DSB Autriche : Schrems & Transferts de Données
La Datenschutzbehörde (DSB) d'Autriche est l'autorité de contrôle de référence pour NOYB. NOYB signifie None of Your Business. Max Schrems a fondé l'organisation. Elle a déposé plus de 1 000 plaintes RGPD depuis 2018. La DSB a traité 422 de ces dossiers entre 2022 et 2024.
Ce bilan est important. La DSB se trouve au cœur de deux batailles juridiques qui ont déjà reconfiguré le droit des transferts de l'UE.
NOYB et la DSB : Un Schéma Récurrent
Schrems I (2015) : Schrems a déposé une plainte contre les flux UE-États-Unis de Facebook. La CJUE a annulé le Safe Harbor. Plus de 4 000 entreprises utilisaient ce cadre.
Schrems II (2020) : Un second recours a visé le Privacy Shield. Plus de 5 000 entreprises s'en remettaient à lui. Son annulation a imposé de nouvelles négociations. Le résultat est le Cadre de protection des données UE-États-Unis (DPF). Le DPF est entré en vigueur en 2023.
Schrems III anticipé (2025–2026) : NOYB a contesté la décision d'adéquation du DPF. Son argument : la Section 702 du FISA est toujours incompatible avec le RGPD. Un renvoi à la CJUE est attendu.
78 % des affaires DSB portent sur des transferts transfrontaliers ou des outils tiers. Cette priorité distingue les autorités autrichiennes des autres régulateurs européens.
La Décision DSB sur Google Analytics
La décision de la DSB de janvier 2022 sur Google Analytics a fixé le modèle pour les affaires de transfert.
Trois conclusions clés en sont issues :
- Les adresses IP sont des données personnelles. Même des IP tronquées peuvent permettre une réidentification dans les systèmes Google. Les données de session aggravent le problème.
- L'accès d'un prestataire américain constitue un transfert. Lorsque des ingénieurs américains peuvent atteindre les données des utilisateurs européens, cet accès est un transfert au sens du RGPD. Cela couvre le support, la maintenance et les ordres légaux.
- Les SCCs sans TIA ne suffisent pas. Les Clauses Contractuelles Types exigent une Évaluation d'Impact sur le Transfert. La TIA doit montrer que les lois de surveillance américaines n'annulent pas les protections des SCC.
La DSB a déclaré l'opérateur autrichien du site responsable — pas Google. L'opérateur était le responsable du traitement. Cela s'applique à chaque entreprise de l'UE qui intègre des scripts tiers. Voir notre guide de conformité RGPD pour les obligations du responsable.
Mesures Techniques Supplémentaires
Après Schrems II, le CEPD a publié des orientations sur les mesures techniques supplémentaires. Elles s'appliquent quand les SCC seules sont insuffisantes. La DSB applique ces orientations.
Trois approches passent le contrôle de la DSB :
Chiffrement avec clés détenues dans l'UE. Chiffrer les données avant qu'elles quittent l'UE. Garder les clés de déchiffrement dans l'UE. Si les autorités américaines contraignent le prestataire à remettre des fichiers, ils obtiennent un texte chiffré illisible.
Pseudonymisation avant le transfert. N'envoyer que des jetons pseudonymes à l'étranger. Conserver la clé de réidentification dans l'UE. Les fichiers transférés ne contiennent aucune information personnelle directe.
Traitement local. Effectuer tout traitement sur des serveurs hébergés dans l'UE. Ne transférer que des statistiques agrégées et vraiment anonymes. Aucune donnée personnelle ne franchit les frontières.
La DSB l'a confirmé. Les groupes utilisant des prestataires SaaS américains pour des données personnelles de l'UE doivent appliquer au moins l'une de ces approches. Ou prouver que le contenu transféré est vraiment anonyme.
Le Risque Schrems III
Les entreprises qui ne s'appuient que sur le DPF font face à un risque clair. Si le recours NOYB devant la CJUE aboutit, ces firmes doivent trouver de nouveaux outils de transfert rapidement. C'est exactement ce qui s'est passé en 2015 et 2020.
Les groupes utilisant des mesures techniques supplémentaires sont protégés. Si le contenu est vraiment anonyme, aucun transfert RGPD n'a lieu. Une invalidation du DPF ne change rien pour eux.
Pour les opérations autrichiennes : les outils d'analyse (Google Analytics, Mixpanel, Amplitude) créent tous une exposition DSB. Les CRM avec des sociétés mères américaines (Salesforce, HubSpot) également. Les plateformes cloud où le personnel américain détient un accès administrateur portent le même risque.
La solution est identique dans chaque cas. S'assurer que les données personnelles sont vraiment anonymes avant d'atteindre le prestataire. Ou les chiffrer avec des clés que seul le responsable UE détient. Notre aperçu sécurité et conformité explique comment la conception zéro connaissance supprime le problème de transfert à la source.
Sources
- DSB : Autorité autrichienne de protection des données — VERIFIED-EXTERNAL
- NOYB : Contentieux stratégique — VERIFIED-EXTERNAL
- CJUE : Arrêt Schrems II C-311/18 (2020) — VERIFIED-EXTERNAL
- CEPD : Recommandations 01/2020 sur les mesures de transfert — VERIFIED-EXTERNAL