Hors collection - Le droit face à la disruption numérique - 1re - 251

CHAPITRE 1 - LE

DROIT DE LA PROTECTION DES DONNÉES PERSONNELLES

251

1034. Au vu des nombreuses réactions négatives tant des industries concernées que de la société
civile, les débats s'annoncent encore longs sur la version finale du texte, avec un calendrier difficile à
tenir (il avait fallu quatre ans pour aboutir à l'adoption du RGPD).

Section 5

Le transfert des données personnelles à l'étranger

1035. L'Union européenne, face aux États-Unis, tente de mettre en place une protection forte des
données personnelles et de la vie privée en Europe, mais aussi de s'assurer que les données des citoyens
et résidents européens, stockés en Europe, ne puissent être transférées à l'étranger (y compris vers les
autorités d'États tiers dans le cadre d'une procédure d'enquête) que sous certaines conditions strictes, y
compris le respect de certaines procédures et l'existence de garanties suffisantes.

§1. La remise en cause du Safe Harbor
1036. Rappelons que le Safe Harbor est un accord, négocié en 2000, entre la Commission européenne
et le département du commerce américain permettant de considérer que les entreprises américaines
inscrites sur une liste publiée sur un site internet du département du commerce américain offrent une
protection suffisante aux données personnelles. Cela facilite considérablement les transferts de
données depuis l'Europe vers les États-Unis, qui sont soumis à des formalités contraignantes.
1037. Depuis la signature du Safe Harbour, une décision applicative de la directive de 1995 a été mise
en œuvre qui permettait de transférer les données vers les États-Unis dans la mesure où les garanties de
protection des données y étaient considérées comme suffisantes (plus de 4 000 sociétés sont certifiées
sous le régime du Safe Harbor).
1038. Suite au rejet de a plainte, l'autorité ayant estimé que le Safe Harbor garantissait une protection
valable pour tous les pays européens, un lanceur d'alerte, Maximillian Schrems a alors saisi la High
Court of Ireland qui a posé à la Cour de justice de l'Union européenne une question préjudicielle
visant à savoir si la décision de la Commission européenne sur le Safe Harbor, qui autorise le transfert
de données, a pour effet d'empêcher une autorité nationale de contrôle d'enquêter sur plainte et de
suspendre, le cas échéant, la transmission des données.
1039. La Cour déclare invalide la décision de la Commission constatant que les États-Unis assurent
un niveau de protection adéquat aux données à caractère personnel transférées.
1040. La CJUE a également réaffirmé « les pleins pouvoirs » des autorités nationales chargées de la
protection des données personnelles. Ainsi, la Cnil et ses homologues européens sont habilités, au
nom de la Charte des droits fondamentaux de l'Union européenne, à examiner « en toute indépendance » le respect, par une entreprise américaine, des dispositions inscrites au Safe Harbor.
1041. La Cour a indiqué que « même en présence d'une décision de la Commission (...), les autorités
nationales de contrôle, saisies par une personne d'une demande relative à la protection de ses droits et
libertés à l'égard du traitement des données à caractère personnel, doivent pouvoir examiner, en toute
indépendance, si le transfert de ces données respecte les exigences posées par ladite directive ».
1042. La cour a affirmé qu'une réglementation permettant aux autorités publiques d'accéder de
manière généralisée au contenu de communications électroniques doit être considérée comme
portant atteinte au contenu essentiel du droit fondamental au respect de la vie privée.

Table des matières de la publication Hors collection - Le droit face à la disruption numérique - 1re