Invalidation du Privacy Shield

L’incompatibilité de l’accord au droit de l’Union Européenne n’est supposément pas créatrice d’un vide juridique compte tenu des clauses-types

Publié le 5 novembre 2020 – Mis à jour le 18 décembre 2020

Note rédigée par Enzo Tartaglione en collaboration avec Raphaël Mourère

Privacy Shield
Privacy Shield

Le droit de la protection des données personnelles a fait l’objet d’une nouvelle modification substantielle par la Cour de Justice de l’Union Européenne (CJUE) le 16 juillet 2020 avec sa décision de grande chambre C-311/18 (dite « arrêt Schrems II »)[1]. C’est par cet arrêt, venant invalider la décision d’exécution de la Commission européenne du 12 juillet 2016[2] relative à l’adéquation de la protection assurée par le Privacy Shield, que la Cour s’est une nouvelle fois prononcée dans ce domaine. Elle a considéré que cet accord n’assurait pas un niveau adéquat de protection des données ; ceci en réponse aux questions préjudicielles de Maximilian Schrems et du Data Protection Commissioner, l’autorité irlandaise de contrôle de la protection des données.

 

Le Privacy Shield : un Safe Harbor 2.0 rapidement négocié puis invalidé

Historiquement, les deux accords successifs servant à encadrer les transferts de données personnelles de l’Union Européenne vers les États-Unis n’auront pas su faire grâce aux yeux de la Cour. Le Privacy Shield n’est en effet pas la première tentative européenne cherchant à conserver les relations entre ces deux puissances, en essayant d’encadrer les transferts de données personnelles pour une conformité du pays tiers avec le droit de l’Union. C’est donc pour pallier l’invalidation du Safe Harbor par la décision C-362/14 du 6 octobre 2015 (dite « arrêt Schrems I »)[3] que le Privacy Shield a été négocié entre 2015 et 2016.

La rapidité avec laquelle cet accord a été négocié a fait l’objet de critiques doctrinales, soutenant notamment que le Privacy Shield avait une teneur d’engagement provisoire destiné à conserver les engagements commerciaux entre l’Union Européenne et les États-Unis ; afin de ne pas laisser subsister un vide juridique quant à la protection des transferts de données.

Par l’arrêt Schrems II, c’est en réponse aux quatrième, cinquième, neuvième et dixième questions préjudicielles (des points 150 à 202 de la décision) que la Cour de Justice considère que le Privacy Shield est incompatible avec le droit de l’Union. Plus précisément, cette incompatibilité se fonde sur les articles 7, 8 et 47 de la Charte des droits fondamentaux de l’Union européenne qui prévoient les droits à la protection de la vie privée et la protection des données personnelles, mais également le droit à une protection juridictionnelle effective. Le régime même des transferts de données fondés sur une décision d’adéquation contrevient à l’article 45 du RGPD. C’est donc à cet égard que la Cour met fin au controversé Privacy Shield pour ne fonder la protection des transferts que sur les clauses-types.

 

Le maintien incertain d’un équilibre juridique par les clauses-types

Les clauses contractuelles types constituent un modèle permettant d’offrir des garanties appropriées au transfert de données. Comme mentionné dans leur nom, leur force contraignante ne résulte que de leur nature contractuelle et non d’une valeur normative.

Ainsi, outre le Privacy Shield, deux questions préjudicielles ont été formées en interrogeant la conformité de la décision 2010/87 de la Commission européenne du 5 février 2010[4] à la Charte des droits fondamentaux de l’Union européenne : ces clauses contractuelles n’étant contraignantes que pour le responsable de traitement et ses sous-traitant, sont-elles compatibles avec le droit de l’Union en ce qu’elles ne sont pas opposables au pays destinataire du traitement ? Également, les mécanismes mis en place par ces clauses permettent-ils une protection effective des données personnelles transférées ?

La Cour s’est prononcée en détaillant cette validité par le fait que, d’une part, il appartient au responsable du traitement et ses sous-traitants de prendre des mesures compensant l’insuffisance de garanties du pays destinataire, et que, d’autre part, ces clauses prévoient des mécanismes effectifs de protection. Certains de ces mécanismes ont ainsi été cités, parmi lesquels l’engagement du responsable du traitement et de ses sous-traitants de respecter le RGPD et la Charte, mais également le fait qu’en cas d’incompatibilité du droit du pays tiers avec les clauses, le responsable du traitement doive suspendre le transfert et détruire ou restituer les données transférées et leurs copies.

C’est donc à cet égard que la Cour considère que ces clauses-types sont valides et que leur présence permet d’écarter le risque de vide juridique. La Commission, par une approche plus pragmatique, est encline à l’adoption d’un nouvel instrument normatif qui viendrait combler le fait que les clauses-types ne sont pas contraignantes pour les autorités américaines. Une telle adoption serait en effet une bonne mesure, que ce soit en termes de protection des données personnelles ou de sécurité juridique, puisque l’instabilité résultant de ce flottement est la principale préoccupation pour les parlementaires français comme pour la presse américaine d’actualités de nouvelles technologies.

Mis à part un quelconque projet d’accord qui pourrait naître dans les années à venir, la porte demeure ouverte à un « arrêt Schrems III ». Maximilian Schrems et le Data Protection Commissioner pourraient tenter de soulever l’invalidité des clauses contractuelles types, afin d’obstruer la continuité des relations commerciales entre les deux puissances.
 

JE RETIENS...

Le Privacy Shield, accord succédant au Safe Harbor, a récemment été invalidé par la Cour de Justice de l’Union européenne. En dépit d’un risque de vide juridique ne permettant plus une protection effective des données de ressortissants européens transférées aux États-Unis, la Cour fonde la protection desdites données sur les clauses contractuelles types issues de la décision 2010/87 de la Commission européenne.

  Références bibliographiques  
 

[1] CJUE, 16 juil. 2020, C-311/18.

[2] Commission européenne, 12 juil. 2016, 2016/1250.

[3] CJUE, 6 oct. 2015, C-362/14.

[4] Commission européenne, 5 févr. 2010, 2010/87.