Pour commencer par le plus simple, le Privacy Shield n'est plus valide (cf Schrems II) depuis 2020, et a été remplacé par une autre mesure d'adéquation en 2022, l'EU–US Data Privacy Framework (DPF).
Ensuite, l'EDPS n'est pas la pour interpréter la mesure d'adéquation, c'est pas son rôle.
L'EDPS, comme toutes les autres DPAs, va vérifier qu'en cas de transfert, il y a une mesure d'adéquation (article 45 du RGPD), et se rabattre sur les autres articles pour savoir si c'est autorisé ou pas (clauses contractuelles, article 46 ou binding corporate rules, article 47). Elle n'a pas le pouvoir de dire "non, ça me plait pas". Elle a tout au plus le pouvoir de demander aux autres comment ça a été décidé par le passé ( chapitre 7 du RGPD sur la coopération), mais ça exclue clairement l'article 45. J'imagine que l'EDPS peut demander à la CJUE de regarder la mesure, mais ç'est la même chose pour les autres DPAs, et c'est pas limité aux DPAs (cf Schrems I et II).
Les mesures d'adéquation ne sont pas prise par une personne, ni prise de façon unilatérale, mais par la Commission Européenne qui doit demander à un comité (article 45), comité dont la teneur est expliqué à l'article 93. Le dit comité doit suivre des règles, et est composé de représentants pour chacun des 27 pays membres (article 3.2 de la régulation 182/2011), qui vote à la majorité (article 5 de la même régulation). Et ça, c'est juste du coté européen, car il y a aussi des discussions avec l'autre coté de la mesure.
La commission va également demander son avis à l'EDPS, mais comme la mesure d'adéquation est pour le moment valable, il n'y a aucun avis sur le sujet qui va être demandé à Mr Gencarelli (ou ses équipes).
On est largement loin d'avoir une personne qui fait tout, et qui décide tout.
Si un nouveau procès de NOYB fait sauter le DPF, alors il faudra refaire la négo, et donc un nouveau texte. Hors, à ce moment, Mr Gencarelli ne sera pas en charge de la négociation et d'écrire le texte vu qu'il sera occupé ailleurs, gérer l'EDPS.
Et au passage, à tout moment, le Parlement ou le Conseil des ministres peuvent intervenir pour faire sauter la mesure.
Les seules qui vont décider d'examiner la mesure, c'est les juges de la Cour de Justice de l'UE, à Luxembourg. Et la CJUE est indépendante de la Commission, du Parlement, etc. Pour Schrems II, ça a été jugé devant la grande chambre, donc 13 juges.
Et il y a également un examen périodique de l'état de la mesure (tout les 4 ans, article 45.3 du RGPD). Si demain, un autocrate arrive au pouvoir d'un pays et que le système démocratique devient une autocratie légaliste comme la Russie, il y a des chances que la mesure d'adéquation saute quand ça va partir en vrille. Et dans tout les cas, c'est pas l'EDPS qui va s'occuper de ça non plus.
[^] # Re: Conflit d'intérêts: écrire la loi, puis devoir l'interpréter
Posté par Misc (site web personnel) . En réponse au journal GDPR: le loup en charge de la bergerie?. Évalué à 5.
Encore une fois, y a rien qui va.
Pour commencer par le plus simple, le Privacy Shield n'est plus valide (cf Schrems II) depuis 2020, et a été remplacé par une autre mesure d'adéquation en 2022, l'EU–US Data Privacy Framework (DPF).
Ensuite, l'EDPS n'est pas la pour interpréter la mesure d'adéquation, c'est pas son rôle.
L'EDPS, comme toutes les autres DPAs, va vérifier qu'en cas de transfert, il y a une mesure d'adéquation (article 45 du RGPD), et se rabattre sur les autres articles pour savoir si c'est autorisé ou pas (clauses contractuelles, article 46 ou binding corporate rules, article 47). Elle n'a pas le pouvoir de dire "non, ça me plait pas". Elle a tout au plus le pouvoir de demander aux autres comment ça a été décidé par le passé ( chapitre 7 du RGPD sur la coopération), mais ça exclue clairement l'article 45. J'imagine que l'EDPS peut demander à la CJUE de regarder la mesure, mais ç'est la même chose pour les autres DPAs, et c'est pas limité aux DPAs (cf Schrems I et II).
Les mesures d'adéquation ne sont pas prise par une personne, ni prise de façon unilatérale, mais par la Commission Européenne qui doit demander à un comité (article 45), comité dont la teneur est expliqué à l'article 93. Le dit comité doit suivre des règles, et est composé de représentants pour chacun des 27 pays membres (article 3.2 de la régulation 182/2011), qui vote à la majorité (article 5 de la même régulation). Et ça, c'est juste du coté européen, car il y a aussi des discussions avec l'autre coté de la mesure.
La commission va également demander son avis à l'EDPS, mais comme la mesure d'adéquation est pour le moment valable, il n'y a aucun avis sur le sujet qui va être demandé à Mr Gencarelli (ou ses équipes).
On est largement loin d'avoir une personne qui fait tout, et qui décide tout.
Si un nouveau procès de NOYB fait sauter le DPF, alors il faudra refaire la négo, et donc un nouveau texte. Hors, à ce moment, Mr Gencarelli ne sera pas en charge de la négociation et d'écrire le texte vu qu'il sera occupé ailleurs, gérer l'EDPS.
Et au passage, à tout moment, le Parlement ou le Conseil des ministres peuvent intervenir pour faire sauter la mesure.
Les seules qui vont décider d'examiner la mesure, c'est les juges de la Cour de Justice de l'UE, à Luxembourg. Et la CJUE est indépendante de la Commission, du Parlement, etc. Pour Schrems II, ça a été jugé devant la grande chambre, donc 13 juges.
Et il y a également un examen périodique de l'état de la mesure (tout les 4 ans, article 45.3 du RGPD). Si demain, un autocrate arrive au pouvoir d'un pays et que le système démocratique devient une autocratie légaliste comme la Russie, il y a des chances que la mesure d'adéquation saute quand ça va partir en vrille. Et dans tout les cas, c'est pas l'EDPS qui va s'occuper de ça non plus.