Envoyer par email
Qu’est-ce qui change pour les utilisateurs suisses ?
Probablement pas grand-chose. Le choix d’un droit applicable dans la relation entre les parties n’exclut pas pour autant l’application d’autres dispositions dites de droit impératif, qu’il s’agisse du droit américain où sont les serveurs ou de droit suisse où se trouve l’utilisateur (et maintenant le prestataire de service). Ainsi déjà avant cette modification, des normes de droit suisse pouvaient être applicables et après cette modification des normes de droit américain continueront à s’appliquer. Il n’est pas possible de cloisonner complètement un service proposé de manière internationale via Internet.
Pour les utilisateurs suisses, la loi suisse sur la protection des données s’appliquait déjà avant cette modification car il y avait un traitement de données en Suisse (collecte et accès aux données, etc.). La notion de traitement de données (qui fonde l’application de la loi suisse) est en effet très large et inclut déjà la simple consultation ou l’enregistrement de données. Autrement dit, stocker ses données dans un pays tiers et les consulter depuis la Suisse implique le respect du droit de ces deux pays.
La principale nouveauté est certainement que dans le cas d’un litige entre Evernote et un utilisateur, le for est désormais prévu à Zurich (seulement après l’échec d’une procédure d’arbitrage…). Cela concerne uniquement les procédures civiles (et pour autant qu’une loi particulière ne donne pas un choix supplémentaire à l’utilisateur). Une plainte pénale peut en principe toujours être déposée au lieu où l’infraction est commise (indépendamment de la volonté de parties).
Qu’est-ce qui change pour les autres utilisateurs ?
La nouveauté est en revanche pour les ressortissants d’autres pays car la loi suisse protège également les données des entreprises (comme l’Italie, le Liechtenstein et l’Autriche). En ce sens il s’agit d’une vraie garantie supplémentaire introduite par Evernote.
Evernote doit désormais respecter cette protection des données d’entreprise car la loi suisse sur la protection des données lui impose de prendre les mesures adéquates pour assurer le respect du niveau de protection suisse à l’étranger lors qu’elle y exporte des données (ou avoir un consentement explicite de l’utilisateur, ce qui n’est apparemment pas le cas). Evernote a adhéré au Safe Harbor (accord américano-suisse au regard duquel les entreprises américaines peuvent s’engager à respecter certaines principes fondamentaux de protection des données), mais cela ne couvre pas les données d’entreprises. Evernote doit donc intégrer dans ses règles internes des garanties que le niveau légal de protection suisse sera assuré aussi aux USA.
Sauf si le droit national prévoit autre chose, les utilisateurs devraient agir en justice à Zurich et appliquer le droit suisse. De manière générale, les utilisateurs qui ne sont ni en Suisse, ni aux USA, ni au Canada verront s’appliquer leur droit national (lorsqu’il prévoit des dispositions impératives par exemple en matière de protection des données ou de protection des consommateurs), le droit suisse (comme convenu entre les parties) et le droit du lieu où les données sont traitées (principalement en Californie).
Qu’est-ce qui ne change pas ?
Quel que soit le droit choisi entre les parties, le lieu où des données sont stockées joue un rôle déterminant car c’est le droit de ce lieu qui sera appliqué si l’Etat (voire dans certains cas un tiers) demande à accéder aux données. En l’occurrence ce sera principalement les droits californien et américain qui fixeront les conditions auxquelles une autorité pourra accéder aux données. Le choix du droit suisse ne pourra pas l’empêcher. Si Evernote voulait répondre aux craintes des Européens que le Gouvernement américain n’utilise le Patriot Act pour accéder aux données, c’est raté. Ceci dit, il y a également beaucoup d’autres lois que le Patriot Act qui permettent à une autorité d’obtenir des données…
Si on lit la politique de confidentialité, on voit que l’utilisateur autorise de toute façon Evernote à transmettre des informations lorsque la société pense (sic) qu’il est nécessaire d’enquêter, de prévenir ou de prendre des mesures concernant des activités illégales ou pour se conformer aux lois applicables, y compris les mandats, ordonnances des tribunaux ou autres procédures judiciaires. Conformément au droit suisse et européen, l’utilisateur donne son consentement pour certains cas de transmission de ses données, même si les cas visés sont larges. Quoiqu’il en soit la présence sur sol américain des serveurs donne le droit aux autorités locales accéder aux données hébergées si le droit local le prévoit.
En résumé, on peut saluer le fait que le service soit proposé par une entité suisse et que les tribunaux et le droit suisse soient retenus. En revanche, et indépendamment de la volonté de la société et de l’utilisateur, il n’est pas possible d’isoler juridiquement en Suisse un service proposé depuis et à l’étranger, le droit du lieu où les données sont traitées étant également applicable (qu’il s’agisse du lieu où les données sont stockées ou du lieu où se trouve l’utilisateur).
