Fin du Privacy Shield : gare aux données voyageurs !
Cet accord qui encadrait le partage de donnĂ©es Ă caractĂšre personnel entre lâEurope et les Etats-Unis nâa toujours pas Ă©tĂ© remplacĂ©. Le voyage dâaffaires est particuliĂšrement concernĂ©. Â
Un petit rappel des faits est nĂ©cessaire : le 16 juillet dernier, la Cour de Justice de lâUnion EuropĂ©enne (CJUE) a annulĂ© lâaccord de Privacy Shield qui encadrait le partage de donnĂ©es Ă caractĂšre personnel entre lâEurope et les Etats-Unis. En cause : un manque de protection des donnĂ©es traitĂ©es sur le territoire US. Un magistrat amĂ©ricain peut en effet exiger l’accĂšs Ă nâimporte quelles donnĂ©es, notamment dans des affaires de corruption ou de terrorisme.
Comme le rappelait il y a quelques jours Olivier Duha, fondateur et co-prĂ©sident de Webhelp, Ă nos amis de La Tribune (Lire ici) : la situation est potentiellement grave pour « tous les opĂ©rateurs qui, depuis le Vieux Continent, envoient et gĂšrent des donnĂ©es personnelles outre-Atlantique, quâils soient grands ou petits, amĂ©ricains ou europĂ©ens. »
Attention, les transferts de donnĂ©es jugĂ©s nĂ©cessaires ne sont pas concernĂ©s par cette dĂ©cision, tels lâenvoi dâun mail, la rĂ©servation dâun billet dâavion ou dâune nuit dâhĂŽtel. Mais toutes les donnĂ©es Ă caractĂšre personnel des citoyens europĂ©ens, oui.
Et comme le rappelait lâexcellent Amon Cohen dĂ©but aoĂ»t dans un non moins excellent article (Lire ici) : « le problĂšme est urgent pour les voyages dâaffaires car le secteur est dominĂ© par des sociĂ©tĂ©s basĂ©es aux Etats-Unis. » Dans le mĂȘme article, le VDR (lâĂ©quivalent allemand de lâAFTM) tirait la sonnette dâalarme : « les travel managers du monde entier doivent prendre des mesures immĂ©diates pour garantir que les donnĂ©es personnelles de leurs voyageurs europĂ©ens soient transfĂ©rĂ©es lĂ©galement en dehors de lâUnion europĂ©enne. »
Alors que faire ? La CJUE dit aux entreprises quâen attendant que le Privacy Shield soit remplacĂ© elles peuvent sâappuyer sur dâautres dispositifs, le BCR (RĂšgles dâEntreprises Contraignantes) et les SCC (Clauses Contractuelles Types), ces derniĂšres Ă©tant le processus le plus couramment utilisĂ© dans le voyage dâaffaires pour protĂ©ger les exportations de donnĂ©es en dehors de lâUnion EuropĂ©enne.
Sauf que dans son arrĂȘt, la CJUE prĂ©cise bien quâil nâexiste pas aux Etats-Unis de protection Ă©quivalente au RGPD europĂ©en, insinuant sans le dire que les SCC ne se suffisent pas Ă elles-mĂȘmes et quâil convient de sâassurer dâune « protection substantiellement Ă©quivalente ». Pas simple.
« Si vous nâĂȘtes pas sĂ»r que les donnĂ©es soient protĂ©gĂ©es en utilisant les SCC, ne les transfĂ©rez plus ! » exhorte donc Hans-Ingo Biehl, le directeur exĂ©cutif du VDR, qui pousse aussi les travel managers Ă consulter dâurgence leurs TMC et les Ă©diteurs dâoutils de rĂ©servation en ligne. Ainsi que tous les services internes qui peuvent les aider.
En clair, on ne joue pas avec ça. Tant que le Privacy Shield nâa pas dâalternative, il rĂšgne un certain flou, et ce flou est dangereux. Car l’arrĂȘt de la CJUE transfĂšre le risque juridique sur toutes les entreprises utilisatrices de services numĂ©riques amĂ©ricains.
Voilà en tous cas une belle mission pour les travel managers en attendant que les voyages reprennent !
François-Xavier Izenic, rĂ©dacteur associĂ© de lâAFTM