Décision d’exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 constatant, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil, le niveau de protection adéquat des données à caractère personnel assuré par le cadre de protection des données UE - États-Unis [notifiée sous le numéro C(2023) 4745] (Texte présentant de l’intérêt pour l’EEE)

Aux fins de l’article 45 du règlement (UE) 2016/679, les États-Unis assurent un niveau adéquat de protection des données à caractère personnel transférées depuis l’Union vers des organisations établies aux États-Unis qui figurent sur la «liste du cadre de protection des données», tenue à jour et publiée par le ministère du commerce, conformément à la section I.3 de l’annexe I.

Lorsque, afin de protéger les personnes à l’égard du traitement de leurs données à caractère personnel, les autorités compétentes des États membres exercent les pouvoirs que leur confère l’article 58 du règlement (UE) 2016/679 concernant les transferts de données visés à l’article 1er de la présente décision, l’État membre concerné en informe la Commission sans délai.

1 La Commission suit de manière permanente l’application du cadre juridique sur lequel se fonde la présente décision, notamment les conditions dans lesquelles les transferts ultérieurs sont effectués, les droits individuels sont exercés et les autorités publiques américaines ont accès aux données transférées sur la base de la présente décision, dans le but de déterminer si les États-Unis continuent d’assurer un niveau de protection adéquat au sens de l’article 1er.

2 Les États membres et la Commission s’informent mutuellement des cas dans lesquels les organismes américains dotés du pouvoir réglementaire de faire respecter les principes énoncés à l’annexe I ne prévoient pas de mécanismes de détection et de surveillance permettant de détecter et de sanctionner en pratique les infractions à ces principes.

3 Les États membres et la Commission s’informent mutuellement de tout élément indiquant que les interférences des autorités publiques américaines responsables du maintien de la sécurité nationale, de l’application de la loi ou d’autres intérêts publics avec le droit de l’individu à la protection de ses données à caractère personnel vont au-delà de ce qui est nécessaire et proportionné et/ou qu’il n’existe pas de protection juridictionnelle effective contre des interférences de cette nature.

4 Dans un délai d’un an à compter de la date de notification de la présente décision aux États membres, et ensuite selon une périodicité qui sera définie en étroite consultation avec le comité institué en vertu de l’article 93, paragraphe 1, du règlement (UE) 2016/679 et le comité européen de la protection des données, la Commission évalue le constat établi à l’article 1er, paragraphe 1, sur la base de toutes les informations disponibles, notamment les informations obtenues dans le cadre de l’examen conjoint réalisé avec les autorités américaines compétentes.

5 Lorsqu’elle est en possession d’éléments indiquant qu’un niveau de protection adéquat n’est plus assuré, la Commission en informe les autorités américaines compétentes. Si nécessaire, elle décidera de suspendre, de modifier ou d’abroger la présente décision, ou d’en restreindre le champ d’application, conformément à l’article 45, paragraphe 5, du règlement (UE) 2016/679. La Commission peut également adopter une telle décision si le défaut de coopération de la part des autorités américaines l’empêche de déterminer si les États-Unis continuent d’assurer un niveau de protection adéquat.

Les États membres sont destinataires de la présente décision.