Le 10 juillet 2023, la Commission européenne a adopté un cadre révisé. Il s’agit d’une nouvelle décision d’adéquation concernant les flux de données entre l’Union européenne et les Etats-Unis (1).
La Commission considère que les modifications apportées par les États-Unis à leur législation permettent d’assurer un niveau de protection adéquat. Un niveau comparable à celui de l’Union européenne pour les données personnelles transférées de l’UE aux entreprises américaines.
Ces dernières devront respecter les obligations du nouveau « cadre de protection des données » (en anglais, « Data Privacy Framework »).
La Commission européenne énonce ainsi sur son site que :
« La décision conclut que les États-Unis garantissent un niveau de protection adéquat – comparable à celui de l’Union européenne – pour les données à caractère personnel transférées de l’UE vers des entreprises américaines au titre du nouveau cadre.
Sur la base de la nouvelle décision d’adéquation, les données à caractère personnel peuvent circuler en toute sécurité de l’UE vers des entreprises américaines participant au cadre, sans qu’il soit nécessaire de mettre en place des garanties supplémentaires en matière de protection des données. »(2).
La Cnil rappelle en ce sens, sur son site, que : « les transferts de données personnelles depuis l’Union européenne vers les organismes figurant sur cette liste peuvent donc s’effectuer librement, sans encadrement spécifique par des « clauses contractuelles types » ou un autre instrument de transfert ».
Elle précise encore « la liste de ces organismes est gérée et sera prochainement rendue publique par le ministère américain du commerce » (3).
La Cnil publiera prochainement des éléments complémentaires sur ce sujet que nous ne manquerons pas de relayer.
Isabelle Chivoret
Lexing Santé numérique
Notes
(1) Voir le site de la Commission européenne, pour la version (disponible en anglais à date) de la décision d’adéquation
(2) Voir le site de la Commission européenne
(3) Voir le site de la Cnil