Accord UE/États-Unis: protection des informations à caractère personnel traitées à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière

OBJECTIF : conclure, au nom de l'Union européenne, l'accord entre les États-Unis d'Amérique et l'Union européenne sur la protection des informations à caractère personnel traitées à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière.

ACTE NON LÉGISLATIF : Décision (UE) 2016/2220 du Conseil concernant la conclusion, au nom de l'Union européenne, de l'accord entre les États-Unis d'Amérique et l'Union européenne sur la protection des informations à caractère personnel traitées à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière.

CONTENU : par la présente décision, l'accord entre les États-Unis d'Amérique et l'Union européenne sur la protection des informations à caractère personnel traitées à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière est approuvé au nom de l'Union européenne. L'accord a été signé le 2 juin 2016, sous réserve de sa conclusion à une date ultérieure.

Objectif : l’accord a pour objet de garantir un niveau élevé de protection des informations à caractère personnel et de renforcer la coopération entre les États-Unis et l'Union européenne et ses États membres en ce qui concerne la prévention et la détection des infractions pénales, dont le terrorisme, les enquêtes et les poursuites en la matière. À cette fin, l’accord établit le cadre de la protection des informations à caractère personnel lors de leur transfert entre les États-Unis, d'une part, et l'Union européenne ou ses États membres, d'autre part.

L’accord ne constitue pas, en soi, la base juridique d'éventuels transferts d'informations à caractère personnel. Une base juridique est toujours requise pour de tels transferts. Il complète les garanties en matière de protection des données figurant dans les accords existants et futurs relatifs au transfert de données ou dans les dispositions nationales autorisant ce type de transferts.

Garanties en matière de protection des données : l’accord couvre d’importants principes régissant le traitement des données à caractère personnel, ainsi que des garanties et restrictions essentielles :

• la limitation des finalités et de l'utilisation: le  transfert d'informations à caractère personnel doit être effectué à des fins précises et le traitement ultérieur d'informations à caractère personnel par une Partie ne peut être incompatible avec les finalités pour lesquelles ces informations ont été transférées ;
• le transfert ultérieur: les informations à caractère personnel relatives à une affaire précise ne pourront être transférées à un État non lié par l’accord ou à un organisme international que sous réserve de l'accord préalable de l'autorité compétente ayant initialement envoyé lesdites informations ;
• la préservation de la qualité et de l'intégrité des informations: les Parties doivent prendre des mesures raisonnables pour garantir que les informations à caractère personnel sont conservées avec l'exactitude, la pertinence, l'actualité et l'exhaustivité nécessaires et appropriées à un traitement licite des informations ;
• la sécurité des informations et la notification d'un incident relatif à la sécurité des informations: les Parties doivent mettre en place des dispositifs techniques, organisationnels et de sécurité afin de protéger les informations à caractère personnel la destruction accidentelle ou illicite, la perte accidentelle; et la divulgation, la modification, l'accès ou tout autre traitement non autorisé ;
• la fixation de durées de conservation précises, pour garantir que les données ne seront pas conservées plus longtemps que ce qui est nécessaire et approprié.

Le traitement de données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou autres, l’appartenance à un syndicat, ou le traitement d’informations à caractère personnel relatives à la santé ou à la vie sexuelle, ne pourront avoir lieu que lorsque des garanties appropriées sont établies conformément à la législation.

Les Parties devront veiller à ce que toute personne puisse i) demander l'accès aux informations à caractère personnel la concernant ; ii) demander la correction ou la rectification d'informations à caractère personnel la concernant qu'elle considère soit comme inexactes, soit comme ayant fait l'objet d'un traitement abusif ; iii) former un recours administratif.

ENTRÉE EN VIGUEUR : 10.12.2016.