Avec cette décision d’adéquation, la Commission européenne et le Japon, donnent naissance au plus grand espace de flux sécurisés de données au monde.
Le transfert des données personnelles des résidents de l’Union européenne en dehors de l’Espace Économique Européen (EEE) est fortement encadré depuis l’entrée en vigueur du Règlement Général sur la Protection des Données (RGPD).
Afin de transférer les données vers des acteurs économiques situés hors de l’EEE, il est possible de recourir à un certain nombre de mesures, parmi lesquelles des clauses contractuelles types, des règles d’entreprises contraignantes ou encore des codes de bonne conduite.
Ces méthodes ne sont cependant pas nécessaires lorsque le pays de destination des données à transférer bénéficie d’une décision d’adéquation.
Décrite à l’article 45 du RGPD, une décision d’adéquation est prise par la Commission européenne lorsque celle-ci considère que qu’un pays, un territoire ou un secteur déterminé du pays en question assure un niveau de protection adéquat. Les transferts ultérieurs de données vers ces territoires pourront se faire sans autorisation spécifique préalable.
La Commission tient notamment compte de l’état du droit, de l’existence et du fonctionnement d’autorités de contrôle indépendantes et des engagements internationaux du territoire désigné. Elle se concentre tout particulièrement sur le droit et la protection des données personnelles.
Une fois la décision prise, la Commission assure un suivi de l’état du droit et de la protection des données personnelles au sein du territoire bénéficiant de l’adéquation. Elle peut être amenées cas de modification les conditions initialement retenues à retirer le bénéfice de l’adéquation.
Jeudi 24 janvier, la Commission européenne a adopté une décision d’adéquation au profit du Japon concernant le traitement des données personnelles. Le régime de protection japonais des données est donc considéré comme offrant la même garantie protection des données personnelles que celle en œuvre dans l’EEE.
Afin de parvenir à cette décision, le Japon a accepté de créer un mécanisme de traitement des plaintes en cas d’accès aux données par les autorités publiques japonaises. Des garanties ont également été demandées par l’Union européenne concernant la protection des données en matière pénale et de sécurité nationale.
Pour les 508 millions d’européens et les 127 millions de japonais, la décision garantit un niveau de protection égal de leurs données personnelles. Les acteurs économiques bénéficieront également d’une plus grande facilité de développement dans ces deux régions puisque les transferts de données ne nécessiteront plus d’autorisation préalable ou d’encadrement par la mise en œuvre d’outils de transfert.
La Commission européenne a, au 25 janvier, publié des décisions d’adéquation concernant les transferts de et vers Andorre, l’Argentine, Israël, la Nouvelle-Zélande, la Suisse et l’Uruguay.
Les Etats-Unis et le Canada ne bénéficient pas d’une décision d’adéquation totale, seuls certains traitements spécifiques sont considérés adéquats. Deux cadres légaux encadrent spécifiquement le reste des transferts vers ces Etats : le Privacy Shield aux Etats-Unis et la loi Pipeda au Canada.
