Invalidation du Privacy Shield

Qu'est-ce que l'invalidation du bouclier de protection des données (“Privacy Shield”)?

Le 16 juillet dernier, la Cour de justice de l'Union européenne (CJUE) a invalidé le bouclier de protection des données, plus connu sous le nom “Privacy Shield” entre l'UE et les États-Unis en statuant dans l'affaire Facebook Ireland v. Schrems (Schrems II), stipulant que le mécanisme de transfert du bouclier de protection des données ne garantit pas le respect du niveau de protection requis par le droit européen et notamment le règlement général sur la protection des données (“RGDP”).

Malgré cette décision, la CJUE réaffirme que l'exportateur de données (par exemple le client lorsqu'il s'agit de transférer les données des candidats vers la plateforme SmartRecruiters) et l'importateur de données (par exemple SmartRecruiters) sont toujours chargés de garantir un niveau de protection adéquat des données à caractère personnel.

La CJUE a également examiné la validité de la décision 2010/87/CE de la Commission européenne relative aux clauses contractuelles types (sous-traitants) (“Clauses Contractualles Types Sous-Traitants”) et l'a déclarée valide.

L'arrêt peut être consulté ici et le communiqué de presse ici. En outre, vous pouvez trouver le FAQ du Comité européen de la protection des données ici.

Que signifie cette décision ?

Les entreprises certifiées au titre du bouclier de protection des données personnelles (“Privacy Shield”) doivent envisager des mécanismes alternatifs, comme les clauses contractuelles types, aux fins de pouvoir exporter les données personnelles de l'Union européenne vers les États-Unis.

La société SmartRecruiters est-elle certifiée “Privacy Shield” ?

Oui, la société SmartRecruiters est certifiée Privacy Shield (bouclier de protection des données).

SmartRecruiters s'appuie-t-elle sur ce bouclier de protection des données (“Privacy Shield”) pour ses propres sous-traitants ?

En plus de sa certification Privacy Shield, la société SmartRecruiters, Inc. a également implémenté et signé les Clauses Contractuelles Types (sous-traitants) avec ses sous-traitants pour assurer sa conformité avec le RGPD. Les clauses contractuelles types ont également été signées entre SmartRecruiters, Inc. et ses filiales européennes.

SmartRecruiters a-t-elle mise en place les clauses contractuelles types ou tout autre mécanisme de transfert avec ses fournisseurs ou ses autres entités juridiques de SmartRecruiters aux États-Unis qui peuvent recevoir ou accéder aux données personnelles des clients de l'Espace Économique Européen ?

Comme indiqué dans la question ci-dessus, SmartRecruiters a mis en œuvre et signé les Clauses Contractuelles Types avec ses sous-traitants, y compris ses sociétés affiliées, afin de garantir la conformité à la législation européenne en matière de protection des données.

Comment SmartRecruiters peut-elle garantir la conformité à ses clients dans l'ère post-bouclier de protection des données (“post Privacy Shield”) ?

Au cours des dernières années, nous avons offert à nos clients la possibilité de signer les Clauses Contractuelles Types (sous-traitant), clauses faisant partie intégrante de l'accord sur le traitement des données (DPA) garantissant ainsi la conformité au RGPD. Si vous n'avez pas encore signé le DPA et les Clauses Contractuelles Types et que vous souhaitez le faire, vous pouvez y accéder ici.

Dans un scénario où les Clauses Contractuelles Types seraient également invalidées, quelles seraient les mesures correctives ?

Dans une telle situation, SmartRecruiters prendra les mesures nécessaires pour garantir le respect de la législation européenne sur la protection des données.

Les clients qui ont signé un contrat avec SmartRecruiters, Inc. sont-ils actuellement en conformité ?

Oui, car la base légale pour l'exportation de données dans notre DPA est basée sur les Clauses Contractuelles Types. Tant que vous avez signé notre DPA standard, y compris les Clauses Contractuelles Types, vous êtes en conformité.

SmartRecruiters et ses sous-traitants ont-ils fait l'objet de demandes d'accès à ces données de la part des services de renseignement américains (NSA, CIA, FBI) au cours des deux dernières années ? Si oui, à quelle fréquence ?

D'après nos informations, cela n'a jamais été le cas. Cependant, pour nous en assurer, nous sommes en train de vérifier et d'interroger l'ensemble de nos sous-traitants. Nous serons en mesure de fournir des informations plus précises dans les semaines à venir.

Quelles sont les prochaines étapes pour SmartRecruiters ?

Nous procédons à un audit de tous nos sous-traitants afin de nous assurer du respect des nouvelles exigences de la CJUE.