Pourquoi vous ne devriez pas compter sur l’ADPPA et le Privacy Shield 2.0

On fait grand cas d’une proposition de loi bipartite aux États-Unis qui pourrait à terme devenir une loi fédérale sur la protection de la confidentialité des données. De plus, les États-Unis et l’UE ont conclu un accord pour mettre en place un remplaçant au cadre invalidé du Privacy Shield.

Cependant, nous avons remarqué une certaine confusion parmi les entreprises et les clients avec lesquels Sinch Mailgun travaille concernant ce que cela signifie vraiment pour eux.

Notre avis ? Il ne faut pas vendre la peau de l’ours avant de l’avoir tué.

En d’autres termes, nous avons déjà entendu cela, et nous connaissons les antécédents du Congrès des États-Unis lorsqu’il s’agit de faire les choses dans les délais. Ainsi, ne vous reposez pas sur ce que l’on appelle actuellement l’American Data Privacy Protection Act (ADPPA) et le futur cadre transatlantique de protection de la confidentialité des données… du moins, pas pour le moment.

Pourquoi pas ? Pour clarifier la situation, examinons de plus près de quoi il retourne et allons au fond de ce que les expéditeurs d’emails et les entreprises doivent savoir pour trouver des partenaires qui prennent la confidentialité des données au sérieux.

À l’heure actuelle, nous connaissons bien le Règlement général sur la protection des données de l’Union européenne (RGPD). Vous savez aussi probablement que les États-Unis n’ont pas de loi fédérale sur la confidentialité des données qui soit aussi complète que le RGPD.

Et nous avons bien conscience que nous vivons et travaillons dans une communauté mondiale. Les personnes et les entreprises de l’UE font des affaires avec des personnes et des entreprises aux États-Unis en permanence. Ainsi, les organisations américaines traitant les données des citoyens de l’UE doivent être conformes au RGPD, et les entreprises de l’UE ont besoin que leurs partenaires basés aux États-Unis le soient également. Toute personne qui traite des données personnelles doit s’assurer d’être en totale conformité avec le RGPD.

Mais il faut remonter aux premiers jours du RGPD pour comprendre où nous en sommes aujourd’hui.

Avant le RGPD, il existait un accord international connu sous le nom de Principes de confidentialité du Safe Harbor, qui fournissait des directives pour le stockage et la protection des données personnelles transmises de part et d’autre de l’Atlantique, entre l’Europe et les États-Unis.

Cependant, après la rédaction du RGPD, il est devenu évident que cet accord Safe Harbor ne suffirait pas, et la Cour de justice de l’Union européenne (CJUE) l’a invalidé en 2015. Le Le Privacy Shield UE-États-Unis est le cadre juridique qui l’a remplacé.

Tout semblait aller pour le mieux pendant un certain temps. Jusqu’à ce qu’un militant autrichien pour la confidentialité des données nommé Maximillian Schrems ne vienne bousculer les choses.

Dénoncer les grandes entreprises technologiques pour la protection insuffisante de la confidentialité des données est un peu la spécialité de Max Schrems. À l’université, il a rédigé un mémoire sur l’ignorance de Facebook concernant les lois européennes sur la confidentialité. Plus tard, il a déposé une plainte contre Facebook auprès de la Commission irlandaise de protection des données (cette affaire est connue sous le nom de Schrems I).

Après l’entrée en vigueur du RGPD en mai 2018, Max Schrems a déposé des plaintes contre Google, Facebook, Amazon, Netflix, Spotify, YouTube et d’autres entreprises, dénonçant des violations de la réglementation. Cette affaire est connue sous le nom de Schrems II, que la Haute Cour irlandaise a renvoyée devant la Cour de justice de l’Union européenne (CJUE).

Finalement, la CJUE a invalidé le Privacy Shield en 2020 à la suite de l’affaire Schrems II, qualifiant le cadre d’accord de protection inadéquat entre les États-Unis et l’UE par rapport au RGPD. Le plus gros problème du Privacy Shield est qu’il permet aux entreprises de partager les données personnelles des citoyens de l’UE avec les agences de renseignement américaines, sans aucune protection adéquate pour ces données.

Plus précisément, les lois américaines sur la surveillance (FISA, CLOUD Act) n’offrent aucune protection adéquate pour les citoyens non américains. Ainsi, les personnes résidant dans l’UE n’ont aucun moyen de savoir si les forces de l’ordre ou les agences de renseignement consultent leurs données personnelles ni pour quelle raison, et elles n’ont pas la capacité juridique de contester les demandes de surveillance. De plus, de nombreuses entreprises américaines ne peuvent refuser les demandes d’accès aux données des citoyens de l’UE émanant de ces agences.

Au-delà de ce fait, le Privacy Shield n’a jamais été une solution très solide pour garantir la conformité RGPD en premier lieu. D’une part, il impliquait un processus d’auto-certification. Concrètement, tout ce qu’une entreprise avait à faire était de remplir une demande en ligne avec des informations de base et quelques paragraphes de sa politique de confidentialité, pour être considérée comme certifiée selon le cadre du Privacy Shield. Il n’y avait aucun contrôle ou audit réel en place prouvant une véritable conformité RGPD.

Suite à l’invalidation du Privacy Shield, les grandes entreprises technologiques ont été vivement critiquées pour avoir utilisé ce cadre comme mécanisme de certification de la protection des données transmises depuis l’UE. Par exemple, Google est certifié Privacy Shield. Mais plus tôt cette année, l’autorité de protection de la confidentialité en France a statué que Google Analytics enfreint le RGPD. Le Danemark a également récemment interdit Gmail, Google Workspace et les Chromebooks dans les écoles pour la même raison, devenant ainsi la quatrième nation de l’UE à prendre cette décision.

Bien sûr, il ne s’agit pas seulement de Google ou des GAFA. Entre janvier 2021 et 2022, les amendes liées au RGPD ont été multipliées par sept, pour un total d’environ 1,2 milliard de dollars. Mais soyons clairs…

Pendant ce temps, le gouvernement américain et l’UE ont travaillé sur un nouveau cadre, officieusement appelé Privacy Shield 2.0. Cependant, le cadre actuel du Privacy Shield reste en place bien que la FAQ du Privacy Shield reconnaisse que la CJUE a jugé l’accord inadéquat. Le gouvernement américain affirme que les entreprises ne sont pas libérées de leur obligation suite à l’invalidation par l’UE.

Ce qui nous amène à la situation actuelle…

Une chose sur laquelle presque tous les acteurs s’accordent est qu’il serait beaucoup plus facile de gérer la protection de la confidentialité des données dans un environnement mondial s’il y avait des règles plus standardisées. Aux États-Unis, par exemple, un problème majeur est qu’il n’existe aucune loi fédérale sur la confidentialité des données.

À la place, les États rédigent ou possèdent déjà leur propre législation locale. La plus connue d’entre elles est la loi californienne sur la protection des données des consommateurs (CCPA), qui reflète le RGPD à bien des égards.

Il y a eu des tentatives de lancement d’une loi fédérale par le passé. Mais à présent, il semble enfin qu’un projet de loi prenne de l’ampleur. L’American Data Privacy Protection Act (ADPPA) a été adopté par une commission de la Chambre lors d’un vote largement bipartite par 53 voix contre 2. Mais tout ce que cela signifie, c’est que les législateurs ont décidé qu’il valait la peine d’être voté. Le chemin est encore long avant que cela ne devienne officiel. Le projet de loi doit encore faire l’objet d’un vote complet à la Chambre, après quoi il pourrait passer au Sénat et finalement être promulgué.

Simultanément, l’UE et les États-Unis ont provisoirement accepté un nouveau mécanisme juridique officiellement connu sous le nom de Trans-Atlantic Data Privacy Framework (alias Privacy Shield 2.0). Il s’appuie sur le cadre du Privacy Shield UE-États-Unis avec des garanties supplémentaires concernant les accès par le renseignement américain et la protection des données de l’UE.

Cependant, il s’agira toujours d’un processus d’auto-certification. Et ce n’est pas une garantie de protection contre les problèmes juridiques. Par exemple, une action en justice de la Federal Trade Commission (FTC) allègue que, lors de son auto-certification sur le site Web du Privacy Shield, Twitter s’est présenté de manière trompeuse comme étant en conformité avec l’accord.

Nous n’avons pas encore vu de version préliminaire du nouveau cadre proposé, mais nous nous attendons à ce qu’il soit conforme à l’ADPPA. En l’absence de certitudes ou de termes concrets, le Trans-Atlantic Data Privacy Framework n’est qu’un accord de principe entre la Commission européenne et les États-Unis. administration publique.

La fiche d’information de la Maison-Blanche sur le nouveau cadre stipule ce qui suit :

C’est donc un enjeu de taille. Il y a sans aucun doute beaucoup d’argent en jeu.

Toute organisation collectant ou traitant des adresses email de citoyens de l’UE doit tenir compte de la conformité RGPD, y compris la manière dont ces données sont transmises, où elles sont stockées, comment elles sont protégées et qui peut y accéder.

Certaines entreprises technologiques affirment qu’avec un accord Privacy Shield 2.0 et l’arrivée de l’ADPPA, les expéditeurs n’ont pas à s’inquiéter. Mais c’est tout simplement faux. Comme nous pouvons le voir avec Twitter, être « certifié » dans le cadre d’un tel système n’a pas beaucoup de valeur lorsque vous le faites vous-même. Et ces entreprises n’ont toujours pas prouvé comment elles protègent les données personnelles de l’UE.

Le Trans-Atlantic Data Privacy Framework sera utile, bien sûr, car c’est une solution mondiale qui répond aux préoccupations concernant la surveillance américaine. Malgré cela, les entreprises des deux côtés de l’océan doivent assumer la responsabilité d’une totale conformité RGPD.

Voici un autre point important…

Qui sait combien de temps il faudra pour que l’ADPPA devienne une loi (en supposant que cela se concrétise) ou pour que l’accord Privacy Shield 2.0 soit finalisé ?

Même si le projet de loi ADPPA est considéré comme bipartite, le Congrès américain n’est pas réputé pour sa rapidité et son efficacité. Après tout, les législateurs doivent se préoccuper des élections de mi-mandat de 2022. On peut également s’attendre à ce que les lobbyistes des grandes entreprises technologiques tentent d’influencer les détails du projet de loi tout au long du processus législatif.

Un autre obstacle potentiel est que l’ADPPA prévaudra sur les lois existantes des États en matière de confidentialité des données. Les défenseurs de la confidentialité dans des États comme la Californie ne voient pas cette idée d’un très bon œil. Par conséquent, les législateurs représentant des États dont les lois sont plus strictes que l’ADPPA pourraient s’y opposer.

De plus, même si le projet de loi est signé d’ici la fin 2022, il faudra encore du temps pour qu’il soit mis en application. Lors d’une interview sur TheMarkUp.org, l’ancien secrétaire américain au commerce, Cameron Kerry, a confirmé que les entreprises auraient deux ans pour se mettre en conformité avec l’ADPPA. Cela signifie qu’au plus tôt, les États-Unis peuvent s’attendre à ce qu’une loi fédérale sur la confidentialité des données entre en vigueur en 2025.

Qui sait si le Trans-Atlantic Data Privacy Framework résistera à un examen minutieux ? Tout le monde supposait manifestement que les cadres précédents étaient suffisants… jusqu’à ce qu’ils ne le soient plus.

Schrems III pourrait-il être en route ? Plus tôt cette année, le militant a publié une déclaration indiquant qu’il n’était pas très impressionné par ce nouveau cadre.

Vous ne pouvez pas vous fier à des espoirs et des attentes. Mais vous pouvez trouver des entreprises fiables avec lesquelles collaborer et qui sauront vous aider.

Comme nous l’avons mentionné précédemment, en l’absence d’alternative au Privacy Shield, les entreprises de l’UE et des États-Unis utilisent les CCT pour définir la conformité RGPD en ce qui concerne les transferts de données transatlantiques. Mais ce n’est pas la seule condition requise.

Ce dont vous avez vraiment besoin, c’est d’un programme de conformité complet, qui inclurait les mesures supplémentaires adoptées par le Comité européen de la protection des données (CEPD). Celles-ci sont liées à l’article 46 du RGPD.

1. Les exportateurs de données doivent cartographier tous les transferts vers d’autres pays.
2. Les outils utilisés pour le transfert de données doivent être considérés comme adéquats.
3. Les exportateurs de données doivent évaluer s’il existe dans les pays tiers des lois susceptibles de nuire à la sauvegarde des données des citoyens de l’UE.
4. Mettre en place des mesures pour augmenter le niveau de protection s’il existe des lois qui empiètent sur les normes du RGPD.
5. Prendre des mesures procédurales formelles pour adopter toute mesure supplémentaire nécessaire.
6. Réévaluer régulièrement la protection des données par des tiers.

Alors, quels sont quelques exemples de « mesures supplémentaires » ? Celles-ci peuvent inclure une analyse interne basée sur les risques afin d’évaluer l’efficacité de la CCT. Les sous-traitants des données aux États-Unis pourraient également mettre en place des limites quant aux personnes autorisées à accéder aux données des citoyens de l’UE. Des formes efficaces de chiffrement des données ainsi que d’autres mesures de sécurité organisationnelles en sont d’autres exemples.

Voici ce à quoi tout cela se résume :

• Les responsables du traitement des données dans l’UE doivent trouver des sous-traitants des données américains disposant de mesures garantissant la conformité RGPD.
• Les responsables du traitement des données aux États-Unis ayant des clients (ou des abonnés) dans l’UE doivent disposer d’outils de transfert de données adéquats pour protéger la confidentialité.
• Les Les sous-traitants des données travaillant avec des entreprises de l’UE doivent assumer la responsabilité de la conformité RGPD, y compris la protection des transferts de données en provenance d’Europe.

En fin de compte, aucune entreprise ne devrait compter sur un nouveau cadre juridique basé sur l’auto-certification, et personne ne devrait non plus s’attendre à ce que l’ADPPA résolve tous ses problèmes de confidentialité des données.

Cette entreprise prend la conformité RGPD très au sérieux. Notre marque sœur, Sinch Mailjet, a été la toute première entreprise au monde à obtenir une certification AFNOR pour le RGPD.

Sinch Mailgun est basé aux États-Unis, mais nous disposons de centres de données situés dans l’Union européenne, ce qui nous offre un bel avantage.

Par exemple, une entreprise qui ne posséderait des centres de données qu’aux États-Unis serait obligée de se plier aux demandes des agences de renseignement ou des forces de l’ordre américaines pour accéder aux données des citoyens de l’UE, sans possibilité de s’y opposer. Elle devrait fournir cet accès car c’est la loi, et ne disposerait d’aucun motif juridique pour refuser de l’accorder. Mais ces fournisseurs ne veulent sans doute pas que vous vous en inquiétiez. Ils essaieront donc de dissiper vos inquiétudes en affirmant que l’ADPPA et le Privacy Shield 2.0 régleront tous les problèmes. (Désolé. C’est inexact. Mais merci d’avoir participé !)

Cependant, comme Mailgun possède des centres de données dans l’UE, nous pouvons protéger ces données contre tout accès non désiré qui violerait le RGPD. En fait, Mailgun est en mesure d’offrir à ses clients des abonnements où les données sont exclusivement hébergées dans l’UE (ou aux États-Unis, selon les préférences).

De plus, nous suivons le principe de minimisation des données, selon lequel seuls des rôles limités et basés sur le besoin se voient accorder l’accès aux données des clients.

Pour prouver notre engagement envers la conformité RGPD, Mailgun a obtenu des certifications tierces (ISO 27701) et se soumet chaque année à des audits SOC 2 de Type II. Ces deux évaluations intègrent des contrôles spécifiques au RGPD. Vous pouvez en apprendre davantage sur ces mesures sur le portail de sécurité de Mailgun.

Chez Mailgun, nous n’attendons pas la mise en place de législations ou de cadres. Nous nous efforçons de garder une longueur d’avance en matière de protection des données. Notre position est d’anticiper les changements liés à la protection et à la réglementation sur la confidentialité des données plutôt que de les subir.

Si vous avez des questions sur la sécurité et la conformité, nous sommes toujours prêts à y répondre. Et en tant que Délégué à la protection des données (DPO) de Mailgun, il se pourrait bien que je vous réponde personnellement.

Auteur·trice: Darine Fayed Darine Fayed is the Vice President Head of Legal EMEA for Sinch. She provides legal counsel on our international contracts, oversees our data protection and handles a variety of other legal matters. She writes often about compliance laws and policy standards that affect email communication.