La Cour de Justice de l’Union Européenne a rendu, le 16 juillet 2020, un arrêt primordial pour toute entreprise souhaitant transférer des données personnelles vers un pays tiers, notamment vers les États-Unis.

En effet, cet arrêt :

  • Invalide le Privacy Shield, qui permettait le transfert de données personnelles de l’Espace Economique Européen vers toute entreprise américaine adhérente,
  • Valide les clauses contractuelles types sous la principale réserve suivante : le droit national du pays tiers en cause doit assurer une protection appropriée des données personnelles transférées, notamment concernant un éventuel accès des autorités publiques de ce pays à ces données.

Pour la Cour, le Privacy Shield ne permet pas de protéger les données personnelles des citoyens de l’Union Européenne en raison des ingérences dans les droits fondamentaux des personnes concernées résultant des programmes de surveillance américains.

La sécurisation des transferts internationaux de données peut nécessiter l’expertise d’un avocat intervenant dans la mise en conformité au RGPD.

CJUE, 16 juillet 2020, affaire C-311/18