La CJUE va analyser la légalité des transferts de données de Facebook aux États-Unis

Facebook a jusqu'au 30 avril pour faire appel

Dans le cadre d'une bataille juridique de cinq ans impliquant Max Schrems, activiste autrichien pour la protection de la vie privée, la Haute Cour irlandaise a officiellement posé une série de onze questions à la Cour de justice de l'Union européenne (CJUE) afin de déterminer s'il est légal, en vertu du droit européen, que Facebook transfère régulièrement des données d'utilisateurs aux États-Unis.

Les transferts de données transfrontaliers font partie intégrante de l'activité des entreprises, que ce soit à des fins de ressources humaines, de transactions par carte de crédit ou de stockage des historiques de navigation, mais le transfert de données génère des incertitudes sur les mécanismes juridiques.

Le document de cinq pages de la Haute Cour demande à la Cour de justice de l'UE si Privacy Shield (l’ensemble des règles actuelles en vigueur régissant ces transferts), en vertu duquel les entreprises certifient qu'elles respectent la législation européenne en matière de protection des données lorsqu'elles transfèrent des données aux États-Unis, signifie que les États-Unis assurent un niveau de protection adéquat.

Il faut rappeler que la législation de l'UE sur la protection des données interdit le transfert de données personnelles vers un pays où la protection de la vie privée est inadéquate.

Facebook a jusqu'au 30 avril pour déposer une demande pour bloquer cette procédure. Paul Gallagher, un avocat de l’entreprise américaine, a déclaré qu'il envisageait de demander un délai ou un éventuel recours.


Si la CJUE se prononce contre Facebook, cela pourrait provoquer une réaction de nombreuses grandes enseignes technologiques américaines qui pourraient tout faire pour éviter d’être dans la même position que Facebook. À l'heure actuelle, les utilisateurs européens de Twitter, Google et Facebook ont leurs données saisies dans leur pays d'origine, mais les données sont traitées et/ou stockées par les sociétés mères américaines.

Comme l'a noté la juge Caroline Costello dans le document : « [Schrems] déclare que ses données personnelles sont transmises par Facebook à Facebook Inc. aux États-Unis d'Amérique où ses données sont traitées. Facebook Inc. est tenue de mettre ses données personnelles à la disposition et/ou de les divulguer aux autorités des États-Unis telles que, par exemple, la National Security Agency (NSA) et le Federal Bureau of Investigation (FBI). Il allègue qu'il n'existe aucun recours juridictionnel permettant à la personne concernée de prendre les mesures appropriées pour protéger ses droits en matière de données personnelles. »

Facebook Ireland Limited à Dublin aurait été créé en grande partie pour des raisons d’optimisation fiscale.

Dans une déclaration envoyée aux journalistes, Schrems semblait optimiste quant à la décision de la CJUE de se prononcer en sa faveur.

« En termes simples, la loi américaine exige que Facebook aide la NSA avec une surveillance de masse et la législation européenne l'interdit », a-t-il écrit. « Comme Facebook est soumis aux deux juridictions, ils se sont retrouvés dans un dilemme juridique qu'ils ne peuvent pas résoudre à long terme à moins qu'ils ne divisent le service en deux ou abandonnent l'évasion fiscale en Irlande. »

Ce différend, vieux de plusieurs années, est particulièrement accentué dans le contexte actuel où Facebook est sous surveillance après qu'il est apparu que les informations personnelles de 87 millions d'utilisateurs, principalement aux États-Unis, ont pu être partagées de manière inappropriée avec le cabinet de conseil politique Cambridge Analytica.

Cette affaire a pris une telle proportion que le PDG de Facebook, Mark Zuckerberg, s’est vu contraint à des jours d’interrogatoire devant les législateurs américains. En outre, le nouveau règlement général sur la protection des données de l'UE, RGPD, devrait entrer en vigueur fin mai. Dans un tel contexte, Facebook sait bien qu’il sera sous les feux des projecteurs.

Sources : Reuters, demande transmise à la CJUE