Maximillian Schrems, ressortissant autrichien résidant en Autriche, est un utilisateur de Facebook depuis 2008. Comme pour les autres utilisateurs résidant dans l’Union, les données à caractère personnel de Schrems sont, en tout ou en partie, transférées par Facebook Ireland vers des serveurs appartenant à Facebook Inc., situés sur le territoire des États-Unis, où elles font l’objet d’un traitement. Schrems a déposé une plainte auprès de l’autorité irlandaise de contrôle, visant, en substance, à faire interdire ces transferts. Il a soutenu que le droit et les pratiques des États-Unis n’offrent pas de protection suffisante contre l’accès, par les autorités publiques, aux données transférées vers ce pays. Cette plainte a été rejetée, au motif notamment que la Commission avait constaté que les États-Unis assuraient un niveau adéquat de protection. Par un arrêt rendu le 6 octobre 2015, la Cour de justice de l'UE, saisie d’une question préjudicielle posée par la High Court (Haute Cour, Irlande), a jugé cette décision invalide. C'est ainsi qu'elle a décidé le 6 octobre 2015 d'annuler l'accord « Safe Harbor » qui organisait une partie du transfert des données entre l’Union européenne et les États-Unis. Cet accord a été remplacé en 2016 par « Privacy Shield ».
Puis vient le règlement général relatif à la protection des données (RGPD) qui dispose que le transfert de telles données vers un pays tiers ne peut, en principe, avoir lieu que si le pays tiers en question assure un niveau de protection adéquat à ces données. Selon ce règlement, la Commission peut constater qu’un pays tiers assure, en raison de sa législation interne ou de ses engagements internationaux, un niveau de protection adéquat. En l’absence d’une telle décision d’adéquation, un tel transfert ne peut être réalisé que si l’exportateur des données à caractère personnel, établi dans l’Union, prévoit des garanties appropriées, pouvant notamment résulter de clauses types de protection des données adoptées par la Commission, et si les personnes concernées disposent de droits opposables et de voies de droit effectives. Par ailleurs, le RGPD établit, de manière précise, les conditions dans lesquelles un tel transfert peut avoir lieu en l’absence d’une décision d’adéquation ou de garanties appropriées.
Maximillian Schrems décrie également le nouvel accord « Privacy Shield » et tente en 2018 un recours collectif au nom des consommateurs contre Facebook. Il indiquait alors que Facebook violait les lois sur la vie privée en transmettant certaines données aux services de renseignement américains.
La Cour estime, tout d’abord, que le droit de l’Union, et notamment le RGPD, s’applique à un transfert de données à caractère personnel effectué à des fins commerciales par un opérateur économique établi dans un État membre vers un autre opérateur économique établi dans un pays tiers, même si, au cours ou à la suite de ce transfert, ces données sont susceptibles d’être traitées à des fins de sécurité publique, de défense et de sûreté de l’État par les autorités du pays tiers concerné. Elle précise que ce type de traitement de données par les autorités d’un pays tiers ne saurait exclure un tel transfert du champ d’application du RGPD.
En ce qui concerne le niveau de protection requis dans le cadre d’un tel transfert, la Cour juge que les exigences prévues à cet effet par les dispositions du RGPD, qui ont trait à des garanties appropriées, des droits opposables et des voies de droit effectives, doivent être interprétées en ce sens que les personnes dont les données à caractère personnel sont transférées vers un pays tiers sur le fondement de clauses types de protection des données doivent bénéficier d’un niveau de protection substantiellement équivalent à celui garanti au sein de l’Union par ce règlement, lu à la lumière de la Charte. Dans ce contexte, elle précise que l’évaluation de ce
niveau de protection doit prendre en compte tant les stipulations contractuelles convenues entre l’exportateur des données établi dans l’Union et le destinataire du transfert établi dans le pays tiers concerné que, en ce qui concerne un éventuel accès des autorités publiques de ce pays tiers aux données ainsi transférées, les éléments pertinents du système juridique de celui-ci.
La Cour de justice de l'UE a donc décidé d'annuler à son tour l'accord « Privacy Shield ». Ce dispositif est utilisé par la quasi-totalité des grandes entreprises américaines pour traiter les données personnelles (identité, comportement en ligne, géolocalisation…) de leurs utilisateurs européens. Très strictement réglementée en Europe, l’utilisation de ces données est moins encadrée aux États-Unis ; pour permettre aux entreprises américaines de les utiliser, le Privacy Shield prévoyait une dérogation, à condition qu’elles s’engagent à respecter certaines mesures.
Les clauses contractuelles restent valides
La cour a cependant confirmé la validité d’un autre mécanisme de transfert de données vers des sous-traitants établis dans des pays tiers, baptisé « clauses contractuelles types ». Ce mécanisme permet à des entreprises de se conformer à la loi européenne en s’engageant, individuellement, à respecter certaines précautions sur l’usage des données de leurs utilisateurs européens. La CJUE souligne cependant que les autorités de protection de la vie privée doivent suspendre ou interdire les transferts hors de l’UE si la protection des données ne peut être assurée.
La décision de la justice européenne ne concerne pas les transferts de données jugés « nécessaires » – par exemple le contenu d’un e-mail envoyé aux États-Unis. La Cour a par ailleurs, conformément aux conclusions de l’avocat général, validé une autre décision de la Commission européenne, sur la légalité des « clauses contractuelles » en matière de transfert de données.
« Selon la Cour, la validité de cette décision n’est pas remise en cause par le seul fait que les clauses types de protection des données figurant dans celle-ci ne lient pas, en raison de leur caractère contractuel, les autorités du pays tiers vers lequel un transfert des données pourrait être opéré. En revanche, précise-t-elle, cette validité dépend du point de savoir si ladite décision comporte des mécanismes effectifs permettant, en pratique, d’assurer que le niveau de protection requis par le droit de l’Union soit respecté et que les transferts de données à caractère personnel, fondés sur de telles clauses, soient suspendus ou interdits en cas de violation de ces clauses ou d’impossibilité de les honorer. La Cour constate que la décision 2010/87 met en place de tels mécanismes. À cet égard, elle souligne, notamment, que cette décision instaure une obligation pour l’exportateur des donnés et le destinataire du transfert de vérifier, au préalable, que ce niveau de protection est
respecté dans le pays tiers concerné et qu’elle oblige ce destinataire à informer l’exportateur des données de son éventuelle incapacité de se conformer aux clauses types de protection, à charge alors pour ce dernier de suspendre le transfert de données et/ou de résilier le contrat conclu avec le premier ».
En clair, la CJUE invalide l’accord global que constituait le Privacy Shield, mais confirme que les entreprises peuvent se conformer à la loi européenne en s’engageant, individuellement, à respecter certaines précautions quant à l’usage des données de leurs utilisateurs européens.
Deux défaites en deux jours pour la Commission européenne
Le jugement de la CJUE constitue un nouveau camouflet pour Bruxelles après l’annulation mercredi par le Tribunal de l’Union européenne de la décision de la Commission européenne réclamant à Apple le versement de 13 milliards d’euros d’arriérés d’impôts à l’Irlande.
Margrethe Vestager, vice-présidente de la Commission européenne chargée de la politique de la concurrence, a concédé jeudi que les deux décisions rendues par la justice européenne constituaient « une défaite” : « La première chose que l'on fait lorsque l'on reçoit un jugement du tribunal est de le lire très, très attentivement. Et nous sommes toujours en train de le faire. Bien sûr, c'est une défaite, car c'est une annulation par le tribunal ».
Le commissaire européen à la Justice, Didier Reynders, a déclaré pour sa part que la Commission allait travailler sur une amélioration de la protection des données. « Nous étudierons attentivement le jugement et réfléchirons aux moyens opérationnels pour renforcer nos transferts de données », a-t-il déclaré dans un communiqué.
De son côté, Facebook a dit qu'il allait étudier les conséquences du jugement de la CJUE : « Comme de nombreuses entreprises, nous examinons attentivement les conclusions et les implications de la décision de la Cour de justice en ce qui concerne l'utilisation du bouclier de protection des données et nous attendons avec intérêt les directives réglementaires à cet égard », écrit Eva Nagle, l'avocate du groupe, dans un communiqué.
Dans un communiqué, la Business Software Alliance, qui rassemble de très grandes entreprises du numérique, s’est dite « soulagée de voir que les clauses standards contractuelles restent valides », évoquant un « dénouement positif », tout en regrettant que la décision « élimine l’un des rares moyens fiables de transférer des données de l’autre côté de l’Atlantique ». La Computer & Communications Industry Association (CCIA – « Association de l’industrie de l’informatique et des communications »), qui compte parmi ses membres Google, Samsung ou Amazon, a elle dit regretter « l’incertitude légale » créée par cette décision, et dit espérer que les « responsables politiques américains et européens trouveront rapidement une solution viable (…) pour assurer la continuité des flux d’informations qui sous-tendent l’économie numérique ».
Dans un communiqué du ministère du Commerce, les États-Unis se sont dits « profondément déçus » par la décision. Washington continuera à travailler avec la commission européenne, et étudie la décision de justice en détail pour en comprendre tous les effets concrets, a affirmé Wilbur Ross, le secrétaire américain au commerce. Nous « espérons pouvoir limiter les conséquences négatives pour la relation économique transatlantique qui pèse 7 100 milliards de dollars et qui est vitale pour nos citoyens, entreprises et gouvernements respectifs »,a ajouté Ross.
Maximillian Schrems quant à lui s'est félicité de cette décision : « À première vue, il semble que la cour nous a suivis sur tous les points. C’est un énorme coup porté à la commission de protection des données irlandaise et à Facebook. Il est clair que les États-Unis vont devoir sérieusement changer leurs lois sur la surveillance si leurs entreprises veulent continuer à jouer un rôle sur le marché européen. (…) La cour ne dit pas seulement à la commission de protection des données irlandaise de faire son travail après sept ans d’inaction, mais que ce type d’agence a un devoir d’action et ne peut pas se contenter de fermer les yeux. C’est un changement fondamental qui va bien plus loin que les transferts de données entre UE et États unis. Les autorités comme la commission de protection des données irlandaise ont sapé le succès du RGPD jusque-là. La cour dit clairement qu’elles doivent se mettre au travail et faire respecter la loi. »
Source : décision de la Cour de justice de l'UE, Max Schrems
Envoyé par Jon Shannow
.