Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Novembre 2015 - n°407 - 382

doctrine

Safe Harbor
Conséquences de l'arrêt de la CJUE
L'invalidation du Safe Harbour par la CJUE crée une
insécurité juridique majeure pour les transferts de
données hors de l'Union européenne

P

ar un arrêt en date du
6 octobre 20151, la Cour de
justice de l'Union européenne (CJUE) a répondu
à la question préjudicielle posée
par la Haute cour de justice irlandaise en jugeant non seulement
que le fait que la Commission
européenne ait adopté une décision considérant la législation
d'un Etat tiers comme équivalent
à celle de l'Union européenne en
matière de droit Informatique et
libertés ne faisait pas obstacle à
ce qu'une autorité de contrôle d'un
Etat-membre puisse examiner la
demande d'une personne concernée contestant les transferts de ses
données vers un tel Etat tiers, mais
aussi que la décision 2000/520 2 ,
qui a promulgué le Safe Harbour
et permettait un mécanisme
simplifié de transfert de données
vers les Etats-Unis était invalide.
Cet arrêt résulte directement de
l'affaire Snowden, qui avait dévoilé le programme Prism permettant
aux autorités américaines d'accéder directement aux données
hébergées
par
personnelles
certaines entreprises américaines.
Suite à ces révélations, un étudiant
autrichien, M. Schrems, avait saisi
l'autorité irlandaise de protection
des données personnelles pour
que celle-ci interdise à la société
Facebook Ireland (aux conditions
générales de laquelle tout utilisateur de Facebook en Europe doit
adhérer) de transférer ses données

382

aux Etats-Unis, faisant valoir que
le droit et les pratiques en vigueur
dans ce pays ne garantissaient
pas une protection suffisante des
données à caractère personnel
contre les activités de surveillance
des autorités publiques.
L'autorité irlandaise avait rejeté
la demande de M. Schrems, s'estimant tenue par la décision de la
Commission européenne constatant que tout transfert vers une
société américaine adhérente au
Safe Harbour devait être considéré comme un transfert vers
un pays assurant un niveau de
protection équivalent à celui de
l'Union européenne.
Suite au recours de M. Schrems
devant la Haute cour irlandaise,
cette dernière, constatant que
la NSA et autres organes américains avaient commis des « excès
considérables » et que ces transferts violaient le droit constitutionnel irlandais, a introduit une
question préjudicielle devant la
CJUE lui demandant si les autorités nationales de protection des
données personnelles sont absolument liées par les décisions de la
Commission européenne constatant le caractère adéquat de la
protection des données personnelles dans un pays tiers ou si de
telles autorités pouvaient mener
leur propre enquête en s'instruisant de la manière dont les faits
ont évolué depuis la première
publication de la décision de la
Commission.

EXPERTISES NOVEMBRE 2015

UNE AFFIRMATION
LIMITÉE DU POUVOIR DES
AUTORITÉS NATIONALES
La question préjudicielle posée
par la Haute cour irlandaise à la
CJUE portait donc uniquement sur
le pouvoir des autorités nationales
de contrôle d'examiner la demande
d'une personne concernant le transfert de ses données personnelles
vers un pays dont il considère que
le droit et les pratiques en vigueur
n'assurent pas un niveau de protection adéquat, malgré l'existence
d'une décision de la Commission
européenne constatant que ce pays
tiers présente un niveau de protection adéquat.
La Cour, dans son analyse, rappelle
tout d'abord que la directive 95/46 3
(la directive) a pour objet de mettre
en œuvre des droits fondamentaux
garantis par la charte des droits
fondamentaux de l'Union européenne, en particulier le droit à la
vie privée et doit être interprétée au
regard de l'objectif d'assurer aux
citoyens européens un niveau élevé
de protection des libertés et droits
fondamentaux. La Cour se livre
ensuite à une analyse textuelle et
jurisprudentielle approfondie de la
directive concernant la répartition
des pouvoirs entre la Commission
européenne et les autorités nationales de protection des données.
Lorsqu'une décision par laquelle
la Commission constate le caractère adéquat de la protection des
données personnelles par un pays
Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Novembre 2015 - n°407
