Afin d'accéder au contenu enregistré de communications électroniques, les autorités répressives doivent, en règle générale, obtenir auprès d'un juge un mandat fondé sur un motif sérieux de croire que le compte en question contient des preuves d'une infraction grave. Ceux qui se manifestent ainsi ont la garantie que leur identité ne sera pas divulguée au pouvoir exécutif, ce qui les met à l'abri d'éventuelles mesures de représailles interdites, d'ordre professionnel ou touchant à leur habilitation de sécurité, pour avoir communiqué des informations aux IG (70). Leurs activités sont axées sur les priorités définies par les responsables politiques, au travers d'un processus auquel contribue le gouvernement tout entier, et sous une surveillance effectuée à la fois par la NSA, l'ODNI, le ministère de la justice et le ministère de la défense. Voir 15 U.S.C. En vertu du principe «Notification», les organisations ont l'obligation de fournir aux personnes concernées des informations sur un certain nombre d'éléments essentiels en rapport avec le traitement de leurs données à caractère personnel (tels que le type de données recueillies, la finalité du traitement, le droit d'accès et de choix, les conditions applicables aux transferts ultérieurs et la responsabilité du traitement). Les principes de protection de la vie privée (annexe II) et les observations et engagements officiels de diverses autorités américaines figurant dans les documents joints en tant qu'annexes I et III à VII constituent le «bouclier de protection des données UE-États-Unis». L'absence de notification en conformité avec le point a) xii) du principe «Notification» n'entrave pas la capacité d'une organisation à répondre à toute demande licite. En outre, la Conseil peut interroger, prendre la déposition ou le témoignage public de tout agent ou employé du pouvoir exécutif (57). Le texte de cet acte législatif ainsi que des informations supplémentaires concernant la FOIA sont disponibles à l'adresse www.FOIA.gov et http://www.justice.gov/oip/foia-resources. Toutes les utilisations futures des données ne peuvent être spécifiées, puisqu'un nouvel examen des données originales, des découvertes et progrès médicaux nouveaux et des évolutions en matière de santé publique et de réglementation peuvent engendrer de nouvelles utilisations de la recherche. Premièrement, les personnes concernées de l'Union peuvent introduire une réclamation en cas de non-conformité aux principes de protection de la vie privée en prenant directement contact avec l'entreprise américaine autocertifiée. § 413(d)]. (129)  Voir l'USA FREEDOM Act de 2015, Pub. Cela est vrai pour ce qui concerne, par exemple, les rapports effectués tant par les prestataires de soins de santé aux sociétés d'appareils pharmaceutiques et médicaux que par les sociétés d'appareils pharmaceutiques et médicaux à des agences gouvernementales telles que la Food and Drug Administration (organisme de surveillance des aliments et des médicaments). Mécanismes de recours, traitement des réclamations et application effective. En vertu du chapitre 42 U.S.C. Il rend punissable l'accès illicite (c'est-à-dire non autorisé par les juridictions ou autrement permis) à ces communications et permet aux personnes concernées d'engager une action au civil devant un tribunal fédéral américain pour demander des dommages et intérêts, y compris punitifs, ainsi qu'une réparation en equity ou une décision déclaratoire contre un fonctionnaire de l'État qui a délibérément commis ces actes illicites ou contre les États-Unis. Un tel degré d'implication d'une instance judiciaire indépendante dans les activités de renseignement étranger d'un pays, ciblant des personnes qui n'en sont pas ressortissantes et qui ne résident pas sur son territoire est inhabituel, voire inédit, et contribue à garantir que les collectes au titre de la section 702 ne dépassent pas les limites juridiques adéquates. De même, les parties lésées ayant la qualité pour agir peuvent réclamer la suppression des preuves obtenues lors d'une fouille illégale. 12333 et la note 1 de bas de page de la PPD-28. La Commission considère en particulier que les principes publiés par le ministère américain du commerce dans leur ensemble assurent un niveau de protection des données à caractère personnel qui est fondamentalement équivalent à celui garanti par les principes de base énoncés dans la directive 95/46/CE. En outre, les limitations et garanties applicables à la collecte de renseignements d'origine électromagnétique s'appliquent à toutes les finalités autorisées, y compris celles ayant trait aux relations étrangères et à la sécurité nationale. Cette disposition constitue une limitation importante qui fait suite aux préoccupations de la Commission européenne relatives à la portée de la définition de «renseignement étranger» incluse dans le décret exécutif 12333. d)   Respect des exigences et surveillance. (24)  Dans la plupart des cas, lors d'un transfert de données à caractère personnel recueillies dans l'Union européenne, c'est avec le responsable européen du traitement, tenu de respecter les règles de l'Union européenne en matière de protection des données, que la personne (le client) entretiendra une relation contractuelle et c'est généralement ce responsable européen du traitement qui prendra une décision sur la base d'un traitement automatisé. Même si les moyens auxquels ce pays tiers a recours, à cet égard, peuvent être différents de ceux mis en œuvre au sein de l'Union, ils doivent néanmoins s'avérer, en pratique, effectifs (12). La FTC est heureuse de réaffirmer son engagement à faire appliquer le nouveau cadre du bouclier de protection des données. Les cas de non-respect importants doivent être signalés au FISC immédiatement, les autres doivent l'être dans un rapport trimestriel. Il exige des organisations américaines participantes qu'elles élaborent une politique conforme en matière de protection de la vie privée, qu'elles s'engagent publiquement à respecter les principes du bouclier de protection des données, de sorte que cet engagement devient contraignant en droit américain, qu'elles recertifient chaque année leur conformité auprès du ministère, qu'elles mettent à disposition des citoyens européens un service de règlement des litiges indépendant et gratuit, et qu'elles soient soumises à l'autorité de la commission fédérale américaine du commerce (Federal Trade Commission, ci-après la «FTC»), du ministère américain des transports (Department of Transportation, ci-après le «DOT») ou d'un autre organisme de contrôle. Les flux de données transatlantiques permettent aux organisations américaines de traiter les données nécessaires pour fournir des biens, des services et des possibilités d'emploi aux citoyens européens. (120)  Voir le document de l'ODNI intitulé «Safeguarding the Personal Information of all People: Status Report on the Development and Implementation of Procedures under Presidential Policy directive 28» (Garantir à toutes les personnes la protection des informations à caractère personnel les concernant: rapport d'avancement sur l'élaboration et la mise en œuvre des procédures dans le cadre de la directive présidentielle no 28), p. 7. La loi garantit aux IG l'accès aux informations nécessaires à l'exécution de leurs tâches. Les membres de ces commissions ont accès à des informations classifiées et aux méthodes et programmes de renseignement (125). Pour la plupart des autres informations enregistrées ne portant pas sur le contenu, telles que les intitulés de courriers électroniques sans indication d'objet, elles doivent présenter des faits spécifiques à un juge afin de démontrer que les informations demandées sont pertinentes et nécessaires pour une enquête pénale en cours. Elles doivent pour cela démontrer au juge qu'il existe un «motif sérieux» de penser qu'une infraction grave a été ou va être commise et que des éléments en rapport avec cette infraction pourraient se trouver à l'endroit spécifié dans le mandat. Des protections supplémentaires sont prévues en cas de transfert ultérieur à un mandataire tiers (33). Lorsqu'une organisation s'est retirée du bouclier de protection des données, ne recertifie pas son engagement à respecter les principes ou est radiée de la liste du bouclier, le ministère du commerce vérifiera, de manière suivie, qu'elle a supprimé de la politique en matière de protection de la vie privée qu'elle a rendue publique toute référence au bouclier de protection des données laissant croire qu'elle continue d'y participer et, si les fausses déclarations persistent, il saisira la FTC, le ministère du transport ou toute autre autorité compétente en vue de l'adoption d'éventuelles mesures d'exécution. La FTC peut également requérir directement auprès d'un tribunal fédéral une injonction préliminaire ou permanente ou d'autres mesures visant à remédier à la situation de non-conformité. (1)  Le présent aperçu ne décrit pas les outils d'enquête utilisés aux fins de la sécurité nationale par les professionnels de l'application de la loi dans les enquêtes antiterroristes et autres enquêtes de sécurité nationale, notamment les lettres de sécurité nationale envoyées pour obtenir certaines informations figurant dans des rapports de solvabilité, des états financiers et des documents de transactions et d'abonnements électroniques (voir 12 U.S.C. Au moins 32 États et Porto Rico disposent de lois sur l'effacement des données, instaurant des exigences concernant la destruction ou la mise à l'écart des données à caractère personnel (13). Dans le premier cas de figure, le contrat conclu avec le tiers doit prévoir que ce dernier met fin au traitement ou prend d'autres mesures raisonnables ou appropriées pour remédier à la situation. (171)  Voir l'affaire Clapper v. Amnesty International USA, 133 S.Ct. Les sites web et services en ligne basés à l'étranger doivent également respecter la COPPA s'ils ciblent les enfants américains ou s'ils collectent sciemment des informations à caractère personnel auprès d'enfants aux États-Unis. Ce mécanisme repose sur la désignation, au titre de la PPD-28, d'un coordinateur chevronné (niveau de sous-secrétaire) au département d'État en tant que point de contact permettant aux gouvernements étrangers d'exprimer leurs préoccupations à propos des activités américaines de renseignement d'origine électromagnétique, mais la portée de ce mécanisme est beaucoup plus vaste que le concept initial. PRINCIPES DU CADRE «BOUCLIER DE PROTECTION DES DONNÉES UE-ÉTATS-UNIS» PUBLIÉS PAR LE MINISTÈRE AMÉRICAIN DU COMMERCE. Cette obligation n'empêche pas les organisations participant au bouclier de continuer à traiter des informations à caractère personnel pendant des périodes plus longues, mais uniquement aussi longtemps que, et dans la mesure où, ce traitement sert raisonnablement l'une des finalités spécifiques ci-après: l'archivage dans l'intérêt public, le journalisme, l'art et la littérature, ainsi que la recherche historique et l'analyse statistique. Ce comité est placé sous l'égide du directeur de l'Agence de sécurité nationale (National Security Agency, NSA), désigné par le décret exécutif no 12333 comme étant le «directeur fonctionnel du renseignement d'origine électromagnétique», responsable de la supervision et de la coordination du renseignement d'origine électromagnétique dans l'ensemble des services de renseignement sous la surveillance du ministre de la défense et du DNI. Le ministère supprimera une organisation de la liste du bouclier de protection des données si cette organisation se retire volontairement du bouclier de protection des données ou si elle manque à son obligation de recertification annuelle envers le ministère. Ces fonctions de contrôle sont en outre complétées par des exigences importantes en matière de rapport sur le non-respect de la conformité. À cet égard, les personnes non américaines seront traitées de la même façon que les personnes américaines, sur la base des procédures approuvées par le procureur général (93). Dans l'affaire FTC v. Karnani par exemple, la FTC a intenté en 2011 une action contre un site commercial basé aux États-Unis au motif que cette entreprise faisait croire aux consommateurs britanniques qu'elle était basée au Royaume-Uni, notamment en utilisant des noms de domaine en «.uk», en affichant ses prix en devise britannique et en se référant au système postal britannique (10). Conformément au droit en vigueur, dans un délai de 6 mois à compter de la décision constatant le niveau de protection adéquat, le ministère du commerce et la Commission européenne conviendront d'adopter un ensemble existant et bien établi de procédures arbitrales américaines (comme les procédures AAA ou JAMS) pour régir les procédures devant le panel du bouclier de protection des données, sous réserve des considérations suivantes: Un particulier peut lancer une procédure d'arbitrage contraignant moyennant le respect des conditions préalables à l'arbitrage exposées ci-dessus, en remettant une «notification» à l'organisation. Ces réunions annuelles permettront notamment d'examiner les questions d'actualité sur le fonctionnement, la mise en œuvre, la supervision et le contrôle de la mise en application du bouclier de protection des données, y compris les plaintes déférées au ministère par les APD et les résultats des contrôles de conformité exercés d'office, et pourront également porter sur les modifications législatives en la matière. Plus généralement, le quatrième amendement garantit le droit à une vie privée et à une dignité, et protège contre des actes arbitraires et intrusifs de la part de fonctionnaires de l'État (184). En vertu du principe «Accès» Par conséquent, les enquêtes menées dans le cadre de ces activités peuvent souvent être amenées à couvrir un éventail plus large d'acteurs éventuels («cibles») et une zone géographique plus étendue. Par ailleurs, les procédures de limitation et la PPD-28 établissent également des limites en ce qui concerne la durée pendant laquelle des données obtenues au titre de la section 702 peuvent être conservées (27). Toute fausse déclaration au ministère peut donner lieu à des poursuites au titre de la loi sur les fausses déclarations (18 U.S.C., § 1001). (31)  Les personnes concernées ne pourront pas s'opposer au transfert lorsque les données à caractère personnel sont transférées à un tiers agissant en tant que mandataire chargé d'effectuer des travaux pour le compte et selon les instructions de l'organisation américaine. Chaque consent order adressée à une organisation participant au bouclier de protection des données contiendra des dispositions en matière de notification spontanée (51) et les organisations seront tenues de publier toute section du bouclier de protection des données se rapportant à un rapport de conformité ou d'évaluation soumis à la FTC. D'une part, la commission fédérale du commerce (Federal Trade Commission, FTC) s'est dotée d'un solide programme de protection de la vie privée et de sécurité des données couvrant les pratiques commerciales des États-Unis et protégeant les consommateurs dans le monde entier. Il existe des législations analogues au niveau des États. En ce qui concerne les limitations qui existent pour le remplacement de toutes les collectes en vrac par des collectes ciblées, voir les résultats d'une évaluation effectuée par le Conseil national de sécurité, rapportés par l'Agence des droits fondamentaux de l'Union européenne dans le document Surveillance by intelligence services: fundamental rights, safeguards and remedies in the EU (2015), p. 18. (26)  Voir également le principe complémentaire «Autocertification» (section III.6 de l'annexe II). L'Office veille en outre à ce que les ordonnances découlant d'affaires relatives au bouclier de protection des données soient publiées sur son site web. Le ministère mettra tout en œuvre pour informer la Commission de toute évolution importante de la législation aux États-Unis dans la mesure où cela concerne le bouclier de protection des données s'agissant du respect de la vie privée à l'égard du traitement des données et des restrictions et garanties applicables à l'accès aux données à caractère personnel par les autorités publiques américaines et l'utilisation ultérieure de ces données. (5)  Voir California Dental Ass'n v. FTC, 526 U.S. 756 (1999). Des procédures seront mises en place afin que la même violation invoquée par une personne ne fasse pas l'objet de plusieurs recours ou procédures. § 552. Les rapports que l'inspecteur général du ministère de la justice a rendus publics sont disponibles à l'adresse http://oig.justice.gov/reports/all.htm. La Cour de justice a critiqué le fait que la décision 2000/520/CE ne comportait pas de constatations suffisantes quant à, d'une part, l'existence, aux États-Unis, de règles à caractère étatique destinées à limiter les éventuelles ingérences dans les droits fondamentaux des personnes dont les données sont transférées depuis l'Union vers les États-Unis, ingérences que des entités étatiques de ce pays seraient autorisées à pratiquer lorsqu'elles poursuivent des buts légitimes, tels que la sécurité nationale, et, d'autre part, l'existence d'une protection juridique efficace contre des ingérences de cette nature (13). Le SIGCOM est constitué de représentants de toutes les composantes des services de renseignement et, dès que les États-Unis auront pleinement mis en œuvre la PPD-28, inclura également une représentation à part entière des autres ministères et agences ayant un intérêt stratégique dans le renseignement d'origine électromagnétique. Par exemple: Les hauts responsables ministériels sont tenus de valider chaque année leurs exigences en matière de renseignement d'origine électromagnétique. Le 17 janvier 2014, le président Obama a prononcé un discours annonçant d'importantes réformes en matière de renseignement. Dans le cadre de cette option d'arbitrage, le panel du bouclier de protection des données (composé d'un ou de trois arbitres, comme convenu par les parties) est habilité à imposer une mesure de réparation équitable non pécuniaire propre à chaque personne (par exemple l'accès, la correction, la suppression ou la restitution des données concernées de cette personne) nécessaire pour remédier à la violation des principes uniquement en ce qui concerne cette personne. Opinion and Order at 26 (FISC 2014), disponible à l'adresse http://www.dni.gov/files/documents/0928/FISC%20Memorandum%20Opinion%20and%20Order%2026%20August%202014.pdf. (A)(4), (B)(4); document de la CIA, p. 6: Signals Intelligence Activities (Activités des services de renseignement d'origine électromagnétique), p. 6 (Contrôle concernant le respect des principes) et p. 8 (Responsabilités). Il ressort des informations disponibles, notamment des observations reçues de la part des autorités américaines, qu'une fois que les données ont été transférées à des organismes établis aux États-Unis et autocertifiés, dans le cadre du bouclier de protection des données UE-États-Unis, les agences américaines de renseignement ne pourront chercher (78) à avoir accès à des données à caractère personnel que si leur demande est conforme à la loi sur la surveillance et le renseignement étranger (FISA) ou qu'elle émane du Bureau fédéral d'enquête (FBI) agissant sur le fondement d'une lettre dite de sécurité nationale (79). Tant les organisations que les instances de recours indépendantes compétentes sont tenues de répondre rapidement aux questions et aux demandes formulées par le ministère du commerce pour les informations qui ont trait au bouclier de protection des données. Les priorités du NIPF sont formulées à un niveau de généralité relativement élevé. § 1803 (a)]; PCLOB, rapport sur l'article 215, p. 174 à 187. Dans le deuxième cas, le panel en informera le ministère du commerce, qui considérera le refus de l'organisation de se conformer à l'avis du panel d'APD comme une non-conformité persistante, ce qui entraînera le retrait de l'organisation de la liste du bouclier de protection des données. Des ordonnances par consentement sur vingt ans imposent à Google, Facebook et Myspace de mettre en œuvre des programmes complets de protection de la vie privée qui doivent être raisonnablement conçus pour lutter contre les risques pour la vie privée liés au développement et à la gestion de produits et services nouveaux et existants et pour protéger la vie privée et la confidentialité des informations à caractère personnel. L'organisation responsable de la concrétisation des priorités du NIPF sous la forme d'activités réelles de collecte de renseignements d'origine électromagnétique s'appelle le comité national du renseignement d'origine électromagnétique (National Signals Intelligence Committee, SIGCOM). 2.2. (93)  Voir l'article 4(a)(i) de la PPD-28 et la section 2.3 de l'E.O. Loi sur la confidentialité des communications électroniques (Electronic Communications Privacy Act ou ECPA): d'autres règles régissent l'accès des pouvoirs publics aux informations d'abonnement, données de trafic et contenus de communications enregistrés par des compagnies de téléphone fournissant un accès internet et d'autres fournisseurs de services tiers, conformément au titre II de l'ECPA, également appelée loi sur les communications enregistrées (Stored Communications Act, SCA) (18 U.S.C. Tout d'abord, il constitue un ensemble important de mesures de protection de la vie privée pour les données des citoyens de l'Union européenne. Lorsque l'autorité répressive n'a plus besoin d'utiliser les éléments saisis en tant que preuves, elle a l'obligation de les restituer (185). L'étude relative à la mise en œuvre des principes de la «sphère de sécurité», qui figure en annexe de la décision de la Commission européenne relative à la pertinence de la protection assurée par les principes de la «sphère de sécurité», offre une synthèse de l'essentiel des lois de protection de la vie privée en vigueur au niveau fédéral et au niveau des États au moment où le programme de la sphère de sécurité a été adopté en 2000 (5). Ils sont exclusivement destinés aux organisations établies aux États-Unis recevant des données à caractère personnel en provenance de l'Union européenne et doivent permettre à ces organisations de remplir les conditions relatives au bouclier de protection des données et de bénéficier ainsi de la décision de la Commission constatant l'adéquation du niveau de protection (1). (13)  Au cours des exercices fiscaux 2012 à 2015, par exemple, la FTC a fait usage de ses compétences au titre de la loi US SAFE WEB pour échanger des informations en réponse à près de 60 demandes émanant d'agences étrangères, et elle a émis près de 60 demandes d'enquêtes civiles (équivalentes à des citations à comparaître administratives) en vue de contribuer à 25 enquêtes étrangères. Dans ce cas cependant, l'organisation doit toujours conclure un contrat avec le mandataire concerné. De même, la Cour suprême rappelle régulièrement que «la règle constitutionnelle la plus élémentaire dans ce domaine veut que les perquisitions effectuées en dehors d'une procédure judiciaire, sans approbation préalable d'un juge ou d'un magistrat, ont en soi un caractère déraisonnable en vertu du quatrième amendement, qui prévoit uniquement quelques exceptions bien définies et spécifiquement constatées». On retrouve les mesures de protection prévues par le cadre du bouclier de protection des données UE-États-Unis (ci-après, le «cadre») parmi les mesures plus générales de protection de la vie privée mises en place par le système juridique américain dans son ensemble. Comme indiqué à l'annexe I, un particulier peut opter pour l'arbitrage en vue de déterminer, pour les plaintes résiduelles, si une organisation adhérant au bouclier de protection des données n'a pas satisfait à ses obligations au titre des principes envers ce particulier et si cette infraction reste entièrement ou partiellement sans réparation.