Le Parlement européen sanctionné pour transfert de données hors de l’UE

L’EDPS rappelle à l’ordre le Parlement européen pour avoir mis en ligne un site Internet qui autorisait l’envoi des données personnelles hors de l’Union européenne, aux États-Unis.

En septembre 2020, le Parlement européen a lancé un site web à destination des députés et de ses employés, permettant de réserver des tests de Covid-19. Au cours de l’année 2021, six députés européens ont déposé des plaintes contre le site pour non-respect du RGPD.

En effet, le site imposait la présence de cookies tiers sans le consentement des utilisateurs et, surtout, ne disposait pas d’un protocole empêchant Google Analytics et Stripe de transférer les données personnelles des utilisateurs vers les États-Unis – en contradiction avec la décision Schrems II rendue par la Cour de justice de l’Union européenne (CJUE), en juillet 2020, qui invalidait le Privacy Shield.

Après enquête, l’EDPS (European Data Protection Supervisor), le gendarme européen de la protection des données, a estimé que le Parlement était responsable de ces manquements et l’a sanctionné d’un avertissement, assorti d’une obligation de régler tous les problèmes dans un délai d’un mois.