Les États-Unis restreignent les flux de données vers les pays « préoccupants »

Cette limitation des transferts d’informations personnelles vers la Chine, la Corée du Nord, Cuba, l'Iran, la Russie et le Venezuela sera opérationnelle dans trois mois.

Le Département de la Justice des États-Unis (DoJ) a publié, le 27 décembre 2024, sa « règle finale » sur les restrictions de flux de données personnelles sensibles vers les pays
« préoccupants ». Ce texte encadre la mise en œuvre de l’executive order 14117, adopté en février 2024 par le président Joe Biden. Il vise la Chine (y compris Hong-Kong), la Corée du Nord, Cuba, l’Iran, la Russie et le Venezuela, et sera opérationnel d’ici trois mois.

Le DoJ veut ainsi s’assurer que « les données personnelles des Américains ne soient plus autorisées à être vendues à des puissances étrangères hostiles, que ce soit par achat direct ou par d’autres moyens d’accès commercial ». Cette règle finale établit notamment des seuils stricts pour les flux d’informations personnelles jugées critiques, en l’occurrence :

les données « génomiques » humaines (liées à l’ADN, à l’ARN…) ;
les identifiants biométriques ;
les données de géolocalisation précises ;
les données personnelles de santé ;
les données financières personnelles ;
« certains identifiants personnels ».

Le texte comporte également un large volet administratif sur les licences, protocoles et déclarations obligatoires encadrant ces flux. La règle finale n’impose en revanche aucune contrainte sur la localisation géographique des données sensibles, y compris celles liées au gouvernement des États-Unis.