Déclaration de la Commission concernant l'accord entre l'Union européenne et les États-Unis sur la protection des informations à caractère personnel traitées à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière («accord-cadre»)

La Commission rappelle que l'accord-cadre ne constitue pas une base juridique pour le transfert de données à caractère personnel entre l'UE et les États-Unis aux fins de la prévention et de la détection des infractions pénales, dont le terrorisme, des enquêtes et des poursuites en la matière (voir article 1er, paragraphe 3, de l'accord). En combinaison avec la base juridique applicable au transfert et sous réserve du respect des conditions énoncées à l'article 5 de l'accord, celui-ci vise davantage à fournir des garanties appropriées au sens de l'article 37, paragraphe 1, de la directive (UE) 2016/680. Par contre, l'accord ne prévoit pas d'autorisation générale pour les transferts. En outre, il préserve la capacité des autorités nationales chargées de la protection des données d'exercer pleinement leur pouvoir de contrôle conféré par le droit de l'Union en ce qui concerne les transferts internationaux relevant de son champ d'application.

La Commission relève que, conformément à la demande exprimée par le Parlement européen dans sa résolution du 12 mars 2014 [2013/2188(INI)] de garantir «à tous les citoyens de l'Union [la possibilité] d'introduire des recours […] judiciaires efficaces et exécutoires aux États-Unis» et de «placer les droits des citoyens de l'Union européenne sur un pied d'égalité avec ceux des ressortissants des États-Unis», l'article 19, paragraphe 1, de l'accord-cadre accorde aux citoyens de l'Union des droits à un recours juridictionnel. Afin de se conformer à cette disposition, le Congrès des États-Unis a déjà adopté le «Judicial Redress Act». Il s'agit d'une étape importante dans le processus de mise en œuvre. Forte des assurances qu'elle a reçues pendant les négociations, la Commission escompte que toutes les désignations prévues par cette loi, tant celle de l'UE comme «pays couvert» que celle de toutes les agences des États-Unis qui traitent des données relevant du champ d'application de l'accord comme «agence fédérale désignée ou élément d'une agence fédérale désignée», seront effectuées et que tous les transferts de données entrant dans le champ d'application de l'accord seront couverts. La Commission confirme que sont compris les transferts effectués sur le fondement de l'accord UE-États-Unis sur les dossiers passagers (PNR) et de l'accord UE-États-Unis sur le traitement et le transfert de données de messagerie financière de l'Union européenne aux États-Unis aux fins du programme de surveillance du financement du terrorisme (TFTP) (voir les dispositions combinées de l'article 3, paragraphe 1, et du quatrième alinéa du préambule de l'accord) et que les ensembles de données correspondants ne peuvent pas être exclus du bénéfice des droits à un recours juridictionnel conférés par le «Judicial Redress Act». La Commission considère que seules ces modalités garantiront la mise en œuvre intégrale de l'article 19, paragraphe 1, de l'accord, comme l'exige l'article 5, paragraphes 2 et 3, dudit texte.

La Commission considère que l'article 19, paragraphe 1, de l'accord-cadre constitue une disposition essentielle de ce texte qui doit être complètement mise en œuvre, notamment au moyen des désignations nécessaires. En outre, ainsi que le prévoit l'article 23, paragraphe 1, de l'accord, la Commission prêtera une attention particulière, lors de l'examen conjoint, à la mise en œuvre effective de l'article 19 de l'accord, relatif au recours juridictionnel.

S'il est vrai que les droits de recours juridictionnel supplémentaires prévus à l'article 19, paragraphe 1, de l'accord ne s'étendent pas aux ressortissants de pays non-membres de l'UE, cela est sans préjudice des autres droits de recours juridictionnel dont dispose toute personne physique, indépendamment de son lieu de résidence ou de sa nationalité (voir l'article 19, paragraphe 3, de l'accord), en vertu de la législation américaine, et notamment de l'«Administrative Procedure Act», de l'«Electronic Communications Privacy Act» ou du «Freedom of Information Act».