THE DIGITAL BOOM I LE BOOM NUMÉRIQUE I EL BOOM DIGITAL
Vers la fin des transferts de données à caractère personnel par les cabinets d’avocats européens vers des pays tiers ? Jean-François HENROTTE Has the CJEU Judgement in the Schrems II Case soun-
ded the death knell for internal or external transfers of personal data by law firms to countries outside the EU or the use of the cloud in those countries? Probably, in light of the lack of appropriate additional concrete measures that should be added to the standard contractual clauses under this judgment.
¿La sentencia Schrems II del TJUE ha dado la puntilla a
las transferencias internas o externas de datos personales por parte de los despachos de abogados a países extracomunitarios o al uso de la nube de esos países? Probablemente, ante la falta de medidas adicionales concretas adecuadas que habría que adoptar, en virtud de esta sentencia, a las cláusulas contractuales estándar.
Beaucoup d’entre nous sont concernés par les transferts de données vers des pays tiers au sens du Règlement Général de Protection des données (RGPD). Les cabinets d’avocats traitent des données à caractère personnel en dehors de l’Union européenne ou par le biais de sociétés étrangères dans de nombreuses hypothèses. Par exemple, il y a l’utilisation du cloud ou d’outils de visioconférence qui hébergent les données à caractère personnel hors de l’Union européenne et/ou qui sont opérés par des sous-traitants étrangers. On pense également à la consultation de telles données à partir de l’étranger, même lorsque les données sont hébergées dans l’Union européenne et pas un opérateur européen. Un autre transfert auquel on songe est celui des données de clients et d’adversaires à des confrères établis en dehors de l’Union afin de traiter un dossier dans ce pays tiers.
Il y a aussi les données partagées par un cabinet international pour gérer des dossiers, assurer son marketing, procéder à la vérification des conflits d’intérêts ou utiliser des ressources informatiques communes. Beaucoup d’entre nous voient donc leurs pratiques remises en cause par l’arrêt Schrems II.
Contexte Pour mémoire, le transfert de données à caractère personnel hors de l’Union européenne est en principe interdit, afin d’éviter que les données ne soient soumises à un cadre juridique étranger moins protecteur que ne l’est le RGPD (Art. 44.). Par exception, la Commission européenne délivre un blanc-seing (une décision d’adéquation - Art. 45) à certains pays dont elle estime les garanties suffisantes. À ce jour, figurent sur cette liste blanche : Andorre, l’Argentine, le Canada (pour les organisations commerciales), les îles Féroé, Guernesey, Israël, l’Île de Man, le Japon, Jersey, la Nouvelle-Zélande, la Suisse et l’Uruguay. À la différence du Canada, les États-Unis n’ont pas fait l’objet d’une approbation générale par la Commission européenne, mais un accord a été conclu, dénommé Privacy Shield, permettant le transfert de données récoltées dans un pays de l’Union européenne vers les seules entreprises américaines y ayant adhéré. En dehors de ces mesures visant des pays spécifiques, un transfert hors de l’Union européenne peut également, en vertu de l’article 46 du RGPD, avoir lieu s’il est encadré de garanties appropriées, typiquement la signature de clauses contractuelles types proposées par la Commission européenne ou, au sein d’un cabinet international, des règles d’entreprises contraignantes (REC ou BCR, en anglais).
Portée de la décision L’examen de la Cour de justice de l’Union européenne (la Cour) dans l’arrêt Schrems II porte sur la validité à la fois de la décision d’adéquation du Privacy Shield et des clauses contractuelles types proposées par la Commission
2 ■ 2021 ❘ JURISTE INTERNATIONAL ❘ 37
