Systèmes - Droit européen de l'internet - 1re - 113

Le transfert de données hors de l'Union européenne

Cette solution, adoptée au regard du texte de l'article 25 de la
directive 95/46, n'est évidemment plus valable sous l'empire du
RGPD dont l'article 45, ainsi qu'il a été dit, confie à la seule Commission compétence pour constater que le pays tiers assure ou non un
niveau de protection adéquat.
234. Invalidité de la décision de 2000. - Mais la Cour de justice ne
s'en est pas tenue là. Allant au-delà des questions posées par la juridiction irlandaise4, la Cour a également souhaité se prononcer sur le
point de savoir si la décision de 2000 était conforme aux exigences de
la directive lue à la lumière de la Charte des droits fondamentaux.
Après avoir relevé qu'il lui appartenait d'exercer un contrôle strict
du respect des exigences de la directive et de la Charte, et que le
caractère « adéquat » du niveau de protection accordée, quoique ne
signifiant pas identique, devait garantir un niveau élevé de protection, apprécié au regard tant de l'état du droit applicable dans le
pays en cause que de la pratique et en tenant compte des circonstances intervenues postérieurement à l'adoption de la décision, la
Cour a jugé que la décision de 2000 par laquelle la Commission
avait approuvé le Safe Harbor était invalide. Pour la Cour, ce constat
ne découle pas de la nature du système d'autocertification qui n'est
pas, en lui-même, nécessairement contraire aux exigences de protection adéquate, mais provient plus généralement des failles
mêmes du dispositif validé en 2000 par la Commission, lequel prévoit
expressément que les règles protectrices posées peuvent s'effacer
devant des exigences liées à la sécurité nationale des États-Unis,
sans prévoir de protection juridique efficace contre des ingérences
d'une telle nature. Relevant ainsi que la décision de 2000 ne définissait pas de critère objectif permettant de délimiter l'accès des autorités publiques américaines aux données et leur utilisation à des fins
précises, qu'elle ne justifiait pas une telle ingérence et qu'elle ne
prévoyait aucune voie de recours permettant d'avoir accès aux données ou d'en obtenir la rectification ou la suppression, la Cour juge
que la décision de 2000 méconnaît les exigences fixées à l'article 25,
paragraphe 6, de la directive 95/46, lu à la lumière de la Charte, et
est de ce fait invalide.
235. Obligation de conserver les données sur le territoire de
l'Union ? - À noter que, dans son arrêt Digital Rights Ireland (CJUE,
4. Suivant en cela une jurisprudence ancienne par laquelle la Cour a considéré qu'elle pouvait
d'office se saisir de la question de la validité d'une norme alors même que la question qui
lui est soumise à titre préjudiciel ne porte que sur l'interprétation de cette norme : CJCE,
15 oct. 1980, Roquette frères, 145/79, Rec. p. 2917.

113

Table des matières de la publication Systèmes - Droit européen de l'internet - 1re