistrement des communications), de l'article 501 du FISA (ex-article 215 du PATRIOT ACT) américain (83) et par le recours aux lettres de sécurité nationale, et demande à la place l'utilisation de «critères de sélection» spécifiques (84).

(80)

Si le FISA contient d'autres bases juridiques permettant de mener des activités de renseignement nationales, notamment en matière de renseignements d'origine électromagnétique, l'évaluation de la Commission a montré qu'en ce qui concerne le transfert de données à caractère personnel dans le cadre du bouclier de protection des données UE-États-Unis, ces autorisations limitent de la même manière l'ingérence des autorités publiques à une collecte et un accès ciblés.

(81)

C'est clairement le cas en ce qui concerne la surveillance électronique classique des personnes effectuée en application de l'article 104 du FISA (85). Pour ce qui est de l'article 702 du FISA, qui fournit la base pour deux importants programmes de renseignement menés par les agences américaines de renseignement (PRISM, UPSTREAM), des recherches sont effectuées de manière ciblée par le recours à différents critères de sélection qui identifient des moyens de communication spécifiques, comme l'adresse électronique ou le numéro de téléphone d'une cible, mais non des mots clés ni même les noms des personnes ciblées (86). Par conséquent, comme l'a fait observer le conseil de surveillance de la vie privée et des libertés civiles (PCLOB), la surveillance effectuée au titre de l'article 702 consiste exclusivement dans le fait de cibler des personnes (non américaines) spécifiques faisant l'objet d'une décision spécifique (87). En vertu d'une «clause de caducité», l'article 702 du FISA devra être réexaminé en 2017, date à laquelle la Commission devra réévaluer les garanties dont disposent les personnes concernées de l'Union.

(82)

En outre, dans les observations qu'elles ont présentées, les autorités américaines ont donné à la Commission européenne des garanties expresses sur le fait que leurs services de renseignements ne se livraient pas à une surveillance systématique généralisée, y compris des citoyens européens ordinaires (88). En ce qui concerne les données à caractère personnel collectées à l'intérieur des États-Unis, cette déclaration est étayée par des données empiriques qui montrent que les demandes d'accès au moyen des lettres de sécurité nationale et dans le cadre du FISA, que ce soit sur le fondement d'une seule de ces bases ou des deux, ne concernent qu'un nombre relativement faible de cibles par rapport à l'ensemble des flux de données sur l'internet (89).

(83)

En ce qui concerne l'accès aux données collectées et la sécurité de ces données, la PPD-28 prévoit que l'accès doit être limité au personnel habilité ayant besoin de connaître les informations en cause pour mener à bien sa mission et que les informations à caractère personnel doivent être traitées et stockées dans des conditions qui garantissent une protection adéquate et empêchent l'accès des personnes non habilitées, conformément aux garanties applicables en matière d'informations sensibles. Le personnel des services de renseignement reçoit une formation appropriée et adéquate en ce qui concerne les principes énoncés dans la PPD-28 (90).

(84)

Enfin, en ce qui concerne le stockage et la diffusion ultérieure des données à caractère personnel concernant des personnes de l'Union collectées par les autorités américaines de renseignement, la PPD-28 prévoit que toute personne (y compris les personnes non américaines) doit être traitée avec respect et dignité, que toute personne possède des intérêts légitimes en matière de vie privée dans le cadre du traitement de ses informations personnelles et que les entités des services de renseignements doivent donc mettre en place des politiques offrant des garanties appropriées pour ce type de données, qui soient raisonnablement conçues afin de limiter le plus possible la diffusion et la conservation de ces données (91).

(85)

Les autorités américaines ont expliqué que cette exigence concernant le caractère raisonnable implique que les entités des services de renseignement ne seront pas tenues d'adopter «toute mesure théoriquement envisageable» mais devront trouver un équilibre entre leurs efforts visant à protéger les intérêts légitimes relatifs au respect de la vie privée et des libertés civiles et les nécessités pratiques liées aux activités de renseignement électromagnétique (92). À cet égard, les personnes non américaines seront traitées de la même façon que les personnes américaines, sur la base des procédures approuvées par le procureur général (93).

(86)

D'après ces règles, la conservation des données est généralement limitée à une période maximale de cinq ans, à moins qu'il ne soit établi spécifiquement par la législation ou décidé expressément par le directeur de l'Agence nationale du renseignement après évaluation minutieuse des problèmes de protection de la vie privée, en tenant compte de l'avis du délégué à la protection des libertés civiles de l'ODNI ainsi que des responsables chargés de la protection de la vie privée et des libertés civiles au sein des agences, que leur conservation prolongée répond aux intérêts de sécurité nationale des États-Unis (94). La diffusion est limitée aux cas dans lesquels ces informations présentent un intérêt pour l'objectif fondamental poursuivi par la collecte et, partant, répondent à un besoin autorisé de renseignement extérieur ou d'application de la législation (95).

(87)

Selon les assurances données par le gouvernement américain, les informations à caractère personnel ne peuvent être diffusées au seul motif qu'il s'agit d'une personne non américaine et que les renseignements d'origine électromagnétique sur les activités habituelles d'un étranger ne peuvent être considérés comme des renseignements extérieurs susceptibles d'être diffusés ou conservés durablement en vertu de ce seul fait, à moins qu'ils ne répondent par ailleurs à des exigences admises en matière de renseignement extérieur (96).

(88)

Sur la base de toutes les considérations qui précèdent, la Commission conclut que des règles sont en place aux États-Unis, qui visent à limiter toute ingérence, pour les besoins de la sécurité nationale, dans l'exercice des droits fondamentaux des personnes dont les données à caractère personnel sont transférées de l'Union européenne vers les États-Unis dans le cadre du bouclier de protection des données UE-États-Unis à ce qui est strictement nécessaire pour atteindre l'objectif légitime recherché.

(89)

Comme l'a montré l'analyse ci-dessus, le droit américain garantit que les mesures de surveillance serviront uniquement à l'obtention de renseignements extérieurs, ce qui constitue un objectif stratégique légitime (97), et seront le plus spécifiques possible. En particulier, la collecte en vrac ne sera autorisée qu'à titre exceptionnel lorsqu'une collecte ciblée n'est pas réalisable, et sera assortie de garanties supplémentaires en vue de limiter au maximum la quantité de données collectées et l'accès ultérieur (qui devra être ciblé et autorisé uniquement à des fins spécifiques).

(90)

Selon l'appréciation de la Commission, cette pratique est conforme à la norme fixée par la Cour de justice dans l'arrêt Schrems, selon lequel une réglementation comportant une ingérence dans les droits fondamentaux garantis par les articles 7 et 8 de la charte doit imposer «un minimum d'exigences» (98) et «n'est pas limitée au strict nécessaire une réglementation qui autorise de manière généralisée la conservation de l'intégralité des données à caractère personnel de toutes les personnes dont les données ont été transférées depuis l'Union vers les États-Unis sans qu'aucune différenciation, limitation ou exception soit opérée en fonction de l'objectif poursuivi et sans que soit prévu un critère objectif permettant de délimiter l'accès des autorités publiques aux données et leur utilisation ultérieure à des fins précises, strictement restreintes et susceptibles de justifier l'ingérence que comportent tant l'accès que l'utilisation de ces données» (99). Il n'y aura pas non plus collecte ou stockage illimité de données de toutes les personnes sans restrictions ni accès illimité. En outre, les observations présentées à la Commission, y compris l'assurance que les activités de renseignement d'origine électromagnétique des États-Unis ne concernent qu'une faible partie des communications transitant sur internet, excluent qu'il puisse y avoir accès «sur une base généralisée» (100) au contenu des communications électroniques.

(91)

La Commission a évalué à la fois les mécanismes de surveillance qui existent aux États-Unis en ce qui concerne toute ingérence des autorités américaines de renseignement dans les données à caractère personnel transférées vers les États-Unis et les voies de recours dont peuvent disposer les personnes concernées de l'Union pour obtenir réparation à titre individuel.

(92)

L'ensemble des entités des services de renseignement des États-Unis est soumis à divers mécanismes de contrôle et de surveillance qui relèvent des trois pouvoirs de l'État. Il s'agit ainsi notamment d'organes internes et externes au sein du pouvoir exécutif, d'un certain nombre de commissions du Congrès et d'entités chargées d'une surveillance judiciaire portant spécifiquement sur les activités menées dans le cadre de la loi sur la surveillance et le renseignement étranger.

(93)

Premièrement, les activités de renseignement des autorités américaines font l'objet d'une surveillance approfondie de la part du pouvoir exécutif.

(94)

Selon la section 4(a)(iv) de la PPD-28, les politiques et les procédures appliquées par les acteurs des services de renseignement comprennent des mesures adéquates visant à faciliter la surveillance de la mise en œuvre des garanties protégeant les informations à caractère personnel; ces mesures doivent englober un audit périodique (101).

(95)

De multiples niveaux de supervision ont été instaurés à cet égard, notamment des délégués à la protection des libertés civiles ou de la vie privée, des inspecteurs généraux, le bureau de l'ODNI chargé des libertés civiles et de la vie privée, le conseil de surveillance de la vie privée et des libertés civiles (PCLOB) et le conseil de surveillance du renseignement du président (PIOB). Le personnel de toutes les agences chargé du respect de la conformité participe au bon déroulement de ces fonctions de surveillance (102).

(96)

Comme l'ont expliqué les autorités américaines (103), des délégués à la protection des libertés civiles ou de la vie privée investis de responsabilités en matière de surveillance sont en place dans différents services et agences de renseignement (104). Si les pouvoirs spécifiques de ces délégués peuvent varier quelque peu en fonction de leur mandat, ils englobent généralement la surveillance des procédures permettant de veiller à ce que le service concerné/l'agence concernée prenne en compte de façon adéquate les problèmes touchant à la vie privée et aux libertés civiles et ait mis en place des procédures appropriées pour traiter les réclamations émanant de personnes qui estiment que leur vie privée ou les libertés civiles ont été violées [et, dans certains cas, à l'instar de l'ODNI, ces délégués peuvent eux-mêmes avoir le pouvoir d'enquêter sur des réclamations (105)]. Le chef du service/de l'agence doit quant à lui veiller à ce que le délégué reçoive toutes les informations et se voie accorder l'accès à tous les documents nécessaires pour pouvoir s'acquitter de ses fonctions. Les délégués à la protection des libertés civiles et de la vie privée font régulièrement rapport au Congrès et au PCLOB, notamment sur le nombre et la nature des réclamations par le service/l'agence, les informent succinctement du sort réservé à ces réclamations, et les renseignent sur les examens et les enquêtes effectués ainsi que sur l'impact des activités menées par le délégué (106). Selon l'appréciation des autorités nationales de protection des données, le contrôle interne exercé par les délégués à la protection des libertés civiles ou de la vie privée peut être considéré comme «assez solide», bien que, de leur point de vue, ces délégués ne jouissent pas du degré d'indépendance requis (107).

(97)

En outre, chaque entité du secteur du renseignement compte son propre inspecteur général chargé, entre autres, de contrôler les activités de renseignement extérieur (108). Se trouve ainsi, au sein de l'ODNI, un bureau de l'inspecteur général doté de vastes attributions en ce qui concerne l'ensemble des services de renseignement et qui est habilité à enquêter sur les réclamations ou les informations concernant des allégations de comportement infractionnel ou d'abus d'autorité, en relation avec des programmes et des activités de l'ODNI et/ou des programmes des services de renseignement (109). Les inspecteurs généraux sont des entités dont l'indépendance est inscrite dans la loi (110); ils sont chargés d'effectuer des audits et des enquêtes sur les activités et programmes menés par l'agence concernée à des fins de renseignement national, y compris en ce qui concerne des abus ou une violation du droit (111). Ils sont autorisés à avoir accès à l'ensemble des archives, rapports, audits, réexamens, documents, recommandations ou à tout autre matériel pertinent, si nécessaire au moyen d'une ordonnance, et ils peuvent recueillir des témoignages (112). Si les inspecteurs généraux ne peuvent que formuler des recommandations non contraignantes sur l'adoption de mesures correctives, leurs rapports, notamment sur les mesures de suivi (ou leur absence) sont rendus publics et de surcroît transmis au Congrès qui peut, sur cette base, exercer sa fonction de contrôle (113).

(98)

En outre, le conseil de surveillance du droit au respect de la vie privée et des libertés civiles, organe indépendant (114), relevant du pouvoir exécutif, composé d'un conseil de cinq membres (115) issus des deux grands partis et nommés par le président pour un mandat de six ans avec l'approbation du Sénat, est investi de responsabilités dans le domaine des politiques de lutte contre le terrorisme et de leur mise en œuvre, en vue de protéger la vie privée et les libertés civiles. Dans le cadre de son examen de l'action des services de renseignement, il peut avoir accès à l'ensemble des archives, rapports, audits, analyses, documents, pièces et recommandations pertinents, notamment aux informations classifiées, mener des entretiens et recueillir des témoignages. Il reçoit des rapports des délégués à la protection des libertés civiles et de la vie privée de plusieurs agences/organes fédéraux (116); il peut leur adresser des recommandations et fait régulièrement rapport aux commissions du Congrès et au président (117). Le PCLOB est également chargé, dans les limites de son mandat, de préparer un rapport évaluant la mise en œuvre de la PPD-28.

(99)

Enfin, les mécanismes de surveillance précités sont complétés par le conseil de surveillance du renseignement (Intelligence Oversight Board) créé au sein du conseil consultatif en matière de renseignement relevant du président, qui supervise le respect par les autorités américaines de renseignement de la Constitution et de toutes les règles applicables.

(100)

Pour faciliter la surveillance, les entités des services de renseignement sont invitées à concevoir des systèmes d'information pour permettre le suivi, l'enregistrement et l'examen des demandes ou d'autres recherches d'informations à caractère personnel (118). Les organismes chargés des contrôles et du respect de la conformité contrôleront régulièrement les pratiques mises en place par les entités des services de renseignement en vue de protéger les informations à caractère personnel figurant dans les renseignements d'origine électromagnétique et le respect de ces procédures (119).

(101)

Ces fonctions de contrôle sont en outre complétées par des exigences importantes en matière de rapport sur le non-respect de la conformité. En particulier, les procédures appliquées par les agences doivent garantir que lors de la survenue d'un problème notable de conformité concernant des données à caractère personnel d'une personne quelconque, quelle que soit sa nationalité, collectées au moyen de renseignements d'origine électromagnétique, ce problème sera rapidement signalé au responsable de l'entité du service de renseignement qui, à son tour, en informera le directeur du renseignement national qui, en vertu de la PPD-28, appréciera si des mesures correctives sont nécessaires (120). En outre, conformément à l'E.O. 12333, toutes les entités des services de renseignement sont tenues de faire rapport au conseil de surveillance du renseignement sur les incidents en matière de non-respect de la conformité (121). Ces mécanismes garantissent que le problème sera traité au plus haut niveau au sein des services de renseignement. Lorsque le problème concerne un ressortissant non américain, le directeur du renseignement national, en concertation avec le secrétaire d'État et le chef du service ou de l'agence notifiante, décide s'il convient de prendre des mesures pour informer le gouvernement étranger concerné, dans le respect de la protection des sources, des méthodes et du personnel des États-Unis (122).

(102)

Deuxièmement, outre ces mécanismes de contrôle au sein du pouvoir exécutif, le Congrès américain, en particulier les commissions du renseignement et judiciaires de la Chambre des représentants et du Sénat, exerce des responsabilités de surveillance à l'égard de toutes les activités du renseignement extérieur américain, y compris le renseignement d'origine électromagnétique. D'après la loi sur la sécurité nationale, «[l]e Président veille à ce que les commissions du renseignement du Congrès soient pleinement et régulièrement informées des activités de renseignement des États-Unis, notamment de toute activité importante de renseignement anticipée conformément au présent sous-chapitre» (123). De plus, «[l]e Président veille à ce que toute activité de renseignement illégale soit rapportée rapidement aux commissions du renseignement du Congrès, ainsi que toute mesure corrective qui a été prise ou est prévue en lien avec lesdites activités» (124). Les membres de ces commissions ont accès à des informations classifiées et aux méthodes et programmes de renseignement (125).

(103)

Des lois ultérieures ont étendu et précisé les obligations de rendre compte, tant pour les composantes des services de renseignement que pour les inspecteurs généraux et le procureur général (Attorney General). Par exemple, le FISA exige que le ce dernier «informe pleinement» les commissions du renseignement et judiciaires de la Chambre et du Sénat au sujet des activités du gouvernement relevant de certains de ses articles (126). Elle impose en outre au gouvernement d'adresser aux commissions du Congrès «un exemplaire de chaque décision, ordonnance ou avis émis par le tribunal de la surveillance du renseignement extérieur (FISC) ou la cour révisant les décisions en matière de surveillance du renseignement extérieur (FISCR), contenant une interprétation ou une explication du sens ou de l'intention» des dispositions du FISA. En particulier, en ce qui concerne le contrôle visé à l'article 702 du FISA, la surveillance est exercée au moyen d'une obligation légale de rapports destinés aux commissions du renseignement et judiciaires, et de l'utilisation fréquente de briefings et auditions. Il s'agit notamment d'un rapport semestriel du procureur général décrivant l'utilisation de l'article 702 du FISA, accompagné de documents justificatifs comme les rapports du ministère de la justice et de l'ODNI sur le respect des normes et d'une description de tous les cas de non-respect (127), et d'une évaluation semestrielle séparée présentée par le procureur général et le DNI afin de démontrer le respect des procédures de ciblage et de minimisation, y compris des procédures conçues pour veiller à ce que cette collecte serve un objectif valable de renseignement extérieur (128). Le Congrès reçoit également des rapports établis par les inspecteurs généraux qui sont autorisés à évaluer dans quelle mesure les agences respectent les procédures de ciblage et de «minimisation» et les orientations du procureur général.

(104)

Selon l'USA FREEDOM Act de 2015, le gouvernement américain est tenu de communiquer au Congrès (et au grand public) chaque année le nombre d'ordonnances et de directives demandées et obtenues au titre du FISA, ainsi que des estimations du nombre de personnes, américaines ou non, visées par la surveillance, entre autres (129). Cet acte législatif exige également par ailleurs la communication publique d'informations sur le nombre de lettres de sécurité nationale (LSN) émises, concernant là aussi des personnes américaines ou non (tout en permettant aux destinataires des ordonnances et certifications FISA, et des demandes liées aux LSN, de publier des rapports de transparence sous certaines conditions) (130).

(105)

Troisièmement, les activités de renseignement menées par les autorités américaines sur la base du FISA permettent la révision, et dans certains cas une autorisation préalable des mesures, par le tribunal FISA (FISC) (131), un tribunal indépendant (132) dont les décisions peuvent être contestées devant la cour révisant les décisions en matière de surveillance du renseignement extérieur (FISCR) (133) et, en dernier recours, devant la Cour suprême des États-Unis (134). En cas d'autorisation préalable, les autorités qui en font la demande (FBI, NSA, CIA, etc.) devront présenter un projet de demande aux avocats du National Security Department du ministère de la justice, qui l'examineront et, le cas échéant, demanderont des informations supplémentaires (135). Une fois la demande finalisée, elle doit être approuvée par le procureur général, le procureur général adjoint ou l'assistant du procureur général pour la sécurité nationale (136). Le ministère de la justice présentera ensuite la demande au FISC, qui évaluera cette dernière et adoptera un premier avis sur la marche à suivre (137). Lorsqu'une audience a lieu, le FISC a la capacité de recueillir des témoignages pouvant inclure des conseils d'experts (138).

(106)

Le FISC (de même que la FISCR) reçoit l'appui d'un panel permanent de cinq personnes qui ont une expertise en matière de sécurité nationale et de libertés civiles (139). Le tribunal désignera une personne de ce groupe qui agira en tant qu'amicus curiae pour contribuer à l'examen de toute demande d'ordonnance ou de révision qui, selon le tribunal, contiendrait une interprétation nouvelle ou notable de la loi, sauf si le tribunal estime cette désignation inutile (140). Cette possibilité garantira notamment que les questions de protection de la vie privée sont dûment prises en compte dans les évaluations du tribunal. Celui-ci peut également désigner une personne ou une organisation qui agira en tant qu'amicus curiae, notamment en fournissant une expertise technique, chaque fois qu'il l'estime approprié ou, sur demande, autorisera une personne ou une organisation à déposer un dossier d'amicus curiae  (141).

(107)

En ce qui concerne les deux autorisations légales de surveillance au titre du FISA qui ont une importance majeure pour les transferts de données dans le cadre du bouclier de protection des données UE-États-Unis, la surveillance exercée par le FISC n'est pas la même.

(108)

À l'article 501 du FISA (142), qui permet la collecte de «tout élément matériel (y compris des livres, des enregistrements, des documents papier, ou d'autres articles)», la demande du FISC doit contenir une déclaration des faits montrant qu'il existe des motifs raisonnables de considérer que les éléments matériels demandés sont pertinents aux fins d'une enquête autorisée (autre qu'une évaluation de menace), menée pour obtenir des informations sur le renseignement extérieur ne se rapportant pas à une personne américaine ou pour se protéger du terrorisme international ou des activités clandestines de renseignement. De plus, la demande doit contenir une liste des procédures de minimisation adoptées par le procureur général pour la rétention et la diffusion des renseignements collectés (143).

(109)

Inversement, selon l'article 702 du FISA (144), le FISC n'autorise pas de mesures de surveillance individuelle, mais plutôt des programmes de surveillance (comme PRISM ou UPSTREAM) sur la base de certifications annuelles préparées par le procureur général et le directeur du renseignement national (DNI). L'article 702 du FISA permet le ciblage de personnes dont il est raisonnable de penser qu'elles se trouvent hors des États-Unis pour se procurer des informations en matière de renseignement extérieur (145). Ce ciblage est effectué par la NSA en deux étapes. Premièrement, les analystes de la NSA recenseront des personnes non américaines se trouvant à l'étranger et dont la surveillance conduira, selon l'évaluation des analystes, à l'action de renseignement extérieur pertinente précisée dans la certification. Deuxièmement, une fois que ces personnes désignées individuellement auront été recensées et que leur ciblage aura été approuvé au moyen d'un mécanisme de révision élargi au sein de la NSA (146), des sélecteurs qui recensent les moyens de communication utilisés par les cibles (comme les adresses électroniques) seront mis en œuvre (c'est-à-dire développés et appliqués) (147). Comme indiqué, les certifications qui doivent être approuvées par le FISC ne contiennent pas d'informations sur les personnes à cibler individuellement mais déterminent plutôt des catégories d'informations en matière de renseignement extérieur (148). Même si le FISC n'évalue pas, à l'aune d'une cause ou de tout autre critère, si les personnes sont correctement ciblées pour se procurer des informations en matière de renseignement extérieur (149), son contrôle s'étend à la condition qu'«un objectif important de l'acquisition soit d'obtenir des informations en matière de renseignement extérieur» (150). En effet, selon l'article 702 du FISA, la NSA n'est autorisée à collecter des communications de personnes non américaines hors des États-Unis que s'il existe des motifs raisonnables de penser qu'un moyen de communication spécifique est utilisé pour communiquer des informations en matière de renseignement extérieur (par exemple liées au terrorisme international, à la prolifération nucléaire ou à des cyberactivités nuisibles). Les décisions prises en la matière sont susceptibles d'un recours juridictionnel (151). Les certifications doivent également prévoir des procédures de ciblage et de minimisation (152). Le procureur général et le directeur de l'Agence nationale du renseignement vérifient le respect des normes et les agences ont l'obligation de rapporter tout cas de non-respect au FISC (153) (ainsi qu'au Congrès et au PIOB), qui peut modifier l'autorisation sur cette base (154).

(110)

De plus, pour augmenter l'efficacité de la surveillance exercée par le FISC, l'administration américaine a convenu de mettre en œuvre une recommandation du PCLOB visant à fournir au FISC les documents relatifs aux décisions de ciblage relevant de l'article 702, y compris un échantillon aléatoire de feuillets d'assignation, de manière que le FISC soit en mesure d'évaluer comment l'obligation en matière de renseignement extérieur est remplie en pratique (155). Parallèlement, l'administration américaine a accepté et pris des mesures pour réviser les procédures de ciblage de la NSA, afin qu'une meilleure justification documentaire soit fournie concernant les motifs des décisions de ciblage sur le renseignement extérieur (156).

(111)

Plusieurs voies de recours sont disponibles en droit américain pour les personnes de l'Union européenne concernées par les données à caractère personnel, lorsqu'elles craignent que ces données aient été traitées (collectées, évaluées, etc.) par des entités américaines du secteur du renseignement et, si tel est le cas, lorsqu'elles veulent s'assurer que les limitations en vigueur en droit américain ont été respectées. Ces limitations portent essentiellement sur trois domaines: ingérences au titre de la FISA, accès illégal intentionnel à des données à caractère personnel par des fonctionnaires de l'État, et accès à des informations au titre de la loi sur la liberté de l'information (FOIA) (157).

(112)

Premièrement, le FISA prévoit un certain nombre de recours, également accessibles aux personnes non américaines, pour contester la surveillance électronique illégale (158). Les personnes concernées peuvent notamment: intenter un recours civil pour demander des dommages et intérêts aux États-Unis lorsque des informations à leur sujet ont été utilisées ou divulguées illégalement et volontairement (159); poursuivre des fonctionnaires de l'État américain à titre personnel («sous l'apparence du droit») pour obtenir des dommages et intérêts (160); et contester la légalité de la surveillance (et tenter de supprimer les informations) dans le cas où l'État américain envisagerait d'utiliser ou de divulguer toute information obtenue ou découlant de la surveillance électronique, à l'encontre de la personne visée par une procédure judiciaire ou administrative aux États-Unis (161).

(113)

Deuxièmement, le gouvernement américain a communiqué à la Commission un certain nombre de voies de recours que les personnes de l'Union européenne concernées par les données à caractère personnel pourraient utiliser pour former un recours en justice contre des fonctionnaires de l'État en raison d'un accès ou d'un usage illégal de données à caractère personnel, y compris à des fins prétendues de sécurité nationale [à savoir le Computer Fraud and Abuse Act (162); le Electronic Communications Privacy Act (163); et le Right to Financial Privacy Act (164)]. Tous ces motifs de recours portent sur des données, des cibles et/ou des types d'accès spécifiques (par exemple l'accès à distance à un ordinateur via l'internet) et peuvent être invoqués dans certaines conditions (notamment un acte intentionnel/délibéré, un acte commis en état d'incapacité, un préjudice subi) (165). Une possibilité plus générale de recours est contenue dans l'Administrative Procedure Act (5 U.S.C. § 702), selon lequel toute personne subissant un dommage du fait d'une décision d'une agence ou qui est affectée ou lésée par la décision d'une agence peut former un recours juridictionnel. Cela inclut la possibilité de demander au tribunal de déclarer illégales et d'annuler la décision, les constatations et les conclusions de l'agence jugées […] arbitraires, capricieuses, constitutives d'un abus du pouvoir d'appréciation ou non conformes à la loi pour une autre raison (166).

(114)

Enfin, le gouvernement américain a décrit le FOIA comme un moyen pour les personnes non américaines de demander l'accès aux archives des organismes fédéraux, notamment lorsqu'elles contiennent les données à caractère personnel de la personne concernée (167). Eu égard à son orientation, le FOIA ne prévoit pas de voie de recours pour des actions individuelles contre les ingérences proprement dites en matière de données à caractère personnel, même s'il pourrait en principe permettre aux personnes d'avoir accès aux informations pertinentes détenues par les agences nationales du renseignement. Même à cet égard, les possibilités semblent limitées, car les agences peuvent retenir des informations qui relèvent d'une liste d'exceptions, notamment l'accès aux informations classifiées de sécurité nationale et aux informations concernant les enquêtes menées par les services répressifs (168). Toutefois, le recours à ces exceptions par les agences nationales de renseignement peut être contesté par des personnes physiques, qui sont en mesure de former un recours à la fois administratif et juridictionnel.

(115)

Alors que les personnes physiques, notamment les personnes concernées de l'Union européenne, disposent donc d'un certain nombre de voies de recours lorsqu'elles ont fait l'objet d'une surveillance (électronique) illégale à des fins de sécurité nationale, il est également clair qu'au moins quelques bases juridiques pouvant être utilisées par les services de renseignement américains (comme l'E.O. 12333) ne sont pas couvertes. De plus, même lorsque des possibilités de recours juridictionnel existent en principe pour des personnes non américaines, comme par exemple pour la surveillance FISA, les moyens d'action sont limités (169) et les réclamations introduites par des personnes physiques (même américaines) seront déclarées irrecevables lorsqu'elles ne peuvent démontrer leur qualité pour agir (170), ce qui restreint l'accès aux juridictions ordinaires (171).

(116)

Afin de fournir des voies de recours supplémentaires à toutes les personnes de l'Union européenne concernées, le gouvernement a décidé de créer un nouveau mécanisme de médiation tel que décrit dans la lettre adressée à la Commission par le secrétaire d'État américain, qui figure à l'annexe III de la présente décision. Ce mécanisme repose sur la désignation, au titre de la PPD-28, d'un coordinateur chevronné (niveau de sous-secrétaire) au département d'État en tant que point de contact permettant aux gouvernements étrangers d'exprimer leurs préoccupations à propos des activités américaines de renseignement d'origine électromagnétique, mais la portée de ce mécanisme est beaucoup plus vaste que le concept initial.

(117)

En particulier, selon les engagements pris par le gouvernement américain, le mécanisme du médiateur garantira que les réclamations individuelles sont traitées et analysées correctement, et que les personnes concernées se verront confirmer de manière indépendante que les lois américaines ont été respectées ou, en cas de violation desdites lois, que le manquement a été corrigé (172). Le mécanisme inclut le «médiateur du bouclier de protection des données», à savoir le sous-secrétaire et d'autres membres du personnel ainsi que d'autres organismes de surveillance pour contrôler les diverses entités du secteur du renseignement, sur la collaboration desquelles le médiateur s'appuiera pour traiter les réclamations. En particulier, lorsque la demande d'une personne porte sur la compatibilité de la surveillance avec le droit américain, le médiateur du bouclier de protection des données pourra s'appuyer sur des organismes de surveillance indépendants détenant des pouvoirs d'enquête (comme les inspecteurs généraux ou le PCLOB). Dans chaque cas, le secrétaire d'État veillera à ce que le médiateur ait les moyens de vérifier que sa réponse aux demandes individuelles est fondée sur toutes les informations requises.

(118)

À l'aide de cette structure «composite», le mécanisme de médiation garantit une surveillance indépendante et un recours individuel. De plus, la coopération avec d'autres organismes de surveillance garantit un accès à l'expertise nécessaire. Enfin, en imposant au médiateur du bouclier de protection des données l'obligation de confirmer le respect du droit ou la correction d'un manquement au droit, le mécanisme reflète l'engagement pris globalement par le gouvernement américain de traiter les réclamations introduites par des personnes de l'Union européenne et d'y apporter une réponse.

(119)

Premièrement, à la différence d'un mécanisme simple de gouvernement à gouvernement, le médiateur du bouclier de protection des données recevra des réclamations individuelles et répondra à ces dernières. Ces réclamations peuvent être adressées aux autorités de contrôle chargées, dans les États membres, de la surveillance des services de sécurité nationale et/ou du traitement des données à caractère personnel par les autorités publiques, lesquelles présenteront ces réclamations à un organisme européen centralisé à partir duquel ils seront réorientés vers le médiateur du bouclier de protection des données (173). Le bénéfice sera en réalité pour les personnes de l'Union européenne qui peuvent s'adresser à une autorité nationale géographiquement proche et communiquant dans leur langue. Il incombera à l'autorité en question de soutenir la personne concernée dans la présentation de sa demande au médiateur du bouclier de protection des données, de manière que la demande contienne les informations essentielles et puisse donc être considérée comme «complète». La personne n'est pas tenue de démontrer que ses données à caractère personnel ont été consultées dans les faits par le gouvernement américain au moyen d'activités de renseignement d'origine électromagnétique.

(120)

Deuxièmement, le gouvernement américain s'engage à faire en sorte que, dans l'exercice de ses fonctions, le médiateur du bouclier de protection des données soit en mesure de s'appuyer sur la coopération avec d'autres mécanismes de surveillance et de contrôle de respect du droit existant dans la législation américaine. Cette situation concernera parfois les autorités nationales du renseignement, notamment lorsque la demande doit être interprétée comme relevant de l'accès aux documents au titre du Freedom of Information Act. Dans d'autres cas, en particulier lorsque les demandes portent sur la compatibilité de la surveillance avec le droit américain, ce type de coopération fera intervenir des organismes de surveillance indépendants (comme les inspecteurs généraux), ayant la responsabilité et le pouvoir de procéder à une enquête approfondie (notamment grâce à un accès à tous les documents utiles et à la possibilité de demander des informations et des déclarations), et mettra un terme au manquement (174). De plus, le médiateur du bouclier de la protection des données aura la possibilité de transmettre les cas au PCLOB afin qu'il les examine (175). Lorsqu'un non-respect des normes est détecté par l'un de ces organismes de surveillance, la composante concernée des services de renseignement sera tenue de corriger ce manquement, car seule cette démarche permettra au médiateur de fournir une réponse «positive» (indiquant que tout manquement est donc corrigé) à la personne concernée, le gouvernement américain s'étant engagé à procéder de la sorte. Dans le cadre de la coopération, par ailleurs, le médiateur du bouclier de protection des données sera informé des résultats de l'enquête et sera en mesure de veiller à recevoir toutes les informations utiles à la préparation de sa réponse.

(121)

Enfin, le médiateur du bouclier de protection des données sera indépendant des services américains de renseignement et ne recevra donc aucune instruction de leur part (176). Cet élément revêt une importance notable, car le médiateur devra «confirmer» que: i) la plainte été correctement analysée; et que ii) le droit américain pertinent, y compris les limites et les protections prévues à l'annexe VI, a été respecté ou, dans la négative, que le manquement a été corrigé. Afin de pouvoir fournir cette confirmation indépendante, le médiateur du bouclier de protection des données devra recevoir les informations nécessaires concernant l'enquête pour évaluer la précision de la réponse à la plainte. En outre, le secrétaire d'État s'est engagé à faire en sorte que le sous-secrétaire exerce la fonction de médiateur du bouclier de protection des données de manière objective et libre de toute influence susceptible d'avoir un effet sur la réponse fournie.

(122)

Globalement, ce mécanisme est conçu pour que les réclamations individuelles soient examinées de manière approfondie et traitées, et que, dans le domaine de la surveillance au moins, il soit fait appel à des organes de surveillance indépendants ayant l'expertise et les pouvoirs d'enquête nécessaires, ainsi qu'à un médiateur qui sera en mesure d'exercer ses fonctions sans subir d'influence inappropriée, en particulier sur le plan politique. De plus, les personnes pourront introduire des réclamations sans devoir démontrer ni même fournir des éléments indiquant qu'elles ont fait l'objet d'une surveillance (177). Eu égard à cette situation, la Commission se félicite de voir qu'il existe des garanties adaptées et efficaces contre les abus.

(123)

Sur la base de ce qui précède, la Commission conclut que les États-Unis garantissent une protection juridique effective contre les ingérences de la part de leurs services de renseignement dans les droits fondamentaux des personnes dont les données sont transférées de l'Union européenne vers les États-Unis au titre du bouclier de protection des données UE-États-Unis.

(124)

À cet égard, la Commission prend note de l'arrêt de la Cour de justice dans l'affaire Schrems, selon lequel «une réglementation ne prévoyant aucune possibilité pour le justiciable d'exercer des voies de droit afin d'avoir accès à des données à caractère personnel le concernant, ou d'obtenir la rectification ou la suppression de telles données, ne respecte pas le contenu essentiel du droit fondamental à une protection juridictionnelle effective, tel que consacré à l'article 47 de la Charte» (178). L'évaluation de la Commission a confirmé que de telles voies de droit sont prévues aux États-Unis, y compris par le biais de l'introduction du mécanisme de médiation. Le mécanisme du médiateur assure une surveillance indépendante fondée sur des pouvoirs d'enquête. Dans le cadre du suivi continu du bouclier de protection de la vie privée assuré par la Commission, notamment à l'aide du réexamen annuel conjoint auquel le médiateur prendra part également, l'efficacité de ce mécanisme sera réévaluée.

(125)

En ce qui concerne les ingérences dans les données à caractère personnel transférées au titre du bouclier de protection des données UE-États-Unis aux fins de garantir l'application de la loi, le gouvernement américain (par l'intermédiaire du ministère de la justice) a donné des garanties concernant les limitations et les protections en vigueur qui contiennent, selon l'évaluation de la Commission, un niveau de protection adéquat.

(126)

Selon ces informations, en vertu du quatrième amendement à la Constitution américaine (179), les perquisitions et saisies effectuées par les autorités répressives nécessitent essentiellement (180) un mandat délivré par un tribunal sur une «présomption sérieuse». Dans les quelques cas exceptionnels et spécifiquement constatés où l'exigence de mandat ne s'applique pas (181), l'application de la législation est soumise à une mesure du «caractère raisonnable» (182). Le caractère raisonnable d'une perquisition ou saisie est «déterminé en évaluant, d'une part, la mesure dans laquelle elle fait intrusion dans la vie privée d'une personne et, de l'autre, la mesure dans laquelle elle est nécessaire pour mettre en avant les intérêts légitimes du gouvernement» (183). Plus généralement, le quatrième amendement garantit le droit à une vie privée et à une dignité, et protège contre des actes arbitraires et intrusifs de la part de fonctionnaires de l'État (184). Ces notions couvrent l'idée de la nécessité et de la proportionnalité dans le droit de l'Union. Lorsque l'autorité répressive n'a plus besoin d'utiliser les éléments saisis en tant que preuves, elle a l'obligation de les restituer (185).

(127)

Le quatrième amendement ne s'applique pas aux personnes non américaines qui ne résident pas aux États-Unis, mais ces personnes bénéficient quand même indirectement de ses protections, étant donné que les données à caractère personnel sont détenues par des entreprises américaines, ce qui a pour effet que les autorités répressives sont en tout état de cause tenues de demander une autorisation judiciaire (ou au moins de respecter l'exigence du caractère raisonnable) (186). Certains actes législatifs ou réglementaires spéciaux et les lignes directrices du ministère de la justice (Department of Justice Guidelines) fournissent des protections supplémentaires, qui autorisent l'accès aux données aux fins de garantir le respect de la loi uniquement pour des motifs équivalents à la nécessité et à la proportionnalité (par exemple, en exigeant que le FBI utilise les méthodes d'enquête les moins intrusives pouvant être mises en œuvre, en tenant compte des incidences sur la protection de la vie privée et les libertés fondamentales) (187). Selon les observations du gouvernement américain, des protections identiques ou plus élevées s'appliquent aux enquêtes menées au niveau des États aux fins de garantir le respect de la loi (pour les enquêtes menées en vertu des législations des États) (188).

(128)

Bien qu'une autorisation judiciaire préalable d'un tribunal ou d'un grand jury (jury institué par un juge ou un magistrat afin de mener l'instruction dans une affaire criminelle) ne soit pas requise dans tous les cas (189), le recours à des injonctions administratives est limité à des cas spécifiques et est soumis à un contrôle juridictionnel indépendant, tout du moins lorsque le gouvernement cherche à faire exécuter ces injonctions par la voie judiciaire (190).

(129)

Il en va de même pour l'utilisation des injonctions administratives à des fins d'intérêt public. En outre, selon les observations reçues des autorités américaines, des limitations de fond similaires s'appliquent en ce sens que les agences ne peuvent demander à accéder qu'aux données se rapportant aux matières relevant de leur compétence et doivent respecter la norme du raisonnable.

(130)

De plus, le droit américain offre aux personnes physiques plusieurs voies de recours contre les autorités publiques, ou un de leurs fonctionnaires, lorsque ces autorités traitent des données à caractère personnel. Ces voies de recours, parmi lesquelles figurent notamment l'Administrative Procedure Act (loi de procédure administrative, APA), le Freedom of Information Act (loi sur la liberté d'information, FOIA) et l'Electronic Communications Privacy Act (loi sur la confidentialité des communications électroniques, ECPA), sont ouvertes à toutes les personnes, quelle que soit leur nationalité, sous réserve des conditions applicables.

(131)

De manière générale, en vertu des dispositions relatives au contrôle juridictionnel de l'APA (191), toute personne subissant un dommage du fait d'une décision d'une agence, ou qui est affectée ou lésée par une telle décision, peut former un recours juridictionnel (192). Cela inclut la possibilité de demander au tribunal de «déclarer illégales et d'annuler la décision, les constatations et les conclusions de l'agence jugées […] arbitraires, capricieuses, constitutives d'un abus du pouvoir d'appréciation ou non conformes à la loi pour une autre raison» (193).

(132)

Plus spécifiquement, le titre II de l'ECPA (194) définit un système de droits légaux en matière de protection de la vie privée et régit l'accès des autorités chargées de faire respecter la loi aux contenus des communications téléphoniques, orales ou électronique stockées par des prestataires de services tiers (195). Il rend punissable l'accès illicite (c'est-à-dire non autorisé par les juridictions ou autrement permis) à ces communications et permet aux personnes concernées d'engager une action au civil devant un tribunal fédéral américain pour demander des dommages et intérêts, y compris punitifs, ainsi qu'une réparation en equity ou une décision déclaratoire contre un fonctionnaire de l'État qui a délibérément commis ces actes illicites ou contre les États-Unis.

(133)

Par ailleurs, en vertu du Freedom of Information Act (loi sur la liberté de l'information, FOIA, 5 U.S.C. § 552), toute personne a le droit d'obtenir l'accès aux documents des agences fédérales et, une fois épuisés tous les recours administratifs, de requérir l'application de ce droit devant un tribunal, sauf si ces documents échappent à la divulgation en vertu d'une dérogation ou d'exclusions spéciales de l'application de la loi (196).

(134)

En outre, plusieurs autres lois garantissent aux personnes le droit d'intenter un procès contre une autorité publique ou un fonctionnaire américain(e) en ce qui concerne le traitement de leurs données à caractère personnel, telles que le Wiretap Act (loi sur les écoutes téléphoniques) (197), le Computer Fraud and Abuse Act (loi relative à la fraude et aux abus informatiques) (198), le Federal Torts Claim Act (loi fédérale sur les actions pour cause d'infraction) (199), le Right to Financial Privacy Act (loi sur le droit à la protection des données personnelles à caractère financier) (200), et le FAIR Credit Reporting Act (201).

(135)

La Commission conclut dès lors que les États-Unis disposent de règles visant à limiter toute entrave, à des fins répressives (202) ou à d'autres fins d'intérêt public, aux droits fondamentaux des personnes dont des données personnelles sont transférées de l'Union vers les États-Unis au titre du «bouclier vie privée» UE-U.S. à ce qui est strictement nécessaire pour atteindre l'objectif légitime en question, et garantissant une protection juridique efficace contre des ingérences de cette nature.

(136)

À la lumière de ces constatations, la Commission considère que les États-Unis assurent un niveau adéquat de protection des données à caractère personnel transférées de l'Union européenne vers des organisations autocertifiées aux États-Unis dans le cadre du bouclier de protection des données UE-États-Unis.

(137)

La Commission considère en particulier que les principes publiés par le ministère américain du commerce dans leur ensemble assurent un niveau de protection des données à caractère personnel qui est fondamentalement équivalent à celui garanti par les principes de base énoncés dans la directive 95/46/CE.

(138)

En outre, l'application effective des principes est garantie par les obligations de transparence et l'administration du bouclier de protection des données par le ministère du commerce.

(139)

De plus, la Commission considère que, pris dans leur ensemble, les mécanismes de surveillance et de recours prévus par le bouclier de protection des données permettent d'identifier et de sanctionner en pratique les infractions aux principes commises par des organisations figurant sur la liste des organisations adhérant au bouclier de protection des données et offrent aux personnes concernées des voies de droit afin d'avoir accès à des données à caractère personnel les concernant et, in fine, d'obtenir leur rectification ou leur suppression.

(140)

Enfin, sur la base des informations disponibles concernant l'ordre juridique des États-Unis, y compris les observations et les engagements du gouvernement américain, la Commission considère que toute ingérence des autorités publiques américaines dans l'exercice des droits fondamentaux des personnes dont les données sont transférées de l'Union européenne vers les États-Unis dans le cadre du bouclier de protection des données pour les besoins de la sécurité nationale, de l'intérêt public ou du respect des lois et, partant, les restrictions imposées aux organisations autocertifiées en ce qui concerne leur respect des principes seront limitées à ce qui est strictement nécessaire pour atteindre l'objectif légitime visé et qu'il existe une protection juridictionnelle effective contre des ingérences de cette nature.

(141)

La Commission conclut que la situation est conforme aux exigences de l'article 25 de la directive 95/46/CE interprété à la lumière de la charte des droits fondamentaux de l'Union européenne, comme l'a expliqué la Cour de justice en particulier dans l'arrêt Schrems.

(142)

Dans l'arrêt Schrems, la Cour de justice a précisé que la Commission n'est pas compétente pour restreindre les pouvoirs que les APD tirent de l'article 28 de la directive 95/46/CE (y compris le pouvoir de suspendre des transferts de données), dans le cas où une personne remet en cause, à l'occasion d'une demande au titre de cette disposition, la compatibilité d'une décision de la Commission constatant un niveau de protection adéquat avec le droit fondamental à la protection de la vie privée et à la protection des données personnelles (203).

(143)

Pour contrôler efficacement le fonctionnement du bouclier de protection des données, la Commission devrait être informée par les États membres des mesures pertinentes prises par les APD.

(144)

La Cour de justice a par ailleurs considéré que, conformément à l'article 25, paragraphe 6, second alinéa, de la directive 95/46/CE, les États membres et leurs organes doivent prendre les mesures nécessaires pour se conformer aux actes des institutions de l'Union, car ces derniers jouissent, en principe, d'une présomption de légalité et produisent, dès lors, des effets juridiques aussi longtemps qu'ils n'ont pas été retirés, annulés dans le cadre d'un recours en annulation ou déclarés invalides à la suite d'un renvoi préjudiciel ou d'une exception d'illégalité. En conséquence, une décision d'adéquation de la Commission adoptée conformément à l'article 25, paragraphe 6, de la directive 95/46/CE a un caractère contraignant pour tous les organes des États membres destinataires, y compris leurs autorités de surveillance indépendantes (204). Lorsqu'une telle autorité a été saisie d'une plainte concernant la compatibilité d'une décision d'adéquation de la Commission avec la protection des droits fondamentaux que constituent le respect de la vie privée et la protection des données et qu'elle estime que les griefs avancés sont fondés, le droit national doit prévoir des voies de recours lui permettant de faire valoir ces griefs devant les juridictions nationales, qui, en cas de doute, doivent surseoir à statuer et procéder à un renvoi préjudiciel devant la Cour de justice (205).

(145)

Au regard du fait que le niveau de protection assuré par l'ordre juridique des États-Unis est susceptible d'évoluer, la Commission, après l'adoption de la présente décision, vérifiera de manière périodique si les conclusions relatives au niveau adéquat de la protection assurée par le bouclier de protection des données UE-États-Unis sont toujours justifiées en fait et en droit. Une telle vérification s'impose, en tout état de cause, lorsque la Commission a connaissance d'informations faisant naître un doute justifié à cet égard (206).

(146)

En conséquence, la Commission procédera à un suivi constant du cadre global pour le transfert de données à caractère personnel que constitue le bouclier de protection des données UE-États-Unis, ainsi que du respect, par les autorités américaines, des observations et des engagements contenus dans les documents joints à la présente décision. Pour faciliter ce processus, les États-Unis se sont engagés à informer la Commission de toute évolution importante de la législation américaine présentant un intérêt pour le bouclier de protection des données et concernant la protection des données et les limitations et garanties applicables à l'accès des autorités publiques aux données à caractère personnel. De plus, la présente décision sera soumise à un réexamen annuel conjoint, qui couvrira tous les aspects du fonctionnement du bouclier de protection des données UE-États-Unis, notamment l'usage fait des exceptions aux principes pour des raisons ayant trait à la sécurité nationale ou au respect de la législation. En outre, étant donné que la décision d'adéquation pourrait aussi être influencée par des évolutions juridiques dans le droit de l'Union, la Commission évaluera le niveau de protection assuré par le bouclier de protection des données après l'entrée en application du règlement général sur la protection des données.

(147)

Pour l'exécution du réexamen annuel conjoint visé aux annexes I, II et VI, la Commission rencontrera le ministère du commerce et la FTC, accompagnés, s'il y a lieu, d'autres services et agences participant à la mise en œuvre des dispositions du bouclier de protection des données, ainsi que, pour les questions ayant trait à la sécurité nationale, des représentants de l'ODNI, d'autres composantes des services de renseignement et le médiateur. La participation à cette réunion sera ouverte aux APD de l'Union européenne et à des représentants du groupe de travail «article 29».

(148)

Dans le cadre du réexamen annuel conjoint, la Commission demandera que le ministère américain du commerce fournisse des informations complètes sur tous les aspects utiles du fonctionnement du bouclier de protection des données UE-États-Unis, notamment les dossiers déférés au ministère du commerce par les APD et les résultats des contrôles de la conformité exécutés d'office. La Commission demandera également des explications sur toute question ou tout sujet concernant le bouclier de protection des données UE-États-Unis et son fonctionnement découlant de toute information disponible, notamment les rapports de transparence autorisés par l'USA FREEDOM Act, les rapports publics des services de renseignement nationaux américains, des APD ou de groupes privés, les reportages dans les médias ou toute autre source possible. De plus, afin de faciliter la tâche de la Commission à cet égard, les États membres devraient informer la Commission des cas dans lesquels les organismes chargés de faire respecter les principes aux États-Unis ne parviennent pas à s'acquitter de leur tâche et de tout élément indiquant que les actions des autorités publiques américaines responsables de la sécurité nationale ou de la prévention, de la détection, des enquêtes et des poursuites en matière d'infractions pénales n'assurent pas le niveau de protection requis.

(149)

Sur la base du réexamen annuel conjoint, la Commission élaborera un rapport public qui sera présenté au Parlement européen et au Conseil.

(150)

Lorsque, sur la base des vérifications ou de toute autre information disponible, la Commission parvient à la conclusion que le niveau de protection assuré par le bouclier de protection des données ne peut plus être considéré comme fondamentalement équivalent à celui qui est garanti dans l'Union européenne ou lorsque des éléments indiquent clairement que le respect effectif des principes aux États-Unis pourrait ne plus être assuré ou que les actions des autorités publiques américaines responsables de la sécurité nationale ou de la prévention, de la détection, des enquêtes et des poursuites en matière d'infractions pénales n'assurent pas le niveau de protection requis, elle en informe le ministère du commerce et demande que des mesures appropriées soient prises pour corriger rapidement tout non-respect potentiel des principes dans un délai raisonnable. Si, à l'expiration du délai fixé, les autorités américaines échouent à démontrer de manière satisfaisante que le bouclier de protection des données UE-États-Unis continue de garantir le respect effectif et un niveau de protection adéquat, la Commission lance la procédure conduisant à la suspension partielle ou complète ou à l'abrogation de la présente décision (207). La Commission peut également proposer de modifier la présente décision, par exemple en limitant la portée de la constatation concernant le niveau adéquat de la protection aux seuls transferts de données soumis à des conditions supplémentaires.

(151)

En particulier, la Commission lancera la procédure de suspension ou d'abrogation lorsque:

(152)

La Commission envisagera également de lancer la procédure conduisant à la modification, à la suspension ou à l'abrogation de la présente décision si, dans le contexte ou non du réexamen annuel conjoint du fonctionnement du bouclier de protection des données UE-États-Unis, le ministère du commerce ou d'autres ministères ou agences concernés par la mise en œuvre de ce bouclier ou, pour des questions liées à la sécurité nationale, des représentants des services de renseignement aux États-Unis ou le médiateur ne fournissent pas les informations ou les clarifications nécessaires pour évaluer le respect des principes, l'efficacité des procédures de traitement des plaintes ou tout abaissement du niveau de protection requis en raison de l'action des services du renseignement national américain, en particulier en raison de la collecte et/ou de l'accès à des données à caractère personnel qui ne sont pas limités à ce qui est strictement nécessaire et proportionné. À cet égard, la Commission prendra en compte la mesure dans laquelle les informations concernées peuvent être obtenues auprès d'autres sources, notamment dans les rapports des entreprises américaines autocertifiées comme le permet l'USA FREEDOM Act.

(153)

Le groupe de protection des personnes à l'égard du traitement des données à caractère personnel, institué en vertu de l'article 29 de la directive 95/46/CE, a donné son avis sur le niveau de protection assuré par le bouclier de protection des données UE-États-Unis (208) et il en a été tenu compte lors de l'élaboration de la présente décision.

(154)

Le Parlement européen a adopté une résolution sur les flux de données transatlantiques (209).

(155)

Les mesures prévues dans la présente décision sont conformes à l'avis du comité institué par l'article 31, paragraphe 1, de la directive 95/46/CE,

—

que les autorités publiques américaines ne respectent pas les observations et engagements contenus dans les documents joints à la présente décision, notamment en ce qui concerne les conditions et les limites relatives à l'accès des autorités publiques américaines, à des fins répressives, de sécurité nationale ou pour un autre intérêt public, aux données à caractère personnel transférées dans le cadre du bouclier de protection des données UE-États-Unis,

—

une défaillance systématique dans le traitement effectif des réclamations déposées par les personnes concernées de l'Union européenne, ou

—

une défaillance systématique de la part du médiateur du bouclier de protection des données UE-États-Unis, qui ne réagit pas en temps utile et de manière adéquate aux demandes de personnes concernées de l'Union européenne comme l'exige la section 4, point e), de l'annexe III.