La justice estime que Microsoft n’a pas à transmettre aux Etats-Unis des données stockées en Europe

Rapide revue des arguments…

Microsoft wins landmark appeal over seizure of foreign emails | Reuters
▻http://www.reuters.com/article/us-microsoft-usa-warrant-idUSKCN0ZU1RJ

Microsoft had said the warrant could not reach emails on the Dublin server because U.S. law did not apply there.

The Redmond, Washington-based company also said enforcing the warrant could spark a global “free-for-all,” where law enforcement authorities elsewhere might seize emails belonging to Americans and stored in the United States.

Federal prosecutors countered that quashing warrants such as Microsoft’s would impede their own law enforcement efforts.

But Judge Carney said limiting the reach of warrants serves “the interest of comity” that normally governs cross-border criminal investigations.

She said that comity is also reflected in treaties between the United States and all European Union countries, including Ireland, to assist each other in such probes.

Some law enforcement officials have said obtaining such assistance can, nonetheless, be cumbersome and time-consuming.

The Justice Department is working on a bilateral plan to streamline how U.S. and British authorities request data from companies in each other’s country.

A bipartisan bill was introduced in the U.S. Senate in May to clarify when and where law enforcement may access electronic communications of U.S. citizens.

Circuit Judge Gerard Lynch, who concurred in the judgment, urged Congress to modernize the “badly outdated” 1986 law to strike a better balance between law enforcement needs and users’ privacy interests and expectations.

Lynch said the law, as it stands now, lets Microsoft thwart an otherwise justified demand to turn over emails by the “simple expedient” of choosing to store them outside the United States.

“I concur in the result, but without any illusion that the result should even be regarded as a rational policy outcome, let alone celebrated as a milestone in protecting privacy,” he wrote.

The case is In re: Warrant to Search a Certain E-Mail Account Controlled and Maintained by Microsoft Corp, 2ndU.S. Circuit Court of Appeals, No. 14-2985.

Contenu principal :

• La collecte des données devra correspondre aux besoins précis des entreprises, et ne pas être détournées pour d’autres usages.

• Les Européens auront la possibilité de bloquer l’utilisation de leurs données pour des utilisations non prévues au départ (opt out). 

• Pour les données sensibles (emploi, santé, etc.), un consentement préalable sera exigé.

• Un Européen aura le droit de consulter ses données personnelles détenues par une entreprise américaine, et si elles sont erronées, il pourra exiger qu’elles soient corrigées.

• Le stockage ne pourra pas excéder cinq ans – sauf exception, notamment pour les journalistes, les artistes, les chercheurs, les statisticiens…

• En ce qui concerne les décisions prises automatiquement par des ordinateurs (par exemple le rejet d’une demande de crédit, ou un profilage individuel), les Etats-Unis s’engagent simplement à évaluer l’impact de ces pratiques, à l’occasion des discussions annuelles prévues avec la Commission.

• Les services de renseignement américains continueront à intercepter et à exploiter les données personnelles venues d’Europe, notamment dans les affaires de « sécurité nationale » (contre-espionnage, terrorisme, armes de destruction massive…), « d’intérêt public » et de crime organisé

• Les Etats-Unis s’engagent à collaborer avec les agences de protection des données des pays membres de l’UE

• Si la Commission européenne s’aperçoit que les autorités américaines ne tiennent pas leurs promesses, elle se réserve le droit de prendre des mesures de rétorsion, y compris l’interruption des transferts et la dénonciation de l’accord.

Le texte se réfère à la directive européenne de 1995, et non pas au nouveau règlement sur la protection des données, plus contraignant, adopté en 2015 mais qui n’entrera en vigueur qu’en 2018

Par ailleurs, de nombreuses entreprises américaines n’ont plus vraiment besoin du Privacy Shield, car elles utilisent un autre mécanisme juridique : les « clauses contractuelles types », des accords privés bilatéraux passés entre une société européenne souhaitant exporter ses données outre-Atlantique et un prestataire américain qui va les traiter. Dans le cas des entreprises collectant directement les données auprès du public, comme Google ou Facebook, le contrat peut être passé entre leur filiale européenne et la maison mère américaine. 

#privacy

#vie_privée

Statement by Vice-President Ansip and Commissioner Jourová on the occasion of the adoption by Member States of the EU-U.S. Privacy Shield
▻http://europa.eu/rapid/press-release_STATEMENT-16-2443_en.htm

►http://www.lemonde.fr/pixels/article/2016/07/14/la-justice-estime-que-microsoft-n-a-pas-a-transmettre-aux-etats-unis-des-don