CNIL, Adéquation des États-Unis : les premières questions-réponses, 13 juillet 2023

Le 10 juillet 2023, la Commission européenne a adopté une nouvelle décision d’adéquation constatant que les États-Unis assurent désormais un niveau de protection substantiellement équivalent à celui de l’Union européenne. Rappelons qu’avant cette décision, les Etats-Unis ne faisaient plus l’objet d’aucune décision d’adéquation depuis l’annulation successive du Safe Harbor[1] puis du Privacy Shield[2].

Cette nouvelle décision d’adéquation (le « Data Privacy Framework ») a été adoptée à la suite des évolutions de la législation américaine qui permet désormais d’assurer un niveau de protection adéquat des données transférées vers des organismes situés aux Etats-Unis, sous réserve que ces derniers fassent la démarche de respecter ce nouveau « cadre de protection des données ».La liste de ces organismes est disponible en ligne.

Cette nouvelle décision d’adéquation devrait faciliter le cadre des transferts de données vers les Etats-Unis, pour les organismes figurant sur la liste susvisée, puisque, les concernant, la conclusion de clauses contractuelles types ne sera plus requise. La CNIL a publié une liste de Questions-Réponses sur le sujet.

[1] CJUE, 6 octobre 2015, Aff. C 362/14, Schrems I  

[2] CJUE, 16 juillet 2020, Aff. C-311/18, Schrems II