Expertises des Systèmes d'information - Décembre 2020 - N°463 - Le mensuel du droit de l'informatique et du multimédia - 420

D

O

C

T

R

I

N

E

DONNÉES PERSONNELLES

Quatre mois après Schrems 2,
l'impasse demeure
Ni les recommandations du CEDP ni le projet de
nouvelles clauses contractuelles de la Commission
européenne n'apportent de solution satisfaisante pour
transférer en toute sécurité juridique des données
personnelles hors de l'Union européenne.

L

'arrêt Schrems 21 rendu
par la Cour de justice
de
l'Union
européenne
le 16 juillet dernier était
attendu et n'a pas constitué une
véritable surprise. En interdisant
les transferts vers les Etats-Unis
sur la base du Privacy Shield et en
rendant quasi inopérantes les clauses
contractuelles types proposées par
la Commission européenne, il pose
cependant des problèmes pratiques
qui ne semblent pas pouvoir être
surmontés, malgré les efforts
récents du Comité européen de la
protection des données (CEPD) et
de la Commission européenne. Ces
deux institutions communautaires
ont chacune, respectivement le 10 et
le 12 novembre, essayé d'apporter des
réponses à ces problèmes. Le CEPD
a publié des recommandations sur
les mesures qui complètent les outils
de transfert pour assurer le respect
des niveaux de protection des
données personnelles de l'UE et la
Commission a annoncé un nouveau
projet de clauses contractuelles types.

L'arrêt Schrems 2
Suite au renvoi de son dossier devant
l'autorité de contrôle irlandaise
après la décision de la Cour de
justice de l'Union européenne
du 6 octobre 20142 annulant le
mécanisme de Safe Harbour,
Maximilien Schrems a reformulé
sa plainte devant le Data Protection
Commissioner (l'autorité de contrôle
irlandaise) et a demandé, au vu de
l'obligation faite à Facebook Ireland Ltd

420

(Facebook) de transférer ses données
aux autorités américaines telles que
la NSA ou le FBI selon la législation
américaine, d'interdire le transfert
de ses données par Facebook. Ce
transfert était en effet désormais
justifié par Facebook par la conclusion d'un contrat de transfert de
données sur la base des Clauses
contractuelles types (« CCT ») émises
par la Commission européenne dans
sa décision 2010/87. M. Schrems,
dans sa plainte, a estimé qu'au vu de
la réglementation américaine, ces
CCT ne pouvaient assurer un niveau
de protection de ses données personnelles conforme à la Charte des droits
fondamentaux3 (la Charte). Le Data
Protection Commissioner a accueilli les arguments de M. Schrems
mais, estimant que ces arguments
remettaient en cause la validité
de la décision de la Commission
européenne autorisant les CCT de
responsable à sous-traitant4, a saisi
la High Court irlandaise pour qu'elle
puisse interroger la CJUE sur cette
question, ce qu'elle a fait par un arrêt
du 3 octobre 20175 dans lequel elle a
procédé à une description très détaillée de la réglementation américaine
permettant la surveillance des
données personnelles de ressortissants étrangers, et en particulier des
programmes PRISM et UPSTREAM.
La saisine de la Cour portait essentiellement sur la validité des CCT mais
concernant également la validité
du Privacy Shield6 (le mécanisme
renforcé négocié par la Commission
afin de remplacer le Safe Harbour)
puisqu'elle demandait si la décision
EXPERTISES Décembre 2020

adoptant le Privacy Shield «  constituait une constatation d'application
générale liant les autorités en charge
de la protection des données et les
juridictions des Etats membres selon
laquelle les Etats-Unis assurent un
niveau de protection adéquat au sens
de l'article 25.2 de la directive 95/46 en
raison de leur droit interne ou de leurs
engagements internationaux ».

Sur la légalité du Privacy Shield
Tout comme dans l'arrêt Schrems 1,
la Cour a élargi sa saisine sur cette
question. Elle a tout d'abord jugé
que la décision de la Commission
adoptant le Safe Harbour, qui constatait que «  les Etats-Unis assurent
un niveau adéquat de protection
de données à caractère personnel
transférées depuis l'Union vers des
organisation établies aux Etats-Unis
dans le cadre du bouclier de protection des données » avait un caractère
contraignant pour les autorités de
contrôles. Ces dernières doivent
néanmoins, si elles ont un doute
sur sa validité saisir les juridictions
nationales pour qu'elles puissent faire
parvenir une question préjudicielle
à la CJUE à ce sujet. Ceci est une
répétition de son raisonnement dans
l'arrêt Schrems 1. La Cour a ensuite
jugé qu'afin de donner une réponse
complète à la question posée, elle
devait examiner si la décision
Safe Harbour était conforme aux
exigences du RGPD, lu à la lumière de
la Charte. La réponse à cette question
n'a généré que peu d'étonnement au
vu de la jurisprudence antérieure de
la Cour.
Expertises des Systèmes d'information - Décembre 2020 - N°463 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Décembre 2020 - N°463 - Le mensuel du droit de l'informatique et du multimédia
