Les nouvelles et futures réglementations vont imposer aux entreprises la mise en place de processus et de technologies nécessaires quant aux données à caractère personnel. La protection des données personnelles devient un enjeu crucial. Safe Harbor, Privacy Shield, RGPD… Les réglementations s’enchaînent de part et d’autre de l’Atlantique.
Sofiane Fedaoui nous a dressé précédemment deux panoramas exhaustifs du RGPD ainsi que du Privacy Shield. Ces deux cadres réglementaires portent sur les données personnelles mais peut-on les mettre sur le même pied d’égalité ?
Dans la pratique concernant la protection des données personnelles, de nombreuses organisations ne distinguent pas toujours de manière précise les différences entre le Privacy Shield et le Règlement Général sur la Protection des Données de l’UE (RGPD) ou General Data Protection Regulation (GDPR).
Comme son nom l’indique, le RGPD est un règlement concernant la protection des données personnelles, son objectif général est de moderniser, normaliser et unifier les pratiques de protection des données au sein de l’Union Européenne (UE). Le non-respect du RGPD peut entraîner des pénalités financières massives (jusqu’à 20 millions d’euros ou 4% du revenu brut global d’une entreprise) en plus des éventuelles opportunités qui seront perdues.
L’une des exigences du RGPD vise justement à garantir que les pays tiers recevant des données de l’Union Européenne (UE) disposent de lois adéquates en matière de protection des données. L’Union Européenne (UE) considère actuellement que les États-Unis ne disposent pas de lois adéquates en matière de protection des données et c’est ici que le Privacy Shield intervient.
Le Privacy Shield est un accord entre l’UE et les États-Unis permettant le transfert des données personnelles de l’UE vers les États-Unis. Le Privacy Shield fonctionne donc comme une solution de contournement pour fournir une base légale au transfert des données personnelles de l’Union Européenne (UE) vers les États-Unis.
Les entreprises dont l’activité sera soumise au RGPD ne pourront donc pas se prévaloir de leurs adhésions au Privacy Shield pour démontrer leur conformité au règlement européen.
De la même manière, le Privacy Shield est un dispositif intéressant mais insuffisant ; le G29 (Comité des différentes CNIL européennes) a ainsi exprimé des inquiétudes et a demandé diverses clarifications, dans son communiqué du 13 avril 2016 . Le recours aux autres moyens tels que des clauses contractuelles, des règles d’entreprise contraignantes reste toujours possible.
