12 décembre 2022
Monsieur Didier Reynders
Commissaire à la justice
Commission européenne
Rue de la Loi 200
1049 Bruxelles
Belgique
Monsieur le Commissaire,
Au nom de la direction du commerce international, j’ai le plaisir de décrire ci-après les engagements pris par le ministère américain du commerce (ci-après le «ministère») pour garantir la protection des données à caractère personnel par sa gestion et sa supervision du programme du cadre de protection des données. La finalisation du cadre de protection des données UE — États-Unis (ci-après le «CPD UE — États-Unis») représente une avancée majeure pour la protection de la vie privée et pour les entreprises des deux côtés de l’Atlantique. Ce cadre permettra aux citoyens de l’Union d’être confiants dans le fait que leurs données seront protégées et qu’ils disposeront de voies de recours pour remédier aux préoccupations liées à leurs données, et permettra à des milliers d’entreprises de continuer à investir et à exercer des activités commerciales de part et d’autre de l’Atlantique, dans l’intérêt de nos économies et de nos citoyens respectifs. Le CPD UE — États-Unis est le résultat de plusieurs années de travail acharné et de collaboration avec vous et vos collègues de la Commission européenne (ci-après la «Commission»). Nous espérons poursuivre notre travail avec la Commission pour faire en sorte que cette collaboration fonctionne de manière efficace.
Le CPD UE — États-Unis procurera des avantages majeurs aux personnes comme aux entreprises. Tout d’abord, il constitue un ensemble important de mesures de protection de la vie privée pour les données des citoyens de l’Union transférées vers les États-Unis. Il exige des organisations américaines participantes qu’elles élaborent une politique conforme en matière de protection de la vie privée, qu’elles s’engagent publiquement à respecter les «principes du cadre de protection des données UE — États-Unis», y compris les principes complémentaires (ci-après collectivement dénommés les «principes») et l’annexe I des principes (précisant les conditions dans lesquelles les organisations participant au CPD UE — États-Unis sont tenues d’arbitrer certaines plaintes résiduelles concernant des données à caractère personnel couvertes par les principes), de sorte que cet engagement devient contraignant en droit américain, qu’elles recertifient chaque année leur adhésion aux principes auprès du ministère, qu’elles mettent à disposition des citoyens de l’Union un mécanisme de règlement des litiges indépendant et gratuit, et qu’elles soient soumises aux pouvoirs d’enquête et aux pouvoirs répressifs d’un organisme officiel américain mentionné dans les principes [par exemple, la Federal Trade Commission (ci-après la «FTC») et le ministère des transports], ou d’un organisme officiel américain mentionné dans une future annexe aux principes. Si la décision d’une organisation d’autocertifier son adhésion aux principes est volontaire, dès lors qu’elle s’engage publiquement à participer au CPD UE — États-Unis, son engagement est contraignant en droit américain, sous le contrôle de la FTC, du ministère des transports ou d’un autre organisme officiel américain, en fonction de l’autorité qui a compétence pour l’organisation participant au CPD UE — États-Unis. En second lieu, le CPD UE — États-Unis permettra aux entreprises établies aux États-Unis, y compris les filiales d’entreprises européennes implantées aux États-Unis, de recevoir des données à caractère personnel de l’Union européenne afin de faciliter les flux de données qui soutiennent le commerce transatlantique. Les flux de données entre les États-Unis et l’Union européenne sont les plus importants au monde et sont le fondement des relations économiques entre les États-Unis et l’Union européenne, qui représentent 7,1 milliards d’USD et soutiennent des millions d’emplois de part et d’autre de l’Atlantique. Les entreprises qui s’appuient sur les flux de données transatlantiques sont issues de tous les secteurs d’activité et comptent de très grandes sociétés de la liste Fortune 500 ainsi que de nombreuses petites et moyennes entreprises. Les flux de données transatlantiques permettent aux organisations américaines de traiter les données nécessaires pour fournir des biens, des services et des possibilités d’emploi aux citoyens européens.
Le ministère s’est engagé à collaborer étroitement et de manière productive avec ses homologues de l’Union afin de gérer et de superviser efficacement le programme du cadre de protection des données. Cet engagement est illustré par le fait que le ministère développe et améliore en permanence une variété de ressources pour aider les organisations dans le processus d’autocertification, la création d’un site web afin de communiquer des informations ciblées aux parties intéressées, la collaboration avec la Commission et les autorités européennes de protection des données (ci-après les «APD») afin de définir des orientations qui clarifient les éléments importants du CPD UE — États-Unis, la sensibilisation pour contribuer à une meilleure connaissance des obligations des organisations en matière de protection des données, et la supervision et le contrôle du respect des exigences du programme par les organisations.
Notre coopération permanente avec nos précieux homologues de l’Union permettra au ministère de veiller à ce que le CPD UE — États-Unis fonctionne efficacement. Le gouvernement américain collabore depuis longtemps avec la Commission en vue de promouvoir des principes communs en matière de protection des données, en comblant les différences entre nos approches juridiques respectives tout en soutenant les échanges et la croissance économique dans l’Union européenne et aux États-Unis. Nous pensons que le CPD UE — États-Unis, qui est un exemple de cette collaboration, permettra à la Commission de prendre une nouvelle décision d’adéquation qui autorisera les organisations à utiliser le CPD UE — États-Unis afin de transférer des données à caractère personnel de l’Union européenne vers les États-Unis conformément au droit de l’Union.
Gestion et supervision du programme du cadre de protection des données par le ministère américain du commerce
Le ministère est fermement engagé à gérer et à superviser de manière efficace le programme du cadre de protection des données et il consacrera les efforts et les ressources nécessaires pour atteindre cet objectif. Le ministère tiendra et mettra à la disposition du public une liste officielle des organisations des États-Unis qui ont autocertifié leur adhésion auprès du ministère et qui ont déclaré leur engagement à respecter les principes (la «liste du cadre de protection des données»). Il mettra à jour cette liste sur la base des déclarations annuelles de recertification présentées par les organisations participantes et en supprimant de celle-ci les organisations qui se retirent volontairement, qui ne procèdent pas au renouvellement annuel de leur certification conformément aux procédures du ministère ou qui, de manière persistante, ne se conforment pas aux principes. Il tiendra et rendra public un registre officiel des organisations américaines qui ont été supprimées de la liste du cadre de protection des données et indiquera, dans chaque cas, la raison pour laquelle l’organisation a été radiée. La liste et le registre officiels susmentionnés resteront accessibles au public sur le site web du cadre de protection des données du ministère. Le site web du cadre de protection des données comprendra un texte explicatif, placé bien en évidence, précisant que toute organisation radiée de la liste du cadre de protection des données doit cesser d’affirmer qu’elle participe au CPD UE — États-Unis ou qu’elle respecte ses principes et qu’elle peut recevoir des informations à caractère personnel conformément au CPD UE — États-Unis. Cette organisation reste néanmoins tenue d’appliquer les principes aux informations à caractère personnel qu’elle a reçues alors qu’elle participait au CPD UE — États-Unis aussi longtemps qu’elle conserve ces informations. Le ministère, dans le cadre de son engagement global et permanent à gérer et à superviser de manière efficace le programme du cadre de protection des données, s’engage spécifiquement à:
Vérifier le respect des exigences liées à l’autocertification
— Le ministère, avant de finaliser l’autocertification initiale d’une organisation ou le renouvellement annuel de sa certification (collectivement appelés l’«autocertification») et d’inscrire ou de maintenir une organisation sur la liste du cadre de protection des données, vérifiera que l’organisation a, au minimum, satisfait aux exigences pertinentes énoncées dans le principe complémentaire sur l’autocertification concernant les informations qu’une organisation doit communiquer au ministère dans sa déclaration d’autocertification et a fourni en temps utile une politique en matière de protection de la vie privée pertinente qui informe les personnes des 13 éléments énumérés dans le principe «Notification». Le ministère vérifiera:
— que l’organisation a fourni l’identité de l’organisation qui présente sa déclaration d’autocertification, ainsi que de toutes les entités ou filiales américaines de l’organisation qui autocertifie son adhésion qui adhèrent également aux principes et que l’organisation souhaite voir couverts par son autocertification;
— qu’elle a fourni les coordonnées qui lui étaient demandées (par exemple, les coordonnées des personnes et/ou des bureaux spécifiques au sein de l’organisation qui autocertifie son adhésion, responsables du traitement des réclamations, des demandes d’accès et de toute autre question soulevée en vertu du CPD UE — États-Unis);
— qu’elle a décrit la ou les finalités pour lesquelles l’organisation collecterait et utiliserait les informations à caractère personnel reçues de l’Union européenne;
— qu’elle a indiqué quelles informations à caractère personnel seraient reçues de l’Union européenne sur la foi du CPD UE — États-Unis et seraient donc couvertes par son autocertification;
— si l’organisation possède un site web public, qu’elle a indiqué l’adresse web à laquelle la politique en matière de protection de la vie privée pertinente est accessible ou, si l’organisation ne possède pas de site web public, qu’elle a communiqué au ministère une copie de cette politique et qu’elle a indiqué le lieu où le texte de cette politique peut être consulté par les personnes concernées (c’est-à-dire par les membres du personnel concernés si les dispositions de protection de la vie privée sont dans le domaine des ressources humaines ou par le public si les dispositions de protection de la vie privée ne sont pas dans le domaine des ressources humaines);
— qu’elle a incorporé dans sa politique en matière de protection de la vie privée en temps utile (c’est-à-dire dans un premier temps, uniquement dans un projet de politique en matière de protection de la vie privée fourni avec le dossier si ce dossier est une autocertification initiale; ensuite, dans une version finale de cette politique de protection de la vie privée qui a été publiée, le cas échéant) une déclaration mentionnant qu’elle adhère aux principes et un hyperlien vers le site web du cadre de protection des données géré par le ministère ou son adresse web (par exemple, la page d’accueil ou la page web consacrée à la liste du cadre de protection des données);
— qu’elle a inséré dans sa politique en matière de protection de la vie privée en temps utile l’ensemble des 12 autres éléments énumérés dans le principe «Notification» (par exemple, la possibilité, sous certaines conditions, pour la personne concernée de l’Union d’invoquer un arbitrage contraignant; l’obligation de divulguer les informations à caractère personnel en réponse à des demandes légales formulées par les pouvoirs publics, notamment pour répondre à des besoins de sécurité nationale ou d’application des lois; et sa responsabilité en cas de transferts ultérieurs à des tiers);
— qu’elle a indiqué le nom de l’organisme officiel spécifique qui est chargé de statuer sur les plaintes déposées, le cas échéant, contre l’organisation pour pratiques déloyales ou frauduleuses et pour infraction aux lois ou aux réglementations régissant la protection de la vie privée (et qui est mentionné dans les principes ou dans une future annexe aux principes);
— qu’elle a indiqué l’intitulé de tout programme relatif à la protection de la vie privée auquel participe l’organisation;
— qu’elle a indiqué si la méthode pertinente (c’est-à-dire les procédures de suivi qu’elle doit fournir) pour vérifier son respect des principes est l’«autoévaluation» (c’est-à-dire la vérification interne) ou le «contrôle extérieur de la conformité» (c’est-à-dire la vérification par un tiers) et, si elle a indiqué que la méthode pertinente était le contrôle extérieur de la conformité, qu’elle a également indiqué le tiers qui a effectué ce contrôle;
— qu’elle a indiqué le mécanisme de recours indépendant disponible pour instruire les réclamations introduites au titre des principes et de mettre gratuitement à la disposition des personnes des voies de recours appropriées.
— Si l’organisation a sélectionné un mécanisme de recours indépendant proposé par un organisme de règlement extrajudiciaire des litiges du secteur privé, elle a inséré dans sa politique en matière de protection de la vie privée, un hyperlien vers le site web ou son adresse web, ou le formulaire d’introduction d’une réclamation auprès du mécanisme mis à disposition pour l’instruction des réclamations en suspens introduites au titre des principes.
— Si l’organisation est tenue de coopérer avec les APD compétentes (en ce qui concerne les données relatives aux ressources humaines transférées depuis l’Union européenne dans le cadre de la relation de travail) ou si elle a choisi de coopérer avec ces autorités dans le cadre de l’instruction et de la résolution des réclamations introduites au titre des principes, elle a déclaré qu’elle s’engageait à coopérer avec les APD et à se conformer à leurs conseils de prendre des mesures spécifiques pour respecter les principes.
— Le ministère vérifiera également que l’autocertification de l’organisation est conforme à sa ou ses politiques en matière de protection de la vie privée. Lorsqu’une organisation qui autocertifie son adhésion souhaite couvrir l’une de ses entités ou filiales américaines qui ont des politiques en matière de protection de la vie privée distinctes et pertinentes, le ministère examinera également les politiques en matière de protection de la vie privée pertinentes de ces entités ou filiales couvertes afin de s’assurer qu’elles comprennent tous les éléments requis énoncés dans le principe «Notification».
— Le ministère collaborera avec des organismes officiels (par exemple, la FTC et le ministère des transports) pour vérifier que les organisations sont soumises à la compétence de l’organisme officiel compétent indiqué dans leurs dossiers d’autocertification, lorsque le ministère a des raisons de douter qu’elles sont soumises à cette compétence.
— Le ministère collaborera avec les organes de règlement extrajudiciaire des litiges du secteur privé pour vérifier que les organisations sont activement enregistrées pour le mécanisme de recours indépendant indiqué dans leurs déclarations d’autocertification; et collaborera avec ces organes pour vérifier que les organisations sont activement enregistrées pour le contrôle extérieur de conformité indiqué dans leurs déclarations d’autocertification, lorsque ces organes peuvent proposer les deux types de services.
— Le ministère s’appuiera sur le tiers qu’il aura choisi pour être le dépositaire des fonds collectés au moyen de la cotisation du panel d’APD (c’est-à-dire la cotisation annuelle servant à couvrir les frais de gestion du panel) pour vérifier que les organisations ont acquitté cette cotisation pour l’année concernée, lorsque celles-ci ont indiqué que les APD étaient le mécanisme de recours indépendant pertinent.
— Le ministère coopérera avec le tiers qu’il aura choisi pour gérer les arbitrages conformément à l’annexe I des principes et pour gérer le fonds d’arbitrage décrit dans ladite annexe, afin de vérifier que les organisations ont contribué audit fonds d’arbitrage.
— Lorsque le ministère constate des problèmes lors de son examen des déclarations d’autocertification des organisations, il informe ces dernières qu’elles doivent les résoudre dans le délai approprié fixé par le ministère. Le ministère les informera également que si elles ne répondent pas dans les délais fixés par le ministère ou si elles ne remplissent pas leur déclaration d’autocertification conformément aux procédures du ministère, ces déclarations seront considérées comme abandonnées, et que toute fausse déclaration d’une organisation concernant sa participation ou sa conformité au CPD UE — États-Unis est susceptible de faire l’objet de mesures répressives de la part de la FTC, du ministère des transports ou de toute autre instance administrative compétente. Le ministère informera les organisations par les moyens de contact que les organisations lui ont communiqués.
Faciliter la coopération avec les organismes de règlement extrajudiciaire des litiges qui fournissent des services liés aux principes
— Le ministère collaborera avec les organismes de règlement extrajudiciaire des litiges du secteur privé proposant des mécanismes de recours indépendants, qui peuvent instruire les réclamations en suspens introduites au titre des principes, afin de vérifier qu’ils satisfont, au minimum, aux exigences énoncées dans le principe complémentaire «Résolution des litiges et application des décisions». Le ministère vérifiera qu’ils:
— communiquent sur leur site web public des informations relatives aux principes et aux services qu’ils fournissent en vertu du CPD UE — États-Unis, qui doivent comprendre: 1) des informations relatives aux exigences en matière de mécanismes de recours indépendants au titre des principes, ou un hyperlien vers ces exigences; 2) un hyperlien vers le site web «cadre de protection des données» du ministère; 3) l’indication que les services de règlement des litiges qu’ils proposent dans le cadre du CPD UE — États-Unis sont gratuits pour les personnes; 4) une description des modalités de dépôt d’une réclamation relative aux principes; 5) le délai de traitement des réclamations relatives aux principes; et 6) une description des mesures de réparation potentielles. Le ministère informera les organismes en temps utile des modifications importantes apportées à la supervision et à la gestion du programme du cadre de protection des données, lorsque ces modifications sont imminentes ou ont déjà été apportées et qu’elles sont pertinentes pour le rôle joué par les organismes en vertu du CPD UE — États-Unis;
— publiera un rapport annuel présentant des statistiques agrégées relatives à leurs services de règlement des litiges, qui doit indiquer: 1) le nombre total de réclamations relatives aux principes reçues au cours de l’année faisant l’objet du rapport; 2) les types de réclamations reçues; 3) des indicateurs de qualité du règlement des litiges, par exemple le délai de traitement des réclamations; et 4) les résultats du traitement des réclamations reçues, notamment le nombre et les types de recours et les sanctions infligées. Le ministère fournira aux organismes des orientations spécifiques et complémentaires sur les informations qu’ils doivent communiquer dans ces rapports annuels, en précisant ces exigences (par exemple, en énumérant les critères spécifiques qu’une réclamation doit remplir pour être considérée comme une réclamation relative aux principes aux fins du rapport annuel), ainsi qu’en indiquant les autres types d’informations qu’ils doivent communiquer (par exemple, si l’organisme propose également un service de vérification lié aux principes, une description de la manière dont l’organisme évite tout conflit d’intérêts potentiel ou réel dans les cas où il fournit à une organisation à la fois des services de vérification et des services de règlement des litiges). Les orientations supplémentaires données par le ministère préciseront également la date à laquelle les rapports annuels des organismes doivent être publiés pour la période de référence concernée.
Assurer le suivi des organisations qui souhaitent être radiées ou ont été radiées de la liste du cadre de protection des données
— Si une organisation souhaite se retirer du CPD UE — États-Unis, le ministère exigera que l’organisation supprime de toute politique en matière de protection de la vie privée pertinente toute référence au CPD UE — États-Unis donnant à penser qu’elle continue de participer au CPD UE — États-Unis et qu’elle peut recevoir des données à caractère personnel conformément au CPD UE — États-Unis (voir description de l’engagement du ministère à rechercher de fausses déclarations de participation). Le ministère exigera également que l’organisation remplisse et transmette au ministère un questionnaire approprié pour vérifier:
— son souhait de se retirer;
— ce qu’elle compte faire avec les données à caractère personnel qu’elle a reçues sur la foi du CPD UE — États-Unis pendant qu’elle participait au CPD UE — États-Unis, à savoir: a) conserver ces données, continuer à appliquer les principes à ces données et déclarer annuellement au ministère son engagement à appliquer les principes à ces données; b) conserver ces données et assurer une protection «adéquate» de ces données par un autre moyen autorisé; ou c) restituer ou supprimer toutes ces données à une date déterminée; et
— qui, au sein de l’organisation, servira de point de contact permanent pour les questions liées aux principes.
— Si une organisation a choisi l’option a) décrite ci-dessus, le ministère exigera également qu’elle remplisse et transmette au ministère chaque année après son retrait (c’est-à-dire avant le premier anniversaire de son retrait, ainsi que pour chaque anniversaire suivant jusqu’à ce que l’organisation assure une protection «adéquate» de ces données par un autre moyen autorisé, ou restitue ou supprime toutes ces données et notifie cette action au ministère) un questionnaire approprié pour vérifier ce qu’elle a fait de ces données à caractère personnel, ce qu’elle compte faire de toutes les données à caractère personnel qu’elle continue à conserver, et qui, en son sein, servira de point de contact permanent pour les questions liées aux principes.
— Si une organisation a laissé son autocertification expirer (c’est-à-dire qu’elle n’a pas procédé à la recertification annuelle de son adhésion aux principes ou qu’elle a été radiée de la liste du cadre de protection des données pour une autre raison, telle que le retrait), le ministère lui demandera de remplir et de lui transmettre un questionnaire approprié afin de vérifier si elle souhaite se retirer ou renouveler sa certification:
— et si elle souhaite se retirer, vérifier également ce qu’elle compte faire avec les données à caractère personnel qu’elle a reçues sur la foi du CPD UE — États-Unis pendant qu’elle participait au CPD UE — États-Unis (voir description précédente de ce qu’une organisation doit vérifier si elle souhaite se retirer);
— et si elle souhaite renouveler sa certification, vérifier également que pendant la période d’expiration de sa certification, elle a appliqué les principes aux données à caractère personnel reçues en vertu du CPD UE — États-Unis et préciser les mesures qu’elle prendra pour résoudre les problèmes en suspens qui ont retardé sa recertification.
— Si une organisation est radiée de la liste du cadre de protection des données pour l’une des raisons suivantes: a) retrait du CPD UE — États-Unis, b) manquement à son obligation de recertification annuelle de son adhésion aux principes (c’est-à-dire qu’elle a commencé, mais n’a pas achevé le processus de recertification annuelle dans les délais ou qu’elle n’a même pas commencé le processus de recertification annuelle), ou c) «non-respect persistant», le ministère enverra une notification au(x) contact(s) indiqué(s) dans la déclaration d’autocertification de l’organisation, précisant la raison de la suppression et expliquant qu’elle doit cesser d’affirmer de manière explicite ou implicite qu’elle participe ou se conforme au CPD UE — États-Unis et qu’elle peut recevoir des données à caractère personnel conformément au CPD UE — États-Unis. La notification, qui peut également contenir d’autres éléments adaptés à la raison de la suppression, indiquera que les organisations qui font de fausses déclarations sur leur participation ou leur conformité au CPD UE — États-Unis, notamment lorsqu’elles déclarent participer au CPD UE — États-Unis après avoir été radiées de la liste du cadre de protection des données, sont susceptibles de faire l’objet de mesures répressives de la part de la FTC, du ministère des transports ou de toute autre instance administrative compétente.
Rechercher et réprimer les fausses déclarations de participation
— De manière systématique, lorsqu’une organisation a) se retire du CPD UE — États-Unis, b) manque à son obligation de recertification annuelle de son adhésion aux principes (c’est-à-dire qu’elle a commencé, mais n’a pas achevé le processus de recertification annuelle dans les délais ou qu’elle n’a même pas commencé le processus de recertification annuelle), c) est exclue du CPD UE — États-Unis notamment pour «non-respect persistant» ou d) manque à son obligation d’autocertification initiale de son adhésion aux principes (c’est-à-dire qu’elle a commencé, mais n’a pas achevé le processus d’autocertification initiale dans les délais), le ministère procédera d’office à des vérifications tendant à s’assurer que l’organisation a supprimé de ses déclarations publiques relatives à sa politique en matière de protection de la vie privée toute référence au CPD UE — États-Unis qui laisserait entendre qu’elle participe au CPD UE — États-Unis et qu’elle peut recevoir des données à caractère personnel conformément au CPD UE — États-Unis. Si le ministère constate de telles références, il informera l’organisation qu’il saisira, au besoin, l’organisme compétent pour d’éventuelles mesures coercitives si elle continue de faire de fausses déclarations concernant sa participation au CPD UE — États-Unis. Le ministère informera les organisations par les moyens de contact que les organisations lui ont communiqués ou, si nécessaire, par d’autres moyens appropriés. Si l’organisation ne supprime pas les références ni n’autocertifie son adhésion aux principes du CPD UE — États-Unis conformément aux procédures du ministère, le ministère saisira d’office la FTC, le ministère des transports ou toute autre autorité répressive compétente, ou prendra d’autres mesures qui s’imposent pour garantir l’utilisation appropriée de la marque de certification du CPD UE — États-Unis.
— Le ministère mobilisera d’autres efforts pour détecter les fausses déclarations de participation au CPD UE — États-Unis et l’usage abusif de la marque de certification correspondante, notamment par des organisations qui, contrairement aux organisations décrites ci-dessus, n’ont jamais entamé le processus d’autocertification (par exemple, en effectuant des recherches appropriées sur l’internet pour relever les références au CPD UE — États-Unis dans les politiques en matière de protection de la vie privée adoptées par les organisations). Lorsque, dans le cadre de ces efforts, le ministère constate de fausses déclarations de participation au CPD UE — États-Unis et l’usage abusif de la marque de certification correspondante, il informera l’organisation qu’il saisira, au besoin, l’organisme compétent pour d’éventuelles mesures coercitives si elle continue de faire de fausses déclarations concernant sa participation au CPD UE — États-Unis. Le ministère informera les organisations par les moyens de contact que les organisations lui ont communiqués le cas échéant ou, si nécessaire, par d’autres moyens appropriés. Si l’organisation ne supprime pas les références ni n’autocertifie son adhésion aux principes du CPD UE — États-Unis conformément aux procédures du ministère, le ministère saisira d’office la FTC, le ministère des transports ou toute autre autorité répressive compétente, ou prendra d’autres mesures qui s’imposent pour garantir l’utilisation appropriée de la marque de certification du CPD UE — États-Unis.
— Le ministère étudiera et traitera rapidement les réclamations spécifiques et sérieuses pour fausse déclaration de participation au CPD UE — États-Unis que le ministère reçoit (par exemple, des réclamations reçues des APD, des mécanismes de recours indépendants proposés par des organismes de règlement extrajudiciaire des litiges du secteur privé, des personnes concernées, des entreprises de l’Union et américaines, et d’autres types de tiers).
— En outre, le ministère prendra éventuellement d’autres mesures correctives appropriées. Toute fausse déclaration au ministère peut donner lieu à des poursuites au titre de la loi sur les fausses déclarations (18 U.S.C., § 1001).
Réaliser d’office périodiquement des contrôles de conformité et des évaluations du programme du cadre de protection des données
— De manière permanente, le ministère mobilisera des efforts pour contrôler la conformité effective des organisations participant au CPD UE — États-Unis afin de déceler les problèmes qui pourraient nécessiter un suivi complémentaire. En particulier, le ministère effectuera d’office des contrôles ponctuels d’organisations participant au CPD UE — États-Unis sélectionnées de manière aléatoire, ainsi que des contrôles ponctuels ad hoc de certaines organisations participant au CPD UE — États-Unis lorsque des manquements potentiels sont constatés (par exemple, des manquements potentiels signalés au ministère par des tiers) afin de vérifier: a) que le ou les services à contacter en cas de réclamation, pour des demandes d’accès et pour toute autre question relevant du CPD UE — États-Unis sont disponibles; b) le cas échéant, que les dispositions publiques de la politique en matière de protection de la vie privée de l’organisation peuvent être consultées par le public à la fois sur le site web public de l’organisation et via un hyperlien sur la liste du cadre de protection des données; c) que la politique de protection de la vie privée de l’organisation continue de respecter les exigences en matière d’autocertification décrites dans les principes; et d) que le mécanisme de recours indépendant indiqué par l’organisation peut être saisi en cas de réclamations introduites au titre du CPD UE — États-Unis. Le ministère surveillera également activement les informations qui fournissent des indices crédibles du non-respect des principes par les organisations participant au CPD UE — États-Unis.
— Dans le cadre du contrôle de la conformité, le ministère exigera qu’une organisation participant au CPD UE — États-Unis remplisse et transmette au ministère un questionnaire détaillé lorsque: a) le ministère a reçu des réclamations spécifiques et sérieuses liées au non-respect des principes par l’organisation, b) l’organisation ne répond pas de manière satisfaisante aux demandes d’information du ministère concernant le CPD UE — États-Unis, ou c) des indices crédibles suggèrent que l’organisation ne respecte pas ses engagements au titre du CPD UE — États-Unis. Lorsque le ministère a envoyé un questionnaire détaillé à une organisation et que celle-ci n’y a pas répondu de manière satisfaisante, il informera l’organisation qu’il saisira, au besoin, l’organisme compétent pour d’éventuelles mesures coercitives s’il ne reçoit pas de réponse satisfaisante de l’organisation dans les délais impartis. Le ministère informera les organisations par les moyens de contact que les organisations lui ont communiqués ou, si nécessaire, par d’autres moyens appropriés. Si l’organisation ne donne pas de réponse satisfaisante dans les délais impartis, le ministère saisira d’office la FTC, le ministère des transports ou toute autre autorité répressive compétente, ou prendra d’autres mesures qui s’imposent pour garantir la conformité. Le ministère consultera, le cas échéant, les autorités compétentes chargées de la protection des données à propos de ces contrôles de conformité.
— En outre, le ministère évaluera régulièrement la gestion et la supervision du programme du cadre de protection des données, afin de s’assurer que ses efforts de suivi, notamment les efforts déployés au moyen d’outils de recherche (par exemple, pour vérifier les liens brisés vers les politiques en matière de protection de la vie privée des organisations participant au CPD UE — États-Unis), sont adaptés pour répondre aux problèmes existants et aux nouveaux problèmes à mesure qu’ils se présentent.
Adapter le site web du cadre de protection des données à des publics ciblés
Le ministère organisera le site web du cadre de protection afin de l’adapter aux publics cibles suivants: les citoyens européens, les entreprises de l’Union, les entreprises américaines et les APD. L’inclusion de matériel d’information ciblant directement les citoyens et les entreprises de l’Union favorisera la transparence de plusieurs manières. À l’intention des citoyens de l’Union, le site web expliquera clairement: 1) les droits que le CPD UE — États-Unis confère aux citoyens de l’Union; 2) les mécanismes de recours qui sont à leur disposition s’ils estiment qu’une organisation a violé son engagement de respecter les principes; et 3) comment obtenir des renseignements sur l’autocertification d’une organisation au titre du CPD UE — États-Unis. À l’intention des entreprises de l’Union, il facilitera les vérifications suivantes: 1) la confirmation qu’une organisation participe au CPD UE — États-Unis; 2) le type d’informations couvertes par l’autocertification d’une organisation au titre du CPD UE — États-Unis; 3) la politique en matière de protection de la vie privée qui s’applique aux informations couvertes; et 4) la méthode qu’utilise l’organisation pour vérifier sa conformité aux principes. À l’intention des entreprises américaines, le site web expliquera clairement: 1) les avantages de participer au CPD UE — États-Unis; 2) comment adhérer au CPD UE — États-Unis, ainsi que comment renouveler sa certification ou se retirer du CPD UE — États-Unis; et 3) comment les États-Unis gèrent et font respecter le CPD UE — États-Unis. L’inclusion de matériel d’information ciblant directement les APD (par exemple, sur le point de contact spécifique du ministère pour les APD et un hyperlien vers le contenu relatif aux principes sur le site web de la FTC) favorisera à la fois la coopération et la transparence. Le ministère coopérera également sur une base ad hoc avec la Commission et le comité européen de la protection des données pour concevoir du matériel supplémentaire d’actualité (par exemple, des réponses aux questions fréquemment posées) à utiliser sur le site web du cadre de protection des données, lorsque de telles informations faciliteraient la gestion et la supervision efficaces du programme du cadre de protection des données.
Favoriser la coopération avec les APD
Pour accroître les possibilités de coopération avec les APD, le ministère maintiendra en son sein une personne de contact chargée de la liaison avec les APD. Dans les cas où une APD estime qu’une organisation participant au CPD UE — États-Unis ne se conforme pas aux principes, notamment à la suite d’une réclamation introduite par un citoyen de l’Union, elle pourra s’adresser à la personne de contact au ministère pour que l’organisation soit soumise à un examen plus approfondi. Le ministère mettra tout en œuvre pour faciliter le traitement de la réclamation avec l’organisation participant au CPD UE — États-Unis. Dans les 90 jours suivant la réception de la réclamation, il communiquera l’état d’avancement du dossier à l’APD. La personne de contact recevra également les réclamations qui lui seront déférées concernant des organisations qui prétendent faussement participer au CPD UE — États-Unis. Celle-ci assurera le suivi de toutes les réclamations que les APD transmettent au ministère, lequel établira, dans le cadre du réexamen conjoint décrit ci-après, un rapport analysant sous forme agrégée les réclamations reçues chaque année. Le point de contact aidera les APD qui cherchent à obtenir des renseignements sur l’autocertification ou la participation antérieure d’une organisation donnée au CPD UE — États-Unis et répondra aux demandes d’information des APD concernant la mise en œuvre d’exigences spécifiques du CPD UE — États-Unis. Le ministère coopérera également avec la Commission et le comité européen de la protection des données sur les aspects procéduraux et administratifs du panel d’APD, notamment l’établissement de procédures appropriées pour la distribution des fonds collectés au moyen de la cotisation du panel d’APD. Nous croyons savoir que la Commission coopérera avec le ministère pour faciliter la résolution de tout problème qui pourrait se poser concernant ces procédures. En outre, le ministère fournira aux APD des informations sur le CPD UE — États-Unis pour qu’elles les intègrent à leur propre site web, aux fins de renforcer la transparence pour les citoyens et les entreprises de l’Union. Une sensibilisation accrue au CPD UE — États-Unis ainsi qu’aux droits et devoirs qu’il confère devrait faciliter le recensement des problèmes à mesure qu’ils se présentent et, partant, la mise en place de solutions appropriées.
Remplir ses engagements au titre de l’annexe I des principes
Le ministère remplira ses engagements au titre de l’annexe I des principes, au nombre desquels tenir une liste des arbitres choisis avec la Commission sur la base de leur indépendance, de leur intégrité et de leur expertise, et aider, si nécessaire, le tiers choisi par le ministère pour gérer les arbitrages conformément à l’annexe I des principes et pour gérer le fonds d’arbitrage décrit dans ladite annexe. Le ministère coopérera avec ce tiers pour vérifier, entre autres, qu’il possède un site web contenant des orientations sur la procédure d’arbitrage, concernant notamment: 1) comment entamer des poursuites et transmettre des documents; 2) la liste des arbitres tenue par le ministère et comment choisir les arbitres dans cette liste; 3) les procédures d’arbitrage et le code de conduite des arbitres adoptés par le ministère et la Commission; et 4) la perception et le paiement des redevances d’arbitrage. En outre, le ministère coopérera avec le tiers pour examiner régulièrement le fonctionnement du fonds, notamment la nécessité éventuelle d’ajuster le montant des contributions ou des plafonds, et prendra en considération, entre autres, le nombre d’arbitrages et les coûts et durées des arbitrages, étant bien entendu qu’aucune charge financière excessive ne sera imposée aux organisations participant au CPD UE — États-Unis. Le ministère informera la Commission du résultat de ces examens avec le tiers et notifiera au préalable à la Commission tout ajustement du montant des contributions.
Réaliser des examens conjoints du fonctionnement du CPD UE — États-Unis
Le ministère et, au besoin, d’autres organismes tiendront des réunions périodiques avec la Commission, les APD concernées et les représentants compétents du comité européen de la protection des données, au cours desquelles le ministère fera le point sur le CPD UE — États-Unis. Ces réunions permettront notamment d’examiner les questions d’actualité sur le fonctionnement, la mise en œuvre, la supervision et le contrôle de la mise en application du programme du cadre de protection des données. Elles pourront, au besoin, porter sur des sujets connexes, tels que les autres mécanismes de transfert des données qui bénéficient des garanties en vertu du CPD UE — États-Unis.
Mise à jour de la législation
Le ministère mettra tout en œuvre pour informer la Commission de toute évolution importante de la législation aux États-Unis dans la mesure où cela concerne le CPD UE — États-Unis s’agissant du respect de la vie privée à l’égard du traitement des données et des restrictions et garanties applicables à l’accès aux données à caractère personnel par les autorités publiques américaines et l’utilisation ultérieure de ces données.
Accès du gouvernement américain aux données à caractère personnel
Les États-Unis ont publié le décret présidentiel 14086, intitulé «Enhancing Safeguards for United States Signals Intelligence Activities» et le titre 28 du CFR, partie 201, modifiant les règlements du ministère de la justice pour établir la Cour chargée du contrôle de la protection des données (Data Protection Review Court, ci-après la «DPRC») qui assurent une forte protection des données à caractère personnel en ce qui concerne l’accès du gouvernement aux données à des fins de sécurité nationale. Parmi les protections prévues figurent: le renforcement des garanties en matière de protection de la vie privée et des libertés civiles afin de s’assurer que les activités de renseignement d’origine électromagnétique des États-Unis sont nécessaires et proportionnées à la poursuite d’objectifs de sécurité nationale définis; la mise en place d’une nouvelle instance de recours dotée d’une autorité indépendante et contraignante; et le renforcement de la surveillance rigoureuse et à plusieurs niveaux des activités de renseignement d’origine électromagnétique des États-Unis. Grâce à ces protections, les citoyens de l’Union peuvent demander réparation auprès d’une nouvelle instance de recours à plusieurs niveaux qui comprend une DPRC indépendante composée de personnes choisies en dehors du gouvernement des États-Unis. Ces personnes seraient pleinement habilitées à statuer sur les plaintes et à prendre les mesures de réparation nécessaires. Le ministère tiendra un registre des personnes de l’Union qui déposent une réclamation qualifiée en vertu du décret présidentiel 14086 et du titre 28 du CFR, partie 201. Cinq ans après la date de la présente lettre, et tous les cinq ans par la suite, le ministère contactera les organismes concernés pour savoir si les informations relatives à l’examen des réclamations qualifiées ou à l’examen des demandes de révision soumises à la DPRC ont été déclassifiées. Si ces informations ont été déclassifiées, le ministère collaborera avec l’APD compétente pour en informer le citoyen de l’Union. Ces améliorations confirment que les données à caractère personnel de l’Union transférées vers les États-Unis seront traitées d’une manière conforme aux dispositions juridiques de l’Union en ce qui concerne l’accès des pouvoirs publics aux données.
Sur la base des principes, du décret présidentiel 14086, du titre 28 du CFR, partie 201, ainsi que des lettres et documents qui les accompagnent, dont font partie les présents engagements du ministère concernant la gestion et la supervision du dispositif, nous espérons que la Commission considérera que le CPD UE — États-Unis assure un niveau de protection adéquat aux fins du droit de l’Union et que les transferts de données depuis l’Union européenne se poursuivront vers les organisations participant au CPD UE — États-Unis. Nous espérons également que les transferts vers des organisations américaines effectués sur la base de clauses contractuelles types ou de règles d’entreprise contraignantes de l’Union seront encore facilités par les dispositions du CPD UE — États-Unis.
Je vous prie, Monsieur le Commissaire, d’agréer l’expression de ma haute considération.
Marisa Lago