Si vous estimez que l’entreprise, association ou organisation américaine adhérant à l’EU-U.S. DPF vers laquelle les données ont été transférées ne respecte pas les principes du cadre de protection des données UE-États-Unis ou que vos droits ne sont pas respectés par eux, vous disposez de plusieurs moyens de recours (en plus de la réclamation auprès de la CNPD à l’encontre de l’entreprise luxembourgeoise ou européenne qui a transféré vos données).
1. Contacter directement l’entreprise, association ou organisation américaine
Après vérification que l’entreprise, association ou organisation américaine se trouve dans la liste des entités certifiées sous l’EU-U.S. DPF, vous pouvez la contacter directement pour soumettre votre réclamation. Vous pouvez trouver les informations de contact de l’entité américaine en ouvrant la page dédiée à l’entité dans la liste des entités américaines certifiées sous l’angle « Dispute Resolution ».
L’entité a ensuite l’obligation de vous répondre sur votre réclamation endéans les 45 jours après sa réception.
2. Contacter un organe indépendant de résolution des litiges, si désigné par l’entreprise
Si l’entreprise, association ou organisation américaine a indiqué dans la partie « Dispute résolution » dans la liste des entités certifiées la possibilité d’un recours envers un organe indépendant de résolution des litiges, vous pouvez adresser votre réclamation à cet organisme. Vous trouverez les informations de contact de cet organe sur la page dédié à l’entité dans la liste des entités américaines certifiés sous l’angle « Dispute Resolution ».
La procédure de traitement de votre réclamation suit ensuite les règles établit par ces organes.
3. Saisir l’autorité américaine compétente
Vous avez également la possibilité de saisir l’autorité américaine compétente pour les recours à l’encontre des entreprises, associations ou organisations américaines certifiées sous l’UE-U.S. DPF. Les autorités compétentes sont la Commission Fédérale du Commerce (Federal Trade Commission - FTC) et dans certain cas, également le Ministère du Transport (U.S. Department of Transportation – DoT). L’autorité américaine compétente est indiquée sur la page dédié à l’entité américaine dans la liste des entités américaines certifiées sous l’angle « Dispute Resolution ».
Pour de plus amples informations sur la soumission de votre réclamation vous pouvez consulter les FAQs – EU–U.S. Data Privacy Framework (EU–U.S. DPF) publié sur le site officiel américaine sous le rubrique « How to Submit a Complaint Relating to a Participating Organization’s Compliance with the DPF Principles ».
4. Saisir une autorité européenne de protection des données
Vous pouvez également adresser une réclamation à une autorité de protection des données personnelles européenne (par exemple, la CNPD).
Pour introduire une telle réclamation à la CNPD, vous devez d’abord remplir et soumettre le formulaire de réclamation au titre du Data Privacy Framework contre l’entreprise, association ou organisation américaine [ formulaire de réclamation en français ; formulaire de réclamation en anglais]. Ensuite, vous devez soumettre le formulaire rempli et signe via la plateforme Seezam.
Après vérification par la CNPD de la complétude et de la recevabilité de votre dossier, celui-ci sera traité par les autorités compétentes :
- S’il s’agit d’un traitement des données personnelles en matière de ressources humaines ou lorsque les autorités de protection des données personnelles de l’UE ont été désignées en tant qu’organe indépendant de résolution des conflits par l’entité, l’association ou l’organisme certifié sous l’EU-US DPF, la réclamation sera traitée par le panel informel d’autorités de l’UE.
- Dans les autres cas, la CNPD transmettra la réclamation à l’autorité américaine compétente pour la traiter (selon les cas : Department of Commerce’s International Trade Administration, Federal Trade Commission ou U.S. Department of Transportation).