Si le texte de cet accord "bouclier" n'a pas encore été publié, ses principaux aspects ont été révélés :

- Les États-Unis ont donné à l'Europe des garanties écrites assurant que l'accès des pouvoirs publics aux données personnelles pour raison de sécurité nationale sera soumis à des limitations claires, ainsi qu'à des mesures de sécurité et des mécanismes de contrôle ;

- Un médiateur rattaché au Ministère des Affaires Etrangères (State Department) des États-Unis sera nommé pour traiter les plaintes des citoyens européens visant la surveillance exercée par les États-Unis et pour répondre aux questions relatives à l'accès aux données personnelles pour raison de sécurité nationale, sur requête du groupe de travail "Article 29" sur la protection des données (G29) ;

- La Commission Européenne et le Département du Commerce américain procèderont à une révision annuelle conjointe de l'accord et vérifieront que, conformément aux assurances écrites données par les services de renseignement américains (Office of the Director of National Intelligence), la surveillance des citoyens européens reste limitée et proportionnée au but recherché ;

- Le régime du "Safe Harbor" sera renforcé : garantie des droits individuels, publication des engagements, contrôle par le Département du Commerce, mise en application par la Federal Trade Commission, et obligation pour les entreprises qui traitent les données RH européennes de respecter les décisions du G29 ;

- L'accord prévoit différents niveaux de recours pour traiter les plaintes des citoyens européens, notamment la possibilité pour ces derniers de recourir à des méthodes alternatives gratuites de règlement des litiges (ADR), ainsi qu'un "mécanisme de dernier recours" sur lequel aucune précision n'a été donnée.

Ce régime reste soumis à l'accord des pouvoirs publics de chaque côté de l'Atlantique. Côté européen, un projet de « décision d'adéquation » sera préparé dans les prochaines semaines, sur lequel le Collège des Commissaires devra se prononcer après avis du G29 et consultation d'un comité de représentants des États Membres. Selon la Commissaire Jourova, cette procédure pourrait prendre jusqu'à trois mois. Côté américain, beaucoup d'aménagements seront nécessaires, parmi lesquels, vraisemblablement, l'adoption par le Congrès du Judicial Redress Act actuellement en cours d'examen.

À l'évidence, cette annonce est une bonne nouvelle pour les entreprises qui transfèrent des données personnelles européennes vers les États-Unis. Mais il faudra toutefois attendre l'analyse de l'accord pour en tirer des conclusions définitives.

M^e Bradley Joslove, avocat associé Franklin, en charge des pôles propriété intellectuelle et technologie/media/télécommunications