Transfert de données à caractère personnel des personnes européennes concernées vers les États-Unis

1. L’engagement d’Arthrex en faveur de transferts de données à caractère personnel sécurisés

Arthrex veille à ce que tous les transferts de données à caractère personnel à destination de notre entreprise soient pleinement conformes aux règlements pertinents sur la protection des données. La protection de vos données à caractère personnel est une priorité pour nous et nous restons attachés au respect des normes énoncées dans la Décision d’adéquation du cadre de protection des données entre l’Union européenne et les États-Unis.

Dans ses produits, systèmes et processus, Arthrex met en œuvre les garanties nécessaires afin de veiller à ce que les transferts ultérieurs de données à caractère personnel soient protégés par des normes très strictes.

Pour obtenir des informations sur la protection de vos données à caractère personnel au cours de leur transfert, veuillez consulter l’accord de traitement des données que nous stipulons avec vous, la politique de confidentialité d’Arthrex ou la politique de confidentialité spécifique qui vous a été remise dans le cadre du produit et du service que vous utilisez.

2. Transfert de données à caractère personnel vers les États-Unis

Arthrex se conforme à la décision d’adéquation du cadre de protection des données entre l’Union européenne et les États-Unis (cadre de protection UE-États-Unis), à l’extension de la décision d’adéquation du cadre de protection des données entre l’Union européenne et les États-Unis pour le Royaume-Uni et à la décision d’adéquation du cadre de protection des données entre la Suisse et les États-Unis (cadre de protection Suisse-États-Unis), telles qu’énoncées par le Département du commerce des États-Unis. Arthrex a certifié au Département du commerce des États-Unis sa mise en conformité aux principes de la décision d’adéquation du cadre de protection des données entre l’Union européenne et les États-Unis (Principes du cadre de protection UE-États-Unis) à l’égard du traitement des données à caractère personnel en provenance de l’Union européenne et du Royaume-Uni en se fondant sur le cadre de protection UE-États-Unis et sur l’extension du cadre de protection UE-États-Unis pour le Royaume-Uni. Arthrex a certifié au Département du commerce des États-Unis son adhésion aux principes de la décision d’adéquation du cadre de protection des données entre la Suisse et les États-Unis (Principes du cadre de protection Suisse-États-Unis) à l’égard du traitement des données à caractère personnel en provenance de Suisse en se fondant sur le cadre de protection Suisse-États-Unis. Dans l’éventualité d’un conflit entre les dispositions de la présente politique de confidentialité et les principes du cadre de protection UE-États-Unis et/ou les principes du cadre de protection Suisse-États-Unis, les principes prévaudront. Pour en savoir plus sur le cadre de protection des données et prendre connaissance de notre certification, veuillez consulter le site https://www.dataprivacyframework.gov/.

Les entités ou filiales américaines d’Arthrex ci-après respectent les principes de la décision d’adéquation du cadre de protection UE-États-Unis, notamment, le cas échéant, l’extension du cadre de protection UE-États-Unis pour le Royaume-Uni et les principes de la décision d’adéquation du cadre de protection Suisse-États-Unis, et sont couvertes par l’envoi du cadre de protection par Arthrex :

• Arthrex Inc. 1370 Creekside Blvd. Naples, Floride 34108 États-Unis (siège mondial)
• Arthrex Manufacturing Inc., 6875 Arthrex Commerce Dr., Ave Maria, FL 34142, États-Unis
• Arthrex California Technology, Inc., 460 Ward Drive, Santa Barbara, Californie 93111, États-Unis

Conformément aux principes de la décision d’adéquation du cadre de protection UE-États-Unis, à l’extension du cadre de protection UE-États-Unis pour le Royaume-Uni et aux principes de la décision d’adéquation du cadre de protection Suisse-États-Unis, Arthrex s’engage à transférer les réclamations non résolues concernant notre traitement des données à caractère personnel reçues en se fondant sur le cadre de protection UE-États-Unis, l’extension du cadre de protection UE-États-Unis pour le Royaume-Uni et le cadre de protection Suisse-États-Unis au Service DPF IRM de l’ICDR-AAA, prestataire chargé du règlement des litiges basé aux États-Unis. Si vous ne recevez pas de notre part en temps utile l’accusé de réception de votre réclamation en lien avec les principes de la décision d’adéquation du cadre de protection des données, ou si nous n’avons pas traité celle-ci à votre entière satisfaction, veuillez consulter le site https://go.adr.org/dpf_irm.html pour obtenir de plus amples informations ou pour déposer une réclamation. Les services de l’ICDR-AAA vous sont proposés gratuitement.

Conformément aux principes de la décision d’adéquation du cadre de protection UE-États-Unis, à l’extension du cadre de protection UE-États-Unis pour le Royaume-Uni et aux principes de la décision d’adéquation du cadre de protection Suisse-États-Unis, Arthrex s’engage à résoudre les réclamations en lien avec les principes de la décision d’adéquation du cadre de protection des données concernant notre collecte et notre utilisation de vos données à caractère personnel. Les personnes européennes et britanniques, ainsi que les personnes suisses qui ont des questions ou des réclamations concernant notre traitement des données à caractère personnel en se fondant sur les principes de la décision d’adéquation du cadre de protection des données UE-États-Unis, l’extension du cadre de protection des données UE-États-Unis pour le Royaume-Uni et les principes de la décision d’adéquation du cadre de protection des données Suisse-États-Unis doivent d’abord contacter Arthrex à l’adresse e-mail privacy@arthrex.com.

Arthrex demeure responsable conformément aux principes de la décision d’adéquation du cadre de protection des données UE-États-Unis, à l’extension du cadre de protection des données UE-États-Unis pour le Royaume-Uni et/ou aux principes de la décision d’adéquation du cadre de protection des données Suisse-États-Unis pour les tiers engagés qui traiteront les données à caractère personnel pour le compte d’Arthrex de manière non conforme aux principes, sauf si Arthrex prouve qu’elle n’est pas responsable de l’événement à l’origine du préjudice. Pour de plus amples informations sur le type ou l’identité des tiers et la finalité de la divulgation des données à caractère personnel par Arthrex, veuillez consulter le site https://privacy.arthrex.com/fr/notre-engagement-en-matiere-de-protection-de-la-confidentialite.

Arthrex est soumise aux pouvoirs d’enquête et d’application du droit de la Federal Trade Commission (FTC). Arthrex pourra être contrainte de divulguer les données à caractère personnel qu’elle traite au titre du cadre de protection des données en réponse à des obligations légales des pouvoirs publics, notamment pour se conformer aux exigences relatives à la sécurité nationale ou à l’application du droit.

Pour de plus amples informations sur le type ou l’identité des tiers et la finalité de la divulgation des données à caractère personnel par Arthrex, veuillez consulter le site https://privacy.arthrex.com/fr/notre-engagement-en-matiere-de-protection-de-la-confidentialite#Partage-des-donn-es-caract-re-personnel. Arthrex est responsable des transferts ultérieurs de données à caractère personnel.

Pour de plus amples informations sur les droits des personnes à accéder à leurs données à caractère personnel et à limiter leur utilisation et leur divulgation, veuillez consulter le site https://privacy.arthrex.com/fr/notre-engagement-en-matiere-de-protection-de-la-confidentialite#Quels-sont-vos-droits et la Politique de confidentialité d’Arthrex pour la région EMEA à l’adresse https://privacy.arthrex.com/fr/espace-economique-europeeen-eee.

3. Choix

Si les données à caractère personnel couvertes par cette Politique de confidentialité doivent être utilisées pour une nouvelle finalité qui est substantiellement différente de celle pour laquelle les données à caractère personnel ont été initialement collectées ou ultérieurement autorisées, ou doivent être divulguées à un tiers non habilité d’une manière non précisée par cette Politique de confidentialité, Arthrex vous offrira la possibilité de choisir si vous souhaitez que vos données à caractère personnel soient utilisées ou divulguées. Les demandes de retrait du consentement à de telles utilisations ou divulgations des données à caractère personnel doivent être envoyées à l’adresse privacy@arthrex.com.

Certaines données à caractère personnel, comme des informations de nature médicale ou sur l’état de santé, l’origine ethnique, les opinions politiques, les croyances religieuses ou philosophiques, sont considérées comme des « données à caractère personnel sensibles ». Arthrex n’utilisera pas les « données à caractère personnel sensibles » pour une finalité autre que celle pour laquelle elles ont été initialement collectées ou ultérieurement autorisées par la personne, sauf si Arthrex a reçu votre consentement.

4. Droits des personnes concernées

Toute personne dont les données à caractère personnel ont été communiquées à Arthrex a le droit d’obtenir la confirmation du traitement éventuel de ses données à caractère personnel. Dans ce contexte, une personne a le droit de demander à Arthrex de corriger toute donnée à caractère personnel inexacte et/ou de compléter toute donnée à caractère personnel incomplète ; le droit de demander l’effacement de certaines données à caractère personnel qui ne sont plus nécessaires au regard des finalités légitimes ; le droit de demander la limitation du traitement de certaines données à caractère personnel (p. ex. les données inexactes) et le droit à la portabilité des données. Une personne a également le droit de s’opposer à certaines activités de traitement de ses données à caractère personnel. Sous réserve de la réglementation nationale relative à la confidentialité, les personnes sont en droit d’introduire une réclamation auprès d’une autorité de contrôle.

En ce qui concerne les données à caractère personnel reçues ou transférées conformément au cadre de protection des données, si votre réclamation en lien avec celui-ci ne peut pas être résolue par les canaux ci-dessus, vous pouvez recourir, sous certaines conditions, à l’arbitrage exécutoire pour certaines réclamations résiduelles non résolues par d’autres mécanismes de recours. En ce qui concerne le transfert de données à caractère personnel vers les États-Unis et la contribution dans le cadre de protection des données, Arthrex arbitrera les réclamations et suivra les modalités définies dans l’Annexe I du cadre de protection des données disponible ici.

5. Évaluation de l’intérêt des autorités américaines pour les transferts de données à caractère personnel d’Arthrex

Outre la décision d’adéquation du cadre de protection des données UE–États-Unis, nous avons procédé à une évaluation exhaustive des risques liés aux transferts de données à caractère personnel d’Arthrex, en tenant compte des points suivants : la ou les finalités du transfert et du traitement des données à caractère personnel (p. ex. marketing, RH, stockage de données, support informatique, essais cliniques).

• Les types d’intervenants impliqués dans le traitement (p. ex. public/privé ; responsable du traitement/sous-traitant).
• Le secteur dans lequel le transfert se déroule (p. ex. médical, télécommunications, financier, etc).
• Les catégories de données à caractère personnel transférées (p. ex. les données à caractère personnel relatives aux enfants peuvent relever du champ d’application de la législation particulière dans le pays tiers).
• La possibilité que les données à caractère personnel soient stockées dans le pays tiers ou que l’accès aux données à caractère personnel stockées au sein de l’EEE se déroule uniquement à distance.
• Le format des données à caractère personnel qui seront transférées (p. ex. texte brut, pseudonymisées ou chiffrées).
• La possibilité que les données à caractère personnel soient soumises à des transferts ultérieurs entre deux pays tiers (ou au sein du même pays).

Ces éléments, et notamment la nature des données à caractère personnel transférées, étaye l’argument selon lequel il est peu probable que l’administration américaine tente d’acquérir les informations transférées. En sa qualité de société spécialisée dans les dispositifs médicaux, Arthrex n’opère pas dans un secteur hautement sensible en ce qui concerne les questions de sécurité nationale (p. ex. sous-traitance avec le Département de la défense, appui à la communauté du renseignement, sous-traitance avec les pouvoirs publics ou fourniture d’infrastructures essentielles). En revanche, les informations transférées par l’entreprise comportent habituellement les données à caractère personnel, la sécurité des systèmes de données, les identifiants des utilisateurs de formations en ligne, les informations des comptes d’utilisateur et les dossiers médicaux qui peuvent contenir des données à caractère personnel. Ces dossiers médicaux sont avant tout utilisés pour mettre au point des techniques et des instruments chirurgicaux spécifiques, surveiller le récupération du patient et ses progrès en postopératoire et, dans des cas limités, fournir un support technique pour les enregistrements de vidéos chirurgicales. Arthrex reçoit les données à caractère personnel de sa filiale européenne dans le but de soutenir ses activités commerciales habituelles, qui ne sont pas sensibles en termes de sécurité nationale ou de contre-espionnage. Les données à caractère personnel ne sont pas transférées vers d’autres pays depuis les États-Unis, et lorsqu’elles sont transmises aux États-Unis, elles sont soit envoyées dans un format chiffré, soit accessibles à distance dans des conditions sécurisées depuis les États-Unis. Arthrex n’a pas reçu de demandes de l’administration américaine concernant les données à caractère personnel traitées par Arthrex, et il est peu probable qu’elle en reçoive. Par conséquent, rien ne laisse raisonnablement présager que les données à caractère personnel traitées par Arthrex présentent un intérêt particulier pour la sécurité nationale.

6. Autres considérations

Le cas échéant, Arthrex stockera et traitera exclusivement les données à caractère personnel des personnes européennes concernées au sein de l’Union européenne. Dans ce cas, les données à caractère personnel ne sont pas conservées aux États-Unis, et l’accès auxdites données depuis les États-Unis repose sur le principe du besoin d’en connaître, par exemple, pour s’acquitter des demandes d’assistance du client, fournir une assistance spécifique en matière de sécurité ou procéder à un dépannage technique.

Le transfert des données à caractère personnel vers les États-Unis est effectué strictement selon les principes du besoin d’en connaître/du besoin réel conformément aux accords de traitement des données soulignant les mesures organisationnelles et techniques mises en place par Arthrex afin de protéger les données à caractère personnel des personnes européennes concernées.

Arthrex reconnaît que dans l’éventualité d’une injonction de fournir un accès aux données à caractère personnel aux autorités américaines, Arthrex serait dans l’obligation d’informer ses clients, leur permettant ainsi de mettre un terme au contrat qui nous lie et de cesser le transfert de données à caractère personnel à notre entreprise. Il est important de noter qu’Arthrex ne s’est jamais retrouvée dans l’obligation de devoir émettre une notification de ce genre, et sur la base de l’évaluation susmentionnée, il est hautement improbable qu’une telle situation se fasse jour à l’avenir.

7. Conclusion

Selon l’analyse exhaustive décrite ci-dessus, nous pouvons affirmer en toute confiance que le risque de préjudice pour les personnes concernées est infime. Cette conclusion s’appuie sur les mesures de protection et garanties rigoureuses mises en place par Arthrex, ainsi que sur l’éventualité hautement improbable de demandes d’accès aux données à caractère personnel de la part des autorités américaines en lien avec nos produits et services. Par conséquent, en tenant compte de ces éléments et conformément aux obligations légales pertinentes, nous pouvons affirmer que le risque de préjudice pour les personnes concernées est jugé insignifiant.

Indépendamment du faible risque d’exposition concernant le transfert des données à caractère personnel des personnes européennes concernées aux États-Unis, Arthrex est absolument déterminée à maintenir la conformité aux principes et aux garanties visées dans la décision d’adéquation du cadre de protection des données entre l’Union européenne et les États-Unis et à l’ensemble des règlements, ainsi qu’aux bonnes pratiques en matière de protection des données. En faisant respecter ces normes, nous garantissons le transfert sécurisé et licite des données à caractère personnel, démontrant ainsi notre engagement inébranlable vis-à-vis de la protection de la confidentialité de nos clients.