Publication du rapport issu du sondage coorganisé avec Digitaleurope sur les impacts de l’arrêt Schrems II

    Afin d’évaluer les conséquences économiques de l’arrêt Schrems II pour les entreprises européennes et de démontrer l’importance de trouver rapidement une alternative stable et sécurisée pour le transfert des données personnelles vers les Etats-Unis (et hors UE de manière générale), l’AFNUM, DigitalEurope (association européenne des entreprises du numérique) et BusinessEurope (association européenne des entreprises) se sont associées pour proposer une enquête à leurs adhérents.

    Le sondage, qui a eu lieu entre le 26 octobre 2020 et le 18 novembre 2020, en collaboration avec l’AFNUM, BusinessEurope, ERT et ACEA, regroupe plus de 300 réponses émanant principalement d’experts de la protection des données et de la conformité.

    Il pourra servir d’argumentaire vis-à-vis des pouvoirs publics et en particulier de la Commission Européenne, du Comité Européen de la Protection des Données (EDPB), des Autorités de Protection des Données (DPAs) et de l’administration américaine, lorsque nous débattrons des solutions concrètes à mettre en œuvre suite à l’arrêt Schrems II.

    Le rapport souligne la nécessité de trouver des solutions équilibrées et basées sur l’analyse du risque, en particulier en ce qui concerne les mesures supplémentaires sur lesquelles l’EDPB a lancé une consultation publique.

    Les principales conclusions du rapport sont les suivantes :

    • Les clauses contractuelles types (SCCs) sont de loin le mécanisme le plus utilisé pour les transferts de données. Sur l’ensemble des entreprises sondées, 85% ont estimé avoir recours aux SCCs. Seulement 9% d’entre elles semblent ne pas transférer des données en dehors de l’UE.

    • Une vaste majorité des entreprises qui utilisent les SCC (75%) ont leur siège social en Europe ; celles ayant un siège social aux Etats-Unis arrivent en deuxième position mais très loin derrière (13%).

    • Le secteur ICT est le principal utilisateur de clauses contractuelles-type (37%), mais la quasi-totalité de l’industrie s’appuie sur les SCCs pour ses transferts de données, avec la fabrication arrivant en deuxième position (22%).

    • La plupart des entreprises qui utilisent les SCCS ont un business B2B (90%). Seulement 10% des répondants sont des sociétés purement B2C.

    • Plus de la moitié des entreprises qui utilisent des SCCs transfèrent des données à des partenaires commerciaux proches ou à des filiales non-européennes qui en ont besoin pour leurs propres opérations (57% utilisent des SCCs entre deux responsables de traitement), tandis que près de la totalité de ces transferts ont pour but de sous-traiter des process ou des services (92% utilisent des SCC entre un responsable de traitement et un sous-traitant).

    • Les trois quarts des entreprises utilisent des SCCs pour transférer des données vers plusieurs pays hors Europe. Presque toutes les entreprises transfèrent des données vers les Etats-Unis, mais il est intéressant de noter que six transferts sur dix sont en direction de l’Asie ou du Royaume-Uni.

    • Parmi les entreprises qui ont réexaminé leur utilisation des SCCs pour se conformer aux dispositions de l’arrêt Schrems II, neuf sur dix considèrent que le coût de cette opération est modéré, voire élevé. Seule la moitié des entreprises ayant recours aux SCCs a réexaminé ses usages des clauses contractuelles-type.

    • 25 % des interrogés transfèrent des données à l’extérieur de l’UE, probablement par le biais de SCCs, mais n’en sont pas conscients. Cela montre que de nombreuses entreprises, en particulier les TPE/PME, ne sont pas du tout préparées à se conformer à l’arrêt de la CJUE.

    Pour mémoire, retrouvez également le premier papier d’analyse de Digitaleurope sur les impacts de l’arrêt Schrems II.