L'essentiel
Definition
Qu'est-ce que Schrems II ?
Schrems II est le nom usuel donne a l'arret rendu par la Cour de justice de l'Union europeenne le 16 juillet 2020, dans l'affaire C-311/18 opposant Maximilian Schrems et la Data Protection Commissioner irlandaise. Maximilian Schrems est un militant autrichien deja a l'origine de l'arret Schrems I, qui avait invalide en 2015 l'accord Safe Harbor entre l'UE et les Etats-Unis.
L'affaire portait sur les transferts de donnees personnelles de la filiale irlandaise de Facebook vers sa maison mere americaine. La Cour devait se prononcer sur deux outils de transfert : la decision d'adequation Privacy Shield et les clauses contractuelles types (CCT) figurant dans la decision 2010/87 de la Commission.
La Cour invalide le Privacy Shield et juge que la legislation americaine, en particulier la section 702 du FISA et l'Executive Order 12333, ne garantit pas un niveau de protection essentiellement equivalent a celui assure par le droit de l'Union. Elle confirme la validite des CCT comme outil, mais impose une evaluation cas par cas du contexte juridique du pays destinataire.
Contexte historique
De Snowden au Data Privacy Framework
Impact concret
Ce que l'arret a change pour les organisations europeennes
Six consequences observees dans les pratiques de gouvernance des donnees depuis 2020.
Privacy Shield invalide
L'arret prive les transferts UE-USA de leur base juridique principale entre juillet 2020 et juillet 2023. Pendant cette periode, les organisations doivent justifier les transferts par d'autres outils (CCT plus mesures supplementaires, regles d'entreprise contraignantes, derogations).
Clauses contractuelles types insuffisantes seules
Les CCT restent valides en principe mais ne suffisent pas si la legislation du pays destinataire (CLOUD Act, FISA 702) prive le destinataire de la capacite de refuser une demande des autorites locales. Une analyse d'impact transferable (TIA) doit etre conduite.
Mesures supplementaires
L'EDPB a publie en juin 2021 ses recommandations sur les mesures supplementaires : chiffrement de bout en bout sans acces du destinataire aux cles, pseudonymisation effective, garanties contractuelles renforcees. Ces mesures doivent etre techniquement verifiables.
Decisions de la CNIL
La CNIL a mis en demeure plusieurs gestionnaires de sites web utilisant Google Analytics en 2022, considerant que la configuration n'offrait pas les garanties exigees par Schrems II. Une demarche analogue a ete adoptee dans d'autres autorites europeennes.
Data Privacy Framework de 2023
L'accord adopte le 10 juillet 2023 remplace le Privacy Shield. Il s'appuie sur un decret presidentiel americain instaurant un Data Protection Review Court. Des recours pendants devant la CJUE pourraient le fragiliser dans les annees a venir.
Impact pour les choix cloud
Schrems II reste une reference structurante : tout choix de cloud implique une analyse de la juridiction du fournisseur et de la realite des transferts. C'est l'un des moteurs juridiques de l'interet pour les offres souveraines europeennes.
Idees recues
Trois confusions frequentes
Sources et references
Pour aller plus loin
Sur NextHop