Expertises des Systèmes d'information - Octobre 2020 - N°461 - Le mensuel du droit de l'informatique et du multimédia - 331

F

O

S

C

U

S

i la CJUE a ouvert la boîte de
Pandore, aucun cataclysme
n'est encore survenu. Les
transferts
transatlantiques
de données personnelles continuent
mais les entreprises sont à la merci des
régulateurs. La DPC (Data Protection
Commission), la Cnil irlandaise, a
ouvert les hostilités en avertissant
Facebook de son projet d'ordonnance
préliminaire en vue de la suspension
des flux de données entre l'Europe et
les Etats-Unis. Sans surprise, le réseau
social a contrattaqué devant la high
court irlandaise qui l'a autorisé à déposer un recours contre la DPC et a gelé
la procédure en cours. Par ailleurs, le
Commission a ouvert une nouvelle
enquête sur l'utilisation des clauses
contractuelles types par Facebook.
Et dans le même temps Facebook a
annoncé qu'il s'appuyait désormais sur
un autre fondement juridique pour ces
transferts. Dans ce contexte incertain
où aucun mécanisme sûr ne permet
de garantir un transfert adéquat de
données, les entreprises américaines
et européennes sont inquiètes. Dans
un communiqué commun, l'Asic, le
Syntec Informatique et Tech In France
ont appelé, le 25 septembre dernier,
les autorités de contrôle nationales et
la Commission européenne à trouver
une solution pérenne. Les entreprises
ont, en effet, horreur de l'incertitude.
Plus personne n'ignore la censure
du Privacy Shield par l'arrêt du
16 juillet 2020 de la CJUE. On se
souvient aussi que la Cour n'avait pas
remis en cause la validité des clauses
contractuelles types de la Commission
européenne. La Cour avait toutefois
jugé qu'« à moins qu'il existe une décision d'adéquation valablement adoptée
par la Commission, l'autorité de contrôle
compétente est tenue de suspendre
ou d'interdire un transfert de données
vers un pays tiers fondé sur des clauses
types de protection des données adoptées par la Commission, lorsque cette
autorité de contrôle considère, à la
lumière de l'ensemble des circonstances propres à ce transfert, que ces
clauses ne sont pas ou ne peuvent pas
être respectées dans ce pays tiers et
que la protection des données transférées requise par le droit de l'Union ».
Facebook avait justement recouru à ce
mécanisme contractuel pour fonder

Données personnelles
Facebook / Max Schrems :
une histoire sans fin
L'arrêt Schrems II qui a invalidé le Privacy Shield n'a pas mis
un point final à cette affaire. Alors que l'autorité de contrôle
irlandaise envisage de suspendre les transferts transatlantiques
de données de Facebook, le réseau social a intenté un recours
contre ce projet de décision. Un contentieux qui risque de durer.
ces transferts. Et c'est fort logiquement
que l'autorité de contrôle irlandaise
a engagé un processus l'emmenant
à ordonner la suspension des transferts entre l'Europe et les Etats-Unis
puisque le réseau social est susceptible
de communiquer aux autorités américaines des données de personnes
se trouvant dans l'UE, en vertu de la
section 702 de la loi Fisa ou d'un executive order 12 333. Le 28 août 2020, la
DPC a envoyé à Facebook son projet
d'ordonnance préliminaire lui signifiant ses griefs et lui laissant 21 jours
pour justifier du caractère adéquat de
ses clauses contractuelles types au
droit communautaire.
Facebook a immédiatement réagi en
se tournant vers la justice irlandaise
pour un contrôle judiciaire avant que la
décision finale ne soit rendue. Dans un
affidavit, une déclaration sous serment
de 22 pages transmise à la cour irlandaise le 10 septembre dernier, Yvonne
Cunnane, responsable de la protection des données de Facebook Irlande,
a listé les griefs contre l'autorité de
contrôle. Elle a indiqué que les mesures
correctives
préconisées
auraient
un effet contraire significatif sur les
affaires et les utilisateurs. Elle a indiqué
qu'en cas d'interdiction de transfert de
données, elle ne voyait pas comment
poursuivre les activités de Facebook et
d'Instagram en Europe. Elle a également soulevé le fait que le réseau social
était la seule entreprise visée par la DPC
alors que l'arrêt de la CJUE concerne
toutes celles qui opèrent des flux de
données entre l'UE et les Etats-Unis.
Enfin, elle a dénoncé les trop courts
délais de réponse accordés à Facebook
par la DPC. En conséquence, le réseau
estime avoir fait l'objet d'un traitement
déloyal et disproportionné. La cour a
entendu ces arguments et a «  gelé  »
EXPERTISES Octobre 2020

l'action de la DPC jusqu'à une décision
attendue vers le mois de novembre.
Parallèlement, la Commission irlandaise a écrit à Max Schrems, l'auteur
de la plainte contre Facebook, le
31 août 2020, le prévenant qu'elle
ouvrait une enquête sur cette affaire
sur le recours de Facebook aux clauses
contractuelles types. Ce qui a énervé
Max Schrems qui lui a répondu, le
7 septembre, qu'il ne voyait pas l'intérêt
d'une nouvelle enquête qui ne pouvait
que retarder d'autant la résolution du
litige. La clôture de l'affaire risque d'être
également retardée par la soumission
du cas au mécanisme de contrôle de la
cohérence entre les autorités figurant à
l'article 63 du RGPD.
Entre temps, Facebook a annoncé qu'il
n'utilisait plus la base légale des clauses
contractuelles types pour ces flux
transatlantiques. Il invoque désormais
la nécessité d'externaliser le traitement
des données aux Etats-Unis dans le
cadre d'un contrat avec les utilisateurs,
en vertu de l'article 49 du RGPD. Reste à
savoir si cette exception peut constituer
une base légale de manière permanente. La CJUE pourrait, une fois de
plus, être amenée à se prononcer.
De son côté, Max Schrems a l'intention
de déposer une «  injonction interlocutoire  » afin de s'assurer que la DPC
prenne une décision sur toutes les bases
légales du litige : les clauses contractuelles types et le présumé contrat entre
le réseau social et les utilisateurs.
Autant dire qu'on n'a pas fini d'entendre parler de ce contentieux fleuve.
Et Max Schrems n'est pas près de changer de carrière professionnelle, comme
il nous avait dit le souhaiter dans une
interview qu'il nous avait accordée en
janvier 2018 (voir Exp. n° 432, p. 58).

Sylvie ROZENFELD

331
https://www.nxtbook.fr/newpress/celog/celog-expertises-1802_432/index.php#/p/58
Expertises des Systèmes d'information - Octobre 2020 - N°461 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Octobre 2020 - N°461 - Le mensuel du droit de l'informatique et du multimédia
